事案の概要データ
| 公表日時 | 2026年11月5日 22時58分 |
|---|---|
| 不正アクセスを受けた事業者 | アララ株式会社（メール配信サービスの提供元） |
| 対象サービス | 食べログ、価格.com、スマイティ、求人ボックス、icotto の5サービス |
| 合計件数 | 約570万件（各サービスの概数を合算したもの。重複を除いた人数ではない） |
| 食べログ | 約419万件（全体の約7割） |
| 価格.com | 約137万件。うち約65万件は誕生日・性別も対象 |
| スマイティ | 約14万件 |
| 求人ボックス | 142件 |
| icotto | 4件。うち2件はユーザーIDも対象 |
| 対象外の情報 | メール本文。パスワード・クレジットカード情報が流出したとの発表もない |
| メール配信の状況 | 食べログ・求人ボックスは復旧済み。価格.com・スマイティ・icottoは一時停止中 |
| 委託先の扱い | アララの配信サービスは再開せず、安全性を確認した別の委託先への切り替えを含めて復旧を進める |
| 二次被害 | 公表時点で確認されていない |
図解：この事故の構造
- 食べログ 約419万件
- 価格.com 約137万件（うち約65万件は誕生日・性別も）
- スマイティ 約14万件
- 求人ボックス 142件
- icotto 4件（うち2件はユーザーIDも）
何が起きたのか
株式会社カカクコムは2026年11月5日22時58分、メール配信業務の委託先であるアララ株式会社のサービスが第三者から不正アクセスを受け、同社5サービスの利用者情報約570万件が外部に流出したと公表しました。
内訳は、食べログ 約419万件、価格.com 約137万件、スマイティ 約14万件、求人ボックス 142件、icotto 4件。流出したのは主にメールアドレスですが、価格.comの約137万件のうち約65万件については誕生日と性別も対象となり、icottoの4件のうち2件ではユーザーIDも含まれます。
メール本文は対象外とされ、パスワードやクレジットカード情報の流出についての発表はありません。
本件はカカクコムの各サービスが直接破られたものではなく、外部のメール配信基盤が侵害されたことによる波及です。アララの事案については本サイトの別記事で扱っています。
なお、この約570万件を、アララが公表した約7,700万件に足すことはできません。アララの数字は全体の概数で、カカクコムの数字はその内訳にあたります。
「メールアドレスだけ」ではなかった——誕生日と性別が付いた意味
メール配信サービスの事故では、「流出したのはメールアドレスのみ」という説明が多く並びました。本件の価格.comは違います。約65万件に、誕生日と性別が付いています。
誕生日が1つ加わると、詐欺の作り方が変わります。
①本人確認のふりができる。 「生年月日をお教えください」ではなく「○年○月○日生まれの方ですね」と先に言う。これだけで、相手は正規の窓口だと思い込みやすくなります。
②「誕生日特典」という自然な口実ができる。 誕生月に届く特典メールは本物も多いので、見分けがつきにくい。
③他のサービスの本人確認を突破する材料になる。 氏名・生年月日・電話番号の組み合わせは、コールセンターでの確認に使われることがあります。
カカクコムは、誕生日・性別が記載されていても正規の連絡と判断しないよう呼びかけています。利用者としては、公式アプリかブックマークから自分で入る。この一手で、ほぼ防げます。
そして企業側の教訓はこれです。配信サービスに「配信に必要のない項目」を渡していないか。 誕生月のキャンペーンメールを送るために誕生日を渡していたのなら、それが今回そのまま流出しています。
「サービスごとに件数が桁違い」が示していること
内訳をもう一度見てください。食べログ約419万件に対し、求人ボックスは142件、icottoは4件です。同じ会社の同じ委託先で、4桁も違います。
なぜこうなるのか。そのサービスが、配信サービスにどれだけのリストを預けていたかの差です。全会員へ配信していれば数百万件、一部の通知だけ使っていれば数百件。
ここが中小企業にとって実践的なところです。預けている量が、そのまま被害の大きさになります。
確認する順番はこうです。
1. いま契約しているメール配信サービスに、何件のアドレスが入っているか見る。 管理画面に出ています。
2. そのうち「もう送らない人」が何件あるか数える。 配信停止した人、退会した人、何年も開封していない人。
3. 消す。 送らない相手のアドレスを預けておく理由はありません。
4. 氏名・生年月日・性別などを一緒に預けているなら、本当に配信に使っているか確認する。 使っていない項目は消すか、最初から渡さない。
カカクコムは、アララのサービスを再開せず別の委託先への切り替えを進めるとしています。これも1つの判断です。ただし、乗り換え先が安全とは限りません。乗り換えるときは、預ける項目を減らしてから乗り換えるのが実利のある対応です。
時系列で見る経過
- 2026年10月28日〜31日アララのメール配信基盤を経由して契約企業向けサーバーに侵入され、データが持ち出される（アララの第2報による）
- 2026年10月31日アララが「アララ メッセージ」を全面停止
- 2026年11月2日アララが第2報を公表（サーバー97台・最大約380社・約7,700万件）
- 2026年11月5日 22時58分カカクコムが5サービス合計約570万件の流出を公表。食べログ・求人ボックスのメール配信は復旧済み
- 公表後対象者へ個別案内を進める方針。アララの配信サービスは再開せず、別の委託先への切り替えを含めて復旧
中小企業が学ぶべきポイント
- 同じ委託先でも、サービスごとの件数は4桁違った。預けている量が、そのまま被害の大きさになる。
- 価格.comの約65万件には誕生日・性別が付いていた。「メールアドレスだけ」で済まない場合がある。
- 誕生日が加わると、相手が先に生年月日を言う「本人確認のふり」ができるようになる。
- 誕生月のキャンペーンのために誕生日を配信サービスへ渡していたなら、それがそのまま流出している。
- 配信サービスの管理画面で件数を見て、送らない相手のアドレスを消す。これが最も確実な減らし方。
- 委託先を乗り換えるときは、預ける項目を減らしてから乗り換える。
- カカクコムの約570万件を、アララの約7,700万件に足してはいけない。後者の内訳にあたる。
出典・参考
- カカクコム、食べログ・価格.comなど5サービスで約570万件の個人情報流出（セキュリティ対策Lab・2026年11月5日）
- ペイクラウドHD、「アララ メッセージ」への不正アクセスで約7700万件のメールアドレスが流出（INTERNET Watch・2026年11月2日）
本記事は、各組織の公表資料および報道をもとに、要点をわかりやすく整理したものです。 被害件数は「漏えいした可能性のある最大件数」として公表されている場合があり、実際に漏えいが確定した件数とは異なることがあります。 また、調査の進展により内容が変わる場合があります。正確な情報は必ず出典元の公式発表をご確認ください。