オープンドアは2026年11月9日、旅行比較サイト「トラベルコ」のウェブサイトへの不正アクセスで、メールマガジン登録者のメールアドレス381,926件が流出したと発表。11月4日公表のアララの事案とは別件で、流出アドレスの大半は重複する。対象と対応を整理する
同じメールアドレスが、1週間のうちに2回出ていく。1回目は委託先の配信システムから、2回目は自社のウェブサイトから。鍵を2か所に預けていたら、両方の金庫が別々の泥棒に開けられていた、という構図である。もっとも、盗まれた中身がほぼ同じだったのは不幸中の幸いか、そもそも二重に持っていたこと自体が問題か。判断が難しいところだが、少なくとも「委託先さえ守ればいい」という時代でないことだけは、はっきりした。
※個人の感想です
株式会社オープンドアは2026年11月9日、「当社ウェブサイトにおける不正アクセス（メールマガジン）に関するお詫びとお知らせ」を公表しました。
同社によると、2026年11月6日、「トラベルコ」のウェブサイトに対する第三者による不正アクセスを確認し、メールマガジンに登録している利用者のメールアドレスが外部に流出していたことが判明した、ということです。
流出が確認された情報は、次のとおりです。
| 項目 | 内容 |
|---|---|
| 流出件数 | 381,926件 |
| 流出した情報 | トラベルコメールマガジン登録者のメールアドレス |
| うち都道府県を含むもの | 152,655件 |
| うち郵便番号を含むもの | 616件 |
都道府県と郵便番号の件数は、381,926件の内数です。両方が同じメールアドレスに付随しているかどうかは示されておらず、件数を足し合わせることはできません。また、メールアドレスの件数をそのまま人数と読み替えることもできません。
同社は、氏名、住所、電話番号、性別、生年月日、パスワード、クレジットカード情報等の流出はないと明記しています。
今回の発表で最も注意が必要なのは、11月4日に公表された事案との関係です。
オープンドアは11月4日、メールマガジンの配信委託先であるアララ株式会社のメール配信システムへの不正アクセスについて公表していました。アララの事案については、「アララ メッセージ」への不正アクセスでメールアドレス約300万件が流出で解説しています。
今回の事案は、その委託先ではなく、トラベルコのウェブサイト自体への不正アクセスによるものです。同社は「別の事案です」と明言したうえで、「メールマガジンに登録されているメールアドレスが流出の対象となるため、両事案において流出したメールアドレスはそのほとんどが重複していることを確認しております」としています。
そのため、今回の381,926件をアララ事案の件数に単純に加算して「被害が拡大した」と読むのは正確ではありません。2つの事案を通じた重複を除いた対象規模は、同社が精査中です。なお、2つの事案の侵入経路や攻撃者が同じかどうかは、公表されていません。
現在、メールマガジンはサービスを停止していますが、旅行商品の検索・比較を含むその他のサービスはすべて利用できます。また、発表時点において、流出した情報が外部に公開された事実や、第三者により悪用された事実は確認されていない、としています。
同社の対応は、次のとおりです。
対象者への個別の案内については、両事案で流出した対象範囲を精査のうえ、準備が整い次第、順次メールで連絡するとしています。本件の問い合わせ先は、メールアドレス support-travelko@opendoor.co.jp です。
同社は、流出したメールアドレスを悪用し、同社やその他を装った不審なメールが届く可能性があるとして、次の注意を呼びかけています。
今回の発表ではパスワードの流出はないとされています。流出そのものへの対応として全利用者にパスワード変更が求められているわけではありません。警戒すべきは、流出したメールアドレス宛てに届く「予約確認」「キャンセル手続き」「払い戻し」などを装ったメールから、偽のページでログイン情報やカード情報を入力させられる二次被害です。不審なメールの見分け方は、フィッシングSMSの見分け方をまとめたガイドも参考になります。
IT Postでは、今回の件の本質は件数ではなく、「同じ登録データが、自社と委託先の両方に置かれていた」という構造にあると考えます。メールマガジンの登録情報は、ウェブサイト側のデータベースと配信システム側の両方に存在します。片方だけを固めても、もう片方が開けば同じ情報が出ていく。今回、その弱点が1週間のうちに2回、別々の侵入で実証されてしまいました。
一方で、評価できる点もあります。同社は「別の事案であること」と「流出アドレスの大半が重複すること」を、同じ発表の中で明示しました。件数を合計して大きく見せることも、小さく見せることもせず、利用者が二重に案内を受ける可能性まで含めて判断できる形になっています。残る確認点は、侵入の具体的な経路と、重複を除いた最終的な対象範囲です。
※個人の感想です
同社は、両事案の対象範囲の精査を終えたうえで、対象者へ順次メールで個別に案内する予定です。次の確認点は、侵入経路の説明、重複除外後の対象規模の確定、そしてメールマガジン再開の時期と条件です。
IT Postでは、続報が公表された場合は本記事を更新します。
「一次情報」は資料の出所を示す区分で、編集部による独立した実測や、すべての主張の実証を示すものではありません。確認の範囲や未確認の点は、本文の説明と併せてご覧ください。
ペイクラウドホールディングスは2026年11月6日、連結子会社アララのメール配信サービス「アララ メッセージ」への不正アクセスについて第3報を公表した。既報とは別のクラウド環境（環境B）からメールアドレス3,249,492件の持ち出しが新たに判明し、区分間の重複を除いた総数は81,329,467件になった。共用環境の件数の訂正、第2報の時期説明の訂正、再開の条件と公的機関への追加報告も含めて整理した
株式会社ニトリホールディングスは2026年11月9日、同社が管理するシステムへの不正アクセスで、個人会員・購入者・法人会員の情報やECモールの注文データ最大3,762万件が流出した可能性があると発表。11月6日に判明し、10月中旬〜下旬のアクセスの可能性も確認。対象と対応を整理する
三井住友海上火災保険は2026年11月9日、中堅・中小企業向け情報提供サイト「MSコンパス」への不正アクセスにより、顧客情報約2万3,000件が漏えいしたと発表した。対象は会員登録者、同社主催セミナーの申込者（対象期間は2023年11月から2026年11月）、問い合わせフォーム利用者で、法人名、法人番号、役職、氏名、メールアドレス、電話番号、売上高、従業員数などが含まれる。同社は11月3日に一部システムのアクセスを制御し、11月6日にサイト全体を一時閉鎖した。クレジットカード情報と口座情報は含まれていない
ラクスル株式会社は2026年11月9日、ネット印刷サービス「ラクスル」のデータ入稿処理に関わるシステムが不正アクセスを受け、印刷データや請求書などに記載された個人情報が外部に流出したおそれがあると発表した。システムの認証情報が不正に取得され、保管データの一部に外部からアクセスできる状態だったことを確認。対象件数は集計中で、名刺やはがきなど印刷物に記載された第三者の情報も含まれ得る。クレジットカード情報とログインID、パスワードは漏えいしていないことを確認したという
三井住友海上火災保険は2026年11月9日、自動車保険のロードサービス業務などを委託するプレステージ・コアソリューション（PCS）への不正アクセスにより、一部の自動車保険の顧客情報約22万8,000件が漏えいしたと発表した。対象は氏名、住所、電話番号に加え、車両情報（登録番号、車台番号等）と事故・故障の受付に関する情報。クレジットカード情報と口座情報は含まれず、現時点で不正使用は確認されていない。PCSは10月29日に不正アクセスを検知し、三井住友海上は11月4日に報告を受けた
シェアフル株式会社は2026年11月9日、社内管理システムへの不正アクセスで、個人アカウント最大約750万件と求人企業最大約7,500社の情報が流出した可能性があると発表。11月4日発生、5日に検知と遮断。対象と、対象に含まれない情報を整理する
Bing検索からのクリック数にもとづく（集計期間: 2026年9月26日〜2026年10月23日）
