事案の概要データ
| 公表日 | 2026年11月5日 |
|---|---|
| 件数 | 最大約90万件（報道による） |
| 経路（1）自社EC | 「akyrise（あきゅらいず）」のECサイトへの不正アクセス。2026年11月4日に確認してサイトを閉鎖。対象者・件数・原因は調査中 |
| 経路（2）メール配信 | 業務委託先が利用するアララ株式会社のメール配信システムへの不正アクセス。連携していた顧客情報の一部が外部に漏えい。2026年11月2日に委託先から報告 |
| 経路（3）配送 | 商品配送で業務委託先が利用する佐川急便の「お荷物問い合わせサービス」への不正アクセス。お届け先に関する個人情報の一部が流出した可能性。2026年10月1日に委託先から報告 |
| サイトの状況 | ECサイトを閉鎖 |
| 状態 | 調査中 |
図解：この事故の構造
- 配送：佐川急便の問い合わせサービス 10月1日に委託先から報告
- 販促：アララのメール配信システム 11月2日に委託先から報告
- 受注：自社ECサイト 11月4日に確認、サイト閉鎖
何が起きたのか
株式会社ユーグレナは2026年11月5日、化粧品ブランド「akyrise（あきゅらいず）」に関する不正アクセスについて公表しました。特徴的なのは、1つの発表の中で3つの経路の被害を報告していることです。
（1）自社のECサイト。 第三者による不正アクセスがあり、登録された会員情報が外部に漏えいしました。11月4日に確認してサイトを閉鎖し、対象者・件数・原因を調査中としています。
（2）メール配信。 業務委託先が利用するアララ株式会社のメール配信システムが不正アクセスを受け、連携していた顧客情報の一部が漏えいしました。委託先からの報告は11月2日です。
（3）配送。 商品配送で業務委託先が利用する佐川急便の「お荷物問い合わせサービス」が不正アクセスを受け、お届け先に関する個人情報の一部が流出した可能性があります。委託先からの報告は10月1日でした。
報道では、対象は最大約90万件とされています。
「入口は1つではない」——事業の流れごとに穴がある
この事案が示しているのは、事業の流れに沿って、入口がいくつもあるということです。
化粧品をネットで売る流れを分解してみます。
①お客様が自社ECサイトで注文する → ECサイトが狙われた
②注文確認やキャンペーンのメールを送る → メール配信の基盤が狙われた
③商品を配送する → 配送の問い合わせサービスが狙われた
どれも、商売に必要な工程です。 そして、どれも外部のサービスや委託先が関わっています。
中小企業がこの考え方を使うには、自社の商売を工程で書き出してみるのが早道です。
受注 → 決済 → 在庫 → 出荷 → 配送 → アフターフォロー → 販促
それぞれの工程で、①どの外部サービス・委託先を使っているか ②そこに顧客のどんな情報を渡しているか を書く。A4用紙1枚で収まります。
この表が、そのまま「事故が起きたときに影響を受ける範囲の一覧」になります。作っていない会社は、事故が起きてから慌てて作ることになります。
10月1日に報告を受けていた——報告から公表までの時間
見逃せないのが、経路（3）の配送については、10月1日に委託先から報告を受けていたという点です。公表は11月5日。約1か月あります。
これをどう評価するか。公平に見ると、2つの面があります。
遅いと言える面。 お届け先情報が流出した可能性があるなら、お客様は早く知った方が備えられます。
やむを得ない面。 報告を受けた時点では「可能性がある」段階で、対象範囲を確認中でした。範囲が分からないまま発表すると、関係のない人まで不安にさせます。
実際、ユーグレナは「対象範囲を確認中」としています。
では、中小企業が同じ立場になったらどうすればよいか。おすすめは、2段階に分けることです。
第1段階（すぐ）： 「委託先で不正アクセスがあったとの報告を受けました。当社のお客様の情報が含まれるかを確認中です。判明次第お知らせします」。これだけなら、報告を受けた当日でも出せます。
第2段階（判明後）： 対象者・件数・項目・対応。
第1段階を出しておくと、あとで範囲が広がっても「隠していた」と言われません。 そして、お客様は「この会社に関係する不審なメールには気をつけよう」と早く身構えられます。
本件でもう一つ記録しておきたいのは、3つの経路の報告が、10月1日・11月2日・11月4日とばらばらに届いたことです。委託先ごとに報告のタイミングが違うのは当然ですが、受けた側が1本にまとめて公表したのは、読む側にとって親切な形です。
時系列で見る経過
- 2026年10月1日配送の業務委託先から、佐川急便「お荷物問い合わせサービス」への不正アクセスについて報告を受ける
- 2026年11月2日メール配信の業務委託先から、アララのメール配信システムへの不正アクセスについて報告を受ける
- 2026年11月4日「あきゅらいず」ECサイトへの不正アクセスを確認し、サイトを閉鎖
- 2026年11月5日3つの経路の被害を1つの発表で公表。対象者・件数・原因は調査中
中小企業が学ぶべきポイント
- 1つのブランドが、自社EC・メール配信・配送の3経路で同時に被害を受けた。入口は1つではない。
- 自社の商売を工程（受注→決済→在庫→出荷→配送→フォロー→販促）で書き出し、工程ごとに使っている外部サービスと渡している情報を書く。
- その表が、そのまま「事故のときに影響を受ける範囲の一覧」になる。
- 配送経路の報告は10月1日に受けていたが、公表は11月5日。範囲の確認に時間がかかる事情はある。
- 公表は2段階に分ける。第1段階は「報告を受けた・確認中」だけでよく、当日でも出せる。
- 第1段階を出しておけば、後で範囲が広がっても「隠していた」と言われない。
- 委託先ごとに報告の時期はばらつく。受けた側が1本にまとめて公表すると、読む側に親切。
出典・参考
- ユーグレナ「あきゅらいず」に不正アクセスによるサイバー攻撃、最大約90万件の個人情報、漏洩の恐れ-アララ・佐川経由でも被害（セキュリティ対策Lab・2026年11月6日）
- 2026年11月の不正アクセス・情報漏えい（不正アクセス・情報漏えい事案一覧）
本記事は、各組織の公表資料および報道をもとに、要点をわかりやすく整理したものです。 被害件数は「漏えいした可能性のある最大件数」として公表されている場合があり、実際に漏えいが確定した件数とは異なることがあります。 また、調査の進展により内容が変わる場合があります。正確な情報は必ず出典元の公式発表をご確認ください。