事案の概要データ
| 公表日 | 2026年11月6日 |
|---|---|
| 不正アクセスを受けた事業者 | アララ株式会社（メール配信業務の委託先） |
| 件数 | 1,993,665件 |
| 対象 | 「小学館ID」などに関する会員情報 |
| 位置づけ | 小学館自身のシステムが破られたものではなく、委託先の配信基盤からの流出 |
| 件数の扱い | 「件」の数であり、実人数とは異なる。アララ全体の公表値（第3報で81,329,467件）に加算することはできない |
図解：この事故の構造
何が起きたのか
株式会社小学館は2026年11月6日、メール配信業務を委託するアララ株式会社のシステムが第三者による不正アクセスを受け、「小学館ID」などに関する会員情報の漏えいを確認したと公表しました。件数は1,993,665件です。
小学館自身のシステムが破られたものではなく、委託先の配信基盤からの流出です。
アララは11月6日の第3報で、区分間の重複を除いたメールアドレスを81,329,467件と公表しています。小学館の199万3,665件は、その内数にあたります。足し算はできません。
出版社の「共通ID」に何が集まっているか
「小学館ID」は、同社のさまざまなWebサービスで共通して使うアカウントです。近年、多くの会社が同じ仕組みを導入しています。
なぜ共通IDにするのか。 利用者にとっては、1つのIDで複数のサービスが使えて便利です。会社にとっては、どのサービスをどんな人が使っているかを横断して把握できます。
その結果、1つのIDに、複数のサービスの利用情報がひもづきます。 雑誌の定期購読、通販、会員向けサイト、アプリ、イベントの申し込み。
本サイトでは11月に、同じ「共通ID」の事案を扱いました。アイスタイル「@cosme共通ID」（約300万人）、あいおいニッセイ同和損保「ご契約者さま専用ページ」（グループ共通・約44万4,000件）。
共通IDは、便利さと引き換えに、1回の事故の影響範囲を広げます。
中小企業で、複数のサービス・店舗を運営している場合に考えるべきことは2つです。
①本当に共通にする必要があるか。 会員証とネット通販のIDを分けている会社もあります。分けると手間は増えますが、事故のときの範囲は狭くなります。
②共通にするなら、メール配信サービスに渡すのはそのうちの最小限にする。 「共通IDに紐づく全情報」を配信ツールに同期していませんか。
本サイトが繰り返しているとおり、アララの事案で流出項目が会社ごとに違ったのは、預けていた項目が違ったからです。小学館の公表では項目の詳細が明らかにされていませんが、同じ原則が当てはまります。
199万件という規模を、どう受け止めるか
199万3,665件。本サイトが扱うアララ関連の公表としては、アソビュー（15,821,184件）、ビックカメラ3社（約1,490万件）、GMOメイクショップ（約1,260万件）、カカクコム（約570万件）、松竹マルチプレックス（3,320,305件）、TKC（最大2,230,812件）に次ぐ規模です。
ここで強調しておきたいのは、この並びが「1社の事故」によって生まれているということです。
アララという1社が侵害され、最大約380社の契約企業の環境から情報が持ち出されました。そして11月に入って、利用企業の公表が次々と出ています。
中小企業の経営者が、この状況から持ち帰るべき結論は1つです。
「自社が気をつけていても、事故は起きる」。
小学館も、カカクコムも、三井住友銀行も、松井証券も、自社のシステムは破られていません。それでも、顧客に謝る側に回りました。
だから、防ぐ努力と同じくらい、起きたときの備えに意味があります。
1. 使っている外部サービスの一覧を持つ。
2. 預けている項目を減らす。
3. 顧客への案内文のひな形を用意する。
4. 「当社を装うメールにご注意ください」という告知を、すぐ出せるようにする。
この4つは、どれも費用がかかりません。 そして、2026年10月から11月の状況を見るかぎり、使う機会は確実にあります。
時系列で見る経過
- 2026年10月28日〜31日アララのメール配信基盤が侵害され、契約企業向けサーバーからデータが持ち出される
- 2026年10月31日アララが「アララ メッセージ」を全面停止
- 2026年11月6日小学館が1,993,665件の漏えいを確認したと公表
- 2026年11月6日アララが第3報を公表。区分間の重複を除いたメールアドレスは81,329,467件
中小企業が学ぶべきポイント
- 小学館自身のシステムは破られていない。委託先の配信基盤からの流出。
- 199万3,665件は、アララ全体の81,329,467件の内数。加算できない。
- 共通IDは便利な反面、1回の事故の影響範囲を広げる。
- 複数サービスを運営している場合、本当に共通にする必要があるかを検討する。
- 共通IDに紐づく全情報を配信ツールに同期していないか確認する。
- 自社が気をつけていても事故は起きる。1社の事故で最大約380社に影響が及んだ。
- 防ぐ努力と同じくらい、起きたときの備えに意味がある。しかも費用がかからない。
- 外部サービスの一覧、預ける項目の削減、案内文のひな形、「装うメールにご注意」の告知。この4つを平時に用意する。
出典・参考
- 小学館「小学館ID」など199万3,665件が情報漏えいのおそれ アララへのサイバー攻撃で（セキュリティ対策Lab・2026年11月8日）
- 2026年11月の不正アクセス・情報漏えい（不正アクセス・情報漏えい事案一覧）
本記事は、各組織の公表資料および報道をもとに、要点をわかりやすく整理したものです。 被害件数は「漏えいした可能性のある最大件数」として公表されている場合があり、実際に漏えいが確定した件数とは異なることがあります。 また、調査の進展により内容が変わる場合があります。正確な情報は必ず出典元の公式発表をご確認ください。