モンテローザ、メルマガ会員625,429件 委託先のWebサーバーの脆弱性を悪用

事案の概要データ

図解：この事故の構造

何が起きたのか

株式会社モンテローザは2026年11月4日、メールマガジンの配信を委託するアララ株式会社のサーバーシステムへの不正アクセスにより、メルマガ会員のメールアドレス625,429件が外部に流出したおそれがあると公表しました。うち31,333件については、生年月日等の任意登録情報を含みます。

原因は、委託先のWebサーバーの脆弱性の悪用とされています。

「任意登録」の31,333件という書き方が良い

本件の公表で評価したいのは、625,429件のうち31,333件は項目が多いと、数字を分けて書いたことです。

多くの公表文は「メールアドレス等◯◯件」とまとめてしまいます。それだと読む側は、全員の生年月日が漏れたのか、一部なのか分かりません。

分けて書くと、2つの効果があります。

①対象者が、自分の状況を判断できる。 「生年月日を登録した覚えがあるかどうか」で、注意の度合いを変えられます。

②会社の説明が正確になる。 問い合わせ対応でも「ご登録内容によります」と答えられます。

本サイトでは、同じ時期のカカクコムの公表（約137万件のうち約65万件に誕生日・性別）も、同じ書き方として記録しています。

中小企業が公表文を書くときの参考にしてください。「◯◯件。うち△△件は□□も含む」。 この形で書けるかどうかは、平時にデータの中身を把握しているかで決まります。

「任意登録」だから少なかった——入力を必須にしない効果

62万件のうち、生年月日等が入っていたのは3万1千件。全体の5%です。

なぜこんなに少ないのか。任意登録だったからです。入力しなくても登録できる設計だったため、多くの人が入力していませんでした。

ここに、設計上の大きな教訓があります。項目を「必須」にするか「任意」にするかで、事故のときの被害が20倍変わるということです。

もし生年月日が必須入力だったら、62万件すべてに生年月日が入っていました。

中小企業が会員登録フォームを作るときの判断基準は、こう考えてください。

1. その項目がないと、サービスが提供できないか。 できるなら任意、またはそもそも聞かない。

2. 「あったら便利」は任意にする。 誕生月クーポンのための生年月日、アンケートのための職業など。

3. 必須項目を減らすと、登録してくれる人が増える。 入力が面倒だと離脱されます。事故のリスクが下がるうえに、登録率が上がる。 珍しく、両方得をする判断です。

すでに運用しているフォームでも、必須マークを外すだけなら、今日できます。そのうえで、すでに集めてしまった項目をどうするかは、保存期間を決めて順次消していくことになります。

時系列で見る経過

• 2026年10月28日〜31日アララのサーバーシステムが不正アクセスを受ける（委託先のWebサーバーの脆弱性の悪用）
• 2026年10月31日アララが「アララ メッセージ」を全面停止
• 2026年11月4日モンテローザが625,429件（うち31,333件は生年月日等を含む）の流出のおそれを公表

中小企業が学ぶべきポイント

1. 「625,429件。うち31,333件は生年月日等も含む」と分けて書いた。対象者が自分の状況を判断できる。
2. 数字を分けて書けるかどうかは、平時にデータの中身を把握しているかで決まる。
3. 生年月日等が入っていたのは全体の5%。任意登録だったため、多くの人が入力していなかった。
4. 項目を必須にするか任意にするかで、事故のときの被害が20倍変わった。
5. 「あったら便利」な項目は任意にする。ないとサービスが提供できない項目だけを必須にする。
6. 必須項目を減らすと登録率が上がる。リスクが下がって登録も増える、珍しく両方得をする判断。
7. すでに運用中のフォームでも、必須マークを外すだけなら今日できる。

出典・参考

• 2026年11月の不正アクセス・情報漏えい（不正アクセス・情報漏えい事案一覧）