事案の概要データ
| 報じられた日 | 2026年10月28日 |
|---|---|
| 対象 | 最大およそ5万人分（約5万件）のメールアドレス |
| 含まれないとされる情報 | 氏名、住所、電話番号、クレジットカード情報 |
| 不正利用 | 確認されていないと説明 |
| 原因 | 業務委託先のメール配信システムへの不正アクセス |
| 委託先名・判明日 | 報道に記載なし |
| 注意 | 公式告知を確認できず、件数は報道にもとづく |
図解：この事故の構造
何が起きたのか
2026年10月28日、TBSショッピングの業務委託先のメール配信システムに不正アクセスがあり、最大およそ5万人分のメールアドレスが対象になったと報じられました。
氏名、住所、電話番号、クレジットカード情報は含まれないと説明され、不正利用も確認されていないとされています。
委託先の社名や、不正アクセスが判明した日は報道に記載がありません。本記事の時点では公式告知も確認できておらず、件数は報道にもとづきます。
2026年10月、メール配信基盤の事案は5件目
2026年10月は、メール配信にまつわる事案が異例の頻度で続きました。
10月13日のアルカディア「SpeeCAN RAIDEN」（自治体の防災メールなど・約313.6万件規模）、10月19日のユミルリンク「Cuenote FC」（延べ5,162万8,280件）、10月21日のブラストメール（ラクスライトクラウド・40組織超へ波及）、10月25日のイグレックス「ワイメール」。そして本件です。1か月で5件になります。
なぜメール配信サービスばかりなのか。理由は構造にあります。
メール配信サービスには、利用企業が集めたメールアドレスのリストが集まっています。1社に侵入すれば、その上に乗っている全企業の宛先リストが手に入ります。攻撃者にとって、これほど効率のよい標的はありません。
そして流出したアドレスは、フィッシングメールの宛先リストとして価値があります。「この企業のメールマガジンを購読している人」と分かっているため、その企業を装えば開封されやすいからです。
「メールアドレスだけ」をどう受け止めるか
本件で漏えいしたのはメールアドレスだけ、とされています。「それなら軽い」と考えてよいでしょうか。
2つの見方があります。
軽いと言える面。 氏名、住所、電話番号、クレジットカード情報が含まれていないなら、なりすましや金銭被害に直結しません。メールアドレスは変更もできます。
軽くない面。 「TBSショッピングのメールマガジンを受け取っている人のアドレス一覧」として使われます。TBSショッピングを装ったメールが届いたとき、受け取った人は疑いにくくなります。「買い物をしたことがある会社だから」です。
つまり、漏えいそのものより、その先のフィッシングが本番です。
利用者としてやるべきことは1つです。そのメールに書かれたリンクを開かず、公式サイトやアプリに自分でアクセスする。 これだけで、ほぼ防げます。
「ご注文の確認」「ポイントの有効期限」「お支払い方法の更新」。こうした件名のメールが来たら、リンクではなくブックマークから入ってください。
メール配信を委託している企業がやること
自社でメールマガジンや通知メールを配信している中小企業は、次を確認してください。
1. どのサービスを使っているか把握する。 担当者が代わって、契約先が分からなくなっていることがあります。
2. 預けている宛先リストを減らす。 配信停止した人、退会した人のアドレスが残っていませんか。消してください。預けている件数が少なければ、漏れる件数も少なくなります。
3. 渡すデータを最小限にする。 氏名と購入履歴まで配信サービスに取り込んでいませんか。宛名に使わないなら、渡す必要はありません。2026年10月のユミルリンクの事案では、「氏名・住所・電話番号は配信サービスに預けていなかったので流出していない」と説明した企業が複数ありました。
4. 管理画面に多要素認証をかける。 IDとパスワードだけで入れる状態になっていませんか。
5. 「当社を装うメールにご注意ください」という案内文を平時に用意しておく。 事故が起きたとき、自社が攻撃されていなくても、顧客に届くのは自社名のメールです。文面があれば当日すぐ出せます。
時系列で見る経過
- （日時は未公表）業務委託先のメール配信システムが不正アクセスを受ける
- 2026年10月28日最大およそ5万人分のメールアドレスが対象と報じられる
- （調査中）委託先名、判明日、確定した件数は公表されていない
中小企業が学ぶべきポイント
- 2026年10月のメール配信基盤の事案はこれで5件目。アルカディア、ユミルリンク、ブラストメール、ワイメール、本件。
- メール配信サービスには利用企業の宛先リストが集まるため、攻撃者にとって効率のよい標的になる。
- 「メールアドレスだけ」でも、その企業を装うフィッシングの宛先リストとして使われる。漏えいより、その先が本番。
- メールのリンクを開かず、公式サイトやアプリに自分でアクセスする。これでほぼ防げる。
- 配信サービスに渡すデータを最小限にする。宛名に使わない氏名や購入履歴は渡さない。
- 配信停止・退会した人のアドレスをリストから消す。預ける件数が少なければ漏れる件数も少ない。
- 「当社を装うメールにご注意ください」の案内文を平時に用意しておく。
出典・参考
本記事は、各組織の公表資料および報道をもとに、要点をわかりやすく整理したものです。 被害件数は「漏えいした可能性のある最大件数」として公表されている場合があり、実際に漏えいが確定した件数とは異なることがあります。 また、調査の進展により内容が変わる場合があります。正確な情報は必ず出典元の公式発表をご確認ください。