事案の概要データ
| 公表日 | 2026年11月4日（第2報まで公表） |
|---|---|
| 不正アクセスを受けた事業者 | アララ株式会社 |
| 件数 | 1,086,098件（顧客のメールアドレス） |
| その他の項目 | 調査中 |
| 対象外の情報 | パスワード、クレジットカード情報 |
| 位置づけ | 自社システムが破られたものではなく、預託していた配信基盤からの流出 |
図解：この事故の構造
何が起きたのか
株式会社アクセルエンターメディアは2026年11月4日、メール配信に利用するアララ株式会社のサービスが第三者による不正アクセスを受け、同サービスに預託していた顧客のメールアドレス1,086,098件が外部に流出したと公表しました。
その他の項目は調査中で、パスワードとクレジットカード情報は対象外としています。
「預託していた」という言葉を使った意味
公表文の「預託していた」という表現に注目してください。
これは、自社のデータを、外部に預けていたということをはっきり示す言葉です。「委託先で漏れた」ではなく「自社が預けたものが漏れた」。
責任の所在が、言葉に出ています。
個人情報保護法の考え方でも、これは正確です。顧客から個人情報を集めたのは自社であり、法律上の個人情報取扱事業者は自社です。配信サービスは、その取扱いを委託された先にすぎません。
だから、事故が起きたとき、個人情報保護委員会への報告義務も、本人への通知義務も、預けた側（自社）に生じます。 「委託先の問題なので当社は関係ない」とはなりません。
本サイトでは、アララが利用企業向けに案内した「連名報告」（民間事業者）と「代行報告」（行政機関・地方公共団体）の仕組みをアララの記事で扱っています。これは、報告義務が双方にあることを前提にした手続きです。
中小企業が覚えておくべきことは、この1文です。預けたデータの責任は、預けた側にも残る。
「その他の項目は調査中」と書けること
公表文が「その他の項目は調査中」としている点も、実務として参考になります。
一見、頼りない書き方に見えるかもしれません。しかし、これは分かっていることと分かっていないことを分けて書いたという意味です。
分かっていること：メールアドレス1,086,098件が流出した。パスワードとカード情報は対象外。
分かっていないこと：その他の項目が流出したか。
この書き分けができていると、後で項目が増えても「隠していた」とは言われません。逆に、「メールアドレスのみです」と断定してしまうと、後から追加が出たときに信頼を失います。
本サイトでは同じ11月に、初報の内容が覆った例を複数扱っています。サブウェイ（「対象外」→「可能性を排除せず」）、ARTPASS（「影響なし」→最大約100万件）、ゲインズのGetchu.com（2日後に口座情報が追加）。
公表文のひな形として、この3点を書く形を覚えておいてください。
①確認できたこと（件数・項目）。②現時点で対象外と確認できたこと。③まだ調査中のこと。
この3つに分けて書くだけで、公表文の信頼性は大きく変わります。
時系列で見る経過
- 2026年10月28日〜31日アララのメール配信基盤が侵害され、契約企業向けサーバーからデータが持ち出される
- 2026年11月4日アクセルエンターメディアが1,086,098件の流出を公表（第2報まで）。その他の項目は調査中
中小企業が学ぶべきポイント
- 「預託していた」という表現は、自社が預けたものが漏れたという責任の所在を示している。
- 顧客情報を集めたのは自社であり、法律上の個人情報取扱事業者も自社。委託先の事故でも報告・通知義務は残る。
- 公表文は「確認できたこと」「対象外と確認できたこと」「まだ調査中のこと」の3つに分けて書く。
- 「メールアドレスのみです」と断定すると、後から項目が増えたときに信頼を失う。
- 11月には初報が覆った例が複数ある（サブウェイ、ARTPASS、Getchu.com）。断定は避ける。
出典・参考
本記事は、各組織の公表資料および報道をもとに、要点をわかりやすく整理したものです。 被害件数は「漏えいした可能性のある最大件数」として公表されている場合があり、実際に漏えいが確定した件数とは異なることがあります。 また、調査の進展により内容が変わる場合があります。正確な情報は必ず出典元の公式発表をご確認ください。