不二家「ファミリータウン」、メールアドレス最大149,892件が流出。アララ経由で、自社データベースは無事という線引き

まず初めに

ケーキ屋のメルマガ登録が、なぜ全国規模の配信基盤の事故に巻き込まれるのか。答えは単純で、宛先リストを外部の道具に預けていたからだ。自社の金庫は無事でも、預け先の倉庫が破られれば中身は出ていく。委託とは、そういう契約である

※個人の感想です

公式発表の内容

株式会社不二家は2026年11月12日、「メール配信サービス提供事業者への不正アクセスによるお客様メールアドレス流出に関するお詫びとお知らせ」を公表しました。公式ネットショップ「ファミリータウン」において、メールマガジン配信のために導入している外部ツール「アララメッセージ」（提供元：アララ株式会社）への第三者による不正アクセスが発生し、メールマガジンを購読しているお客様のメールアドレスが外部へ流出したことが判明した、という内容です。

同社は、対象となるお客様と関係者へ謝罪するとともに、現時点で確認されている状況と対応を公表しています。

経緯と委託の構造

経緯について、不二家は次のように説明しています。「ファミリータウン」のメールマガジン配信に利用しているGMOメイクショップ株式会社より、委託先であるアララ株式会社において第三者による不正アクセスが発生し、登録しているお客様のメールアドレスが外部へ漏洩したとの報告を、11月11日に受けました。

あわせて、アララ社が公表する、同社を含む約380社・約8,233万件の顧客情報の流出が確認されたこと、ならびに不正アクセス確認後に対象サーバーをネットワークから切り離す対応を実施したとの情報を確認したとしています。

重要な線引きとして、本件は委託先（アララ社）のサーバーで発生したものであり、不二家のシステムおよびデータベースへの不正アクセス・流出は確認されていない、と同社は明記しています。つまり、不二家自身の会員基盤が侵入された事案ではありません。

流出した情報と件数

流出した可能性のある情報と対象件数は、「ファミリータウン」のメールマガジンに登録されているお客様のメールアドレス149,892件（最大件数）です。

同社は、流出した情報はメールアドレスのみであり、氏名、住所、電話番号、クレジットカード情報等は含まれていないとしています。この149,892件は最大件数として示された値であり、重複を除いた実人数を確定する数字ではありません。

同じアララ経由の事故では、ケユカの1,214,183件（ケユカの記事）など、各社が自社の宛先範囲を個別に公表する形が続いています。各社の件数は、アララ全体の件数へ単純に合算できる性質のものではありません。

利用者への注意喚起

不二家は、本件に便乗したフィッシングメールや迷惑メール等が届く可能性に触れ、同社や関連企業を装った不審なメールを受信した場合は、添付ファイルの開封やメール本文のURLへのアクセスを行わないよう呼びかけています。

メールアドレスのみの流出でも、ネットショップの利用者であることが推測できる宛先に対しては、「注文の確認」「アカウントの再認証」などを装う手口が想定されます。案内の確認は、メール本文のリンクではなく、自分で開いた公式サイトから行うことが基本です。

今後の対応

同社は、詳細な原因究明と安全性の確認を進めるとともに、外部委託先の管理体制の見直しおよびセキュリティ強化を徹底し、再発防止に努めるとしています。今後、調査の過程で新たに開示すべき事実が判明した場合には、速やかに公表するとしています。

なお、本件については個人情報保護委員会への報告を行っていると公表しています。問い合わせは、同社のお客様サービス室（お客様問い合わせフォーム）で受け付けています。

アララ事案全体の中での位置づけ

不二家が引用しているアララ社の公表では、同社を含む約380社・約8,233万件の顧客情報の流出が確認されたとされています。これはアララの基盤全体に関する公表値であり、不二家の149,892件は、そのうち「ファミリータウン」のメールマガジン登録者という範囲を不二家自身が切り分けて示した数字です。

このため、各社が公表する件数を単純に足し合わせても、アララ全体の被害規模にはなりません。同じ宛先が複数の企業に登録されている場合もあり、件数の単位も「メールアドレスの件数」であって「人数」ではないためです。読者にとって意味があるのは総数よりも、自分が登録したサービスの公表範囲に自分の利用が含まれるかどうかです。

「ファミリータウン」のメールマガジンに登録したことがある人は、不二家や関連企業を装ったメールへの警戒を一段上げるのが現実的な対応です。注文確認やアカウント確認を装うメールが届いても、本文のリンクは使わず、公式サイトを自分で開いて注文履歴や案内を確認してください。パスワードやクレジットカード情報をメールで求められた場合は、それ自体が不審なサインです。

なお、同社のお客様問い合わせフォームは公式発表の中に案内されています。不審なメールに記載された窓口ではなく、公式発表や公式サイトからたどれる窓口を使うことが、二次被害を避けるうえでの基本になります。また、同社は新たに開示すべき事実が判明した場合には速やかに公表するとしているため、続報の有無自体も、公式サイトの発表一覧で確認するのが確実です。現時点で、同社の発表の範囲を超える流出項目は示されていません。

IT Postの見方

IT Postでは、この件は「自社が無事」という発表の読み方が問われる事例だと考えます。不二家のシステムに侵入がなかったことは事実として重要ですが、利用者から見れば、預けたメールアドレスが外部へ出たことに変わりはありません。責任の所在と、利用者が受ける影響は、別の物差しで見る必要があります。

実務上の論点は、委託先の先にある再委託先まで含めて、宛先データがどこに、どれだけの期間残るのかを把握できていたかです。配信が終わった宛先リストが基盤側に残り続ける構造は、アララ事案全体を通じて繰り返し現れています。契約先の棚卸しに、データの保持期間と削除の確認まで含めることが、次の焦点です。

今後どうなりそうか

今後は、不二家からの続報の有無と、アララ側の調査の進展が焦点になります。新たな開示すべき事実が判明すれば、同社は速やかに公表するとしています。

新たな事実が公表されれば、本記事を更新します。