松竹マルチプレックスシアターズ、アララ経由で3,320,305件 会員番号・氏名・生年月日・住所の一部まで

事案の概要データ

図解：この事故の構造

何が起きたのか

株式会社松竹マルチプレックスシアターズは2026年11月4日、映画館の会員サービス「SMT Members」のメール配信に利用していたアララ株式会社の「アララメッセージ」への不正アクセスにより、会員のメールアドレス・会員番号・氏名・性別・生年月日・住所の一部など3,320,305件が外部へ流出したと公表しました。

電話番号、パスワード、クレジットカード情報は含まれないとされています。

アララの事案では「メールアドレスのみ」とする公表が多いなか、本件は氏名・生年月日・住所の一部まで含む、項目の多い部類にあたります。

映画館の会員情報が持つ、特有の意味

項目に会員番号が入っているのがポイントです。

映画館の会員証は、ポイントを貯めて無料鑑賞券に交換できる仕組みが一般的です。つまり、会員番号には換金に近い価値があります。

そして、生年月日も重要です。映画館には「シニア割引」「学生割引」といった年齢に応じた料金があり、本人確認の場面が実際にあります。

想定される悪用は、たとえばこうです。「ポイントの有効期限が近づいています」というメールで偽サイトに誘導し、会員番号とパスワードを入力させる。 氏名と生年月日を先に示されれば、本物だと思ってしまいます。

会員ができる備えは3つです。①SMT Membersと同じパスワードを他で使っていたら変える。②ポイント残高を自分でアプリやサイトから確認する。③「ポイント」「有効期限」「キャンペーン」を名乗るメールのリンクを開かない。

同じアララの事故で、なぜ会社によって流出項目が違うのか

2026年11月に相次いだアララ関連の公表を並べると、はっきりした差があります。

メールアドレスのみ：三井住友銀行（227,216件）、松井証券（最大83万件）、ダスキン（657,886件）、IIJmio（983,458件）など。

氏名や属性情報も含む：アソビュー（氏名・電話番号・生年月日・購入情報）、本件の松竹マルチプレックス（会員番号・氏名・性別・生年月日・住所の一部）、カカクコムの価格.com（約65万件に誕生日・性別）、モンテローザ（31,333件に生年月日等）。

同じ会社の、同じサービスを使っていたのに、流出した項目が違う。 なぜでしょうか。

答えは単純です。預けていた項目が違ったからです。

アララ自身も第2報で「ご契約企業が登録した項目（氏名、性別、生年月日、電話番号、会員番号、住所等。企業により異なる）」と書いています。つまり、何を渡すかは、使う側が決めていました。

ここが中小企業にとって、いちばん実利のある結論です。事故が起きるかどうかは自分で決められません。けれど、起きたときに何が漏れるかは、自分で決められます。

やることは1つに絞れます。配信ツールに渡している項目を見て、「配信に使っていないもの」を削除する。 削除の操作は、たいてい管理画面から数分でできます。

時系列で見る経過

• 2026年10月28日〜31日アララのメール配信基盤が侵害され、契約企業向けサーバーからデータが持ち出される
• 2026年10月31日アララが「アララ メッセージ」を全面停止
• 2026年11月4日松竹マルチプレックスシアターズが3,320,305件の流出を公表

中小企業が学ぶべきポイント

1. 会員番号はポイントと結びつくため、換金に近い価値を持つ。氏名・生年月日とそろうと詐欺に使いやすい。
2. 「ポイントの有効期限」を装う偽メールに注意する。残高はアプリやサイトから自分で確認する。
3. 同じアララの事故でも、会社によって流出項目が違った。差は「預けていた項目」。
4. アララ自身が「登録項目は企業により異なる」と書いている。何を渡すかは使う側が決めていた。
5. 事故が起きるかは自分で決められないが、起きたときに何が漏れるかは自分で決められる。
6. 配信ツールの管理画面で、配信に使っていない項目を削除する。数分でできる。

出典・参考

• 2026年11月の不正アクセス・情報漏えい（不正アクセス・情報漏えい事案一覧）