事案の概要データ
| 公表日 | 2026年11月5日 |
|---|---|
| 不正アクセスを受けた事業者 | アララ株式会社（メール配信サービス「アララメッセージ」） |
| 対象サービス | 「メール配信プラス」「MakeRepeater byGMO」 |
| 件数 | 約1,260万件 |
| 対象期間 | 2026年7月1日〜10月28日に配信先に指定していた会員・注文者のメールアドレス |
| 対象外の情報 | パスワード、クレジットカード情報 |
| 位置づけ | GMOメイクショップのサービスを利用する多数のネットショップの顧客が対象。各ショップから見ると「委託先の委託先」にあたる |
| 状態 | 調査中 |
図解：この事故の構造
何が起きたのか
GMOメイクショップ株式会社は2026年11月5日、同社の「メール配信プラス」「MakeRepeater byGMO」で利用していたアララ株式会社の「アララメッセージ」が不正アクセスを受け、2026年7月1日から10月28日に配信先に指定していた会員・注文者のメールアドレス約1,260万件が流出したと公表しました。パスワードやカード情報は含まれません。
GMOメイクショップは、ネットショップを作って運営するためのサービス（ASPカート）を提供している会社です。つまり、流出したのは同社自身の顧客リストではなく、同社のサービスを使っている多数のネットショップの、会員・注文者のアドレスです。
ネットショップ運営者から見ると「委託先の委託先」
構造を整理します。段が3つあります。
①ネットショップを運営する会社（たとえば町の食品店のオンラインショップ）
②その会社が使っているGMOメイクショップ（ショップの仕組みとメール配信機能を提供）
③GMOメイクショップが使っていたアララ（実際にメールを送る基盤）
①の会社は、③のアララと契約していません。名前すら知らなかった可能性があります。 それでも、自分の店の顧客のメールアドレスが流出しました。
これが「再委託」の怖さです。本サイトでは2026年11月の事案で、ライフコーポレーション（富士通→アララ）、無印良品のオーダーカーテン（MNインターファッション→ナノテック）など、同じ形を繰り返し扱っています。
ネットショップを運営している中小企業がやるべきことは、具体的です。
1. 使っているサービスの「お知らせ」ページを見る。 今回のように、自分の店のお客様が対象になっているかもしれません。契約先からの個別連絡を待つだけでは遅れます。
2. お客様に出す文章を、自社の名前で用意する。 「当店がご利用しているシステムの提供元で……」という書き出しです。お客様にとっての取引相手は、あなたの店です。
3. 契約時に「再委託先を教えてもらえるか」を聞く。 すべて開示されるとは限りませんが、聞く会社と聞かない会社では、事故のときの速さが変わります。
4. メール配信機能に預けている項目を確認する。 多くのカートシステムは、注文者情報を丸ごと配信機能に渡しています。今回「メールアドレスのみ」で済んだのは幸運な面もあります。
「7月1日〜10月28日」という期間指定の意味
公表文が対象を「2026年7月1日から10月28日に配信先に指定していた」と期間で区切っているのは、読み方として大事な点です。
これは、その期間に実際にメールを送った宛先のリストが流出した、という意味です。全会員ではありません。
言い換えると、配信履歴として配信基盤に残っていた分です。ここから分かることがあります。
メール配信サービスには、送ったあとのリストが残り続けます。 送信が終わったら消える、わけではありません。配信履歴、開封記録、エラーになったアドレスの一覧。これらが蓄積されます。
だから、中小企業が確認すべきことはこうなります。
①配信サービスに、過去何か月分の履歴が残っているか見る。 1年分が残っているなら、1年分が流出対象になります。
②履歴の保存期間を設定できるか確認する。 多くのサービスに設定項目があります。
③キャンペーンごとに作った一時的なリストを消す。 「2025年夏セール用」のリストが残っていませんか。
送った分が残る。 この当たり前のことが、事故のときの件数を決めます。
時系列で見る経過
- 2026年7月1日〜10月28日この期間に配信先に指定していたメールアドレスが、後に流出の対象となる
- 2026年10月28日〜31日アララのメール配信基盤が侵害され、契約企業向けサーバーからデータが持ち出される
- 2026年10月31日アララが「アララ メッセージ」を全面停止
- 2026年11月5日GMOメイクショップが約1,260万件の流出を公表
中小企業が学ぶべきポイント
- ネットショップ運営者から見ると「委託先の委託先」。契約していない会社の事故で、自店の顧客が対象になる。
- 契約先からの個別連絡を待たず、使っているサービスの「お知らせ」ページを自分で見る。
- お客様に出す文章は自社の名前で用意する。お客様にとっての取引相手は自分の店。
- 契約時に「再委託先を教えてもらえるか」を聞く。聞く会社と聞かない会社で、事故のときの速さが変わる。
- 対象が「7月1日〜10月28日に配信先に指定していた分」とされた。配信履歴は送信後も残り続ける。
- 配信サービスに何か月分の履歴が残っているか確認し、保存期間を設定する。
- キャンペーンごとに作った一時的なリストを消す。残っていれば、そのぶん流出件数が増える。
出典・参考
本記事は、各組織の公表資料および報道をもとに、要点をわかりやすく整理したものです。 被害件数は「漏えいした可能性のある最大件数」として公表されている場合があり、実際に漏えいが確定した件数とは異なることがあります。 また、調査の進展により内容が変わる場合があります。正確な情報は必ず出典元の公式発表をご確認ください。