事案の概要データ
| 公表日 | 2026年11月6日 |
|---|---|
| 委託の構造 | ライフコーポレーション → 委託先：富士通株式会社 → 再委託先：アララ株式会社 |
| 対象 | 「ライフネットスーパー」のメールマガジン配信業務 |
| 件数 | 133,330件（ネットスーパー会員） |
| 流出した可能性がある情報 | メールアドレス、郵便番号、会員登録日 |
| 対象外の情報 | 氏名、クレジットカード番号 |
| 別事案 | ライフコーポレーションは2026年11月2日にも、「ライフ公式アプリ」への大量かつ自動的な認証試行により298件が閲覧された可能性があると公表している（本件とは別事案） |
図解：この事故の構造
何が起きたのか
株式会社ライフコーポレーションは2026年11月6日、「ライフネットスーパー」のメールマガジン配信業務の委託先である富士通株式会社の、その再委託先であるアララ株式会社のメール配信サービスが不正アクセスを受け、ネットスーパー会員133,330件のメールアドレス、郵便番号、会員登録日が流出した可能性があると公表しました。氏名やカード番号の流出はないとしています。
なお、同社は11月2日にも「ライフ公式アプリ」への大量かつ自動的な認証試行により298件が閲覧された可能性があると公表しています。こちらは本件とは別の事案です。
「委託先の再委託先」——3段になると、誰も全体を見ていない
本件の構造は、はっきり3段です。
ライフコーポレーション → 富士通（委託先） → アララ（再委託先）
ライフコーポレーションは、アララと契約していません。富士通にメール配信業務を任せ、富士通がアララを使っていました。
この形は、11月の事案で繰り返し出てきます。無印良品のオーダーカーテン（良品計画→MNインターファッション→ナノテック）、GMOメイクショップ（ネットショップ→GMOメイクショップ→アララ）、山梨県の富士山予約（山梨県→アソビュー→アララ）。
3段になると、誰も全体を見ていない状態になりやすい。
委託元は「信頼できる大手に任せた」と思っています。委託先は「自社の判断で最適なツールを選んだ」と思っています。どちらも間違っていませんが、結果として、委託元は自社の顧客データがどこにあるか知りません。
中小企業がやるべきことは、契約書を書き換えることではありません（相手が大手なら、こちらの文案は通りにくい）。聞くことです。
「この業務で、御社が利用している外部サービスを教えてください」。
この一言を、契約のときと、年に1回の見直しのときに聞いてください。答えが「お答えできません」でも、聞いた記録が残ります。そして、聞かれる側は、聞かれると管理するようになります。
郵便番号と会員登録日が示すもの
流出項目に、郵便番号と会員登録日が入っています。氏名は対象外です。
ネットスーパーですから、配達のために住所を持っています。そのうち郵便番号だけが配信サービス側にあったのは、おそらく「お住まいの地域に合わせたチラシを送る」ためでしょう。
これは、項目を絞った良い例です。番地まで渡していれば、配達先が特定される流出になっていました。
一方で、郵便番号でも分かることはあります。その人がどの地域に住んでいるか。そして「ライフのネットスーパーを使っている」という事実。
組み合わせると、こういう偽メールが作れます。「○○店（その郵便番号の近くの実在店舗）の配達エリア変更のお知らせ」。 地域が合っているので、本物に見えます。
会員登録日も、使い方があります。「ご登録から3年の会員様へ、特別クーポン」。実際の登録時期に合っていれば、疑いにくくなります。
利用者としての備えは、いつもと同じ1つです。クーポンやお知らせは、メールのリンクからではなく、アプリや公式サイトを自分で開いて確認する。
事業者側は、「地域別配信のために郵便番号だけ渡す」という判断そのものは正しいことを覚えておいてください。氏名も番地も渡さなかったから、この程度で済みました。
時系列で見る経過
- 2026年10月28日〜31日再委託先アララのメール配信サービスが不正アクセスを受ける
- 2026年11月2日ライフコーポレーションが、別事案として「ライフ公式アプリ」への不正アクセス（298件）を公表
- 2026年11月6日「ライフネットスーパー」会員133,330件の流出の可能性を公表
中小企業が学ぶべきポイント
- ライフ→富士通→アララの3段。委託元は再委託先と契約しておらず、名前も知らないことがある。
- 3段になると誰も全体を見ていない状態になりやすい。委託元も委託先も、それぞれの判断は間違っていない。
- 契約書を書き換えるより、「この業務で利用している外部サービスを教えてください」と聞く。
- 聞いた記録が残る。そして、聞かれる側は聞かれると管理するようになる。
- 番地ではなく郵便番号だけを渡していた。項目を絞った良い例で、被害がその分小さい。
- 郵便番号でも地域は分かる。近くの実在店舗名を使った偽メールが作れる。
- 会員登録日も「ご登録から3年の会員様へ」という自然な口実の材料になる。
- 同じ会社が11月2日と6日に別事案を公表している。1社に入口は複数ある。
出典・参考
本記事は、各組織の公表資料および報道をもとに、要点をわかりやすく整理したものです。 被害件数は「漏えいした可能性のある最大件数」として公表されている場合があり、実際に漏えいが確定した件数とは異なることがあります。 また、調査の進展により内容が変わる場合があります。正確な情報は必ず出典元の公式発表をご確認ください。