---
title: "セガのメルマガ宛先219万6044件が流出確定、アララ経由で何が漏れ、何が漏れていないか"
description: "セガとセガ フェイブが2026年11月9日、メール配信の委託先アララへの不正アクセスでメールアドレス2,196,044件の外部流出が判明したと発表。うち92,273件には配信に付随する情報も。氏名やカード情報、ログインパスワードは対象外で、SEGA Accountのアドレスも別系統のため対象外という線引きを一次発表で確かめた"
url: https://itpostjp.com/security/sega-arara-email-leak-2196044/
category: "セキュリティ"
published_at: 2026-11-14T08:37:59Z
updated_at: 2026-11-14T08:37:59Z
author: "IT Post編集部"
editor: "編集長 千田智也"
publisher: "IT Post by Rice Studio Lab"
language: ja-JP
ai_generated: true
ai_model: muse-wonder
terms: ["サプライチェーン攻撃", "フィッシング"]
---

# セガのメルマガ宛先219万6044件が流出確定、アララ経由で何が漏れ、何が漏れていないか

IT Post編集部 ＆ 編集長 千田智也

セガとセガ フェイブが2026年11月9日、メール配信の委託先アララへの不正アクセスでメールアドレス2,196,044件の外部流出が判明したと発表。うち92,273件には配信に付随する情報も。氏名やカード情報、ログインパスワードは対象外で、SEGA Accountのアドレスも別系統のため対象外という線引きを一次発表で確かめた

## 30秒で分かる結論

- セガとセガ フェイブの一部メールマガジンの配信先メールアドレス2,196,044件が、外部に流出したことが判明しました。うち92,273件には「配信に付随する情報」も含まれ、その中身は調査中です。
- 流出していないことが判明しているのは、氏名・生年月日・性別・住所・電話番号・クレジットカード情報・ログインパスワードです。「SEGA Account」のアドレスは別の配信システムのため対象外です。
- 原因はメール配信の委託先であるアララの「アララメッセージ」への不正アクセスです。現時点で流出情報の悪用は確認されていません。

## まず初めに

219万件という数字だけ見ると身構えるが、今回の発表で一番大事なのは数字の大きさではなく「流出が判明した」と言い切っている点だ。この数週間、アララ経由の発表は「漏えいの可能性」「おそれ」の連続だった。セガの発表はその中では珍しく、流出を確定として書いている。逆に言えば、他の多くの企業の「可能性」も、調査が進めば確定に変わりうるということだ。言葉の温度差は、各社の調査の進み具合の差でしかない。
※個人の感想です

## 何が起きたのか

株式会社セガは2026年11月9日、「業務委託企業への不正アクセスによる個人情報流出に関するお詫びとお知らせ」を公表しました。セガとグループ会社のセガ フェイブの製品・サービスに関する一部のメールマガジンの配信に、アララ株式会社の配信システム「アララメッセージ」を利用しており、同社が第三者による不正アクセスを受け、メールマガジンの配信に利用した顧客のメールアドレスなどが外部に流出したことが判明した、という内容です。

対象となったのは、2026年7月2日から10月28日にかけて配信された11件のメールマガジンです。アーケードゲームの稼働案内や「セガ ラッキーくじ」関連、東京ゲームショウ2026の出展情報などが含まれると報じられています。

## 流出した情報と、流出していない情報

セガの発表（2026年11月9日現在）で整理すると、次のようになります。

| 区分 | 内容 |
|---|---|
| 流出が判明 | メールアドレス 2,196,044件（その内、配信に付随する情報を含む 92,273件） |
| 流出していないと判明 | 氏名、生年月日、性別、住所、電話番号、クレジットカード情報、ログインパスワード |
| 対象外 | 「SEGA Account」に登録されたメールアドレス（別の配信システムを利用） |
| 調査中 | 「配信に付随する情報」の具体的な内容 |

![セガの流出件数と対象外の線引き（セガ公式発表に基づく図解）](/images/articles/sega-arara-email-leak-2196044-inline-1.webp)

「配信に付随する情報」が何を指すのかは、発表時点で明らかにされていません。セガはアララと連携して流出情報の詳細の確認を進めているとしています。この未確定部分があるため、92,273件については「メールアドレス以外の何かが付いていた」以上のことは現時点では言えません。

## 発覚までの経緯

セガの発表と報道を合わせると、経緯は次のとおりです。セガは10月29日にアララへ配信の安全性を確認し、その時点では情報流出は確認されていないとの報告を受けていました。その後、11月1日にアララが不正アクセスの発生を公表したことを受けて再確認したところ、11月3日に流出が確認されたとの通知を受け、11月5日から8日にかけて正式な報告を受領し、11月9日に公表しました。

最初の確認で「流出なし」とされた情報が、その後の再確認で覆った経緯は重要です。委託先からの第一報をそのまま利用者に伝えると、後から訂正が必要になるリスクがあることを、この事案は具体的に示しています。アララ全体の事案の規模については、本誌の[内閣府のメールマガジン事案の記事](https://itpostjp.com/security/cabinet-office-okinawa41-rental-server-unauthorized-access-possible-leak/)など、アララ経由の各社の発表を個別に整理しています。

## アララ事案全体の中での位置づけ

セガの件数は、アララ事案全体から見れば一部です。アララ自身の第3報では、不正アクセスによって持ち出されたメールアドレスは重複を除いて81,329,467件に上り、対象となる契約企業は最大で約380社と推計されていると報じられています。さらに、アララのメール配信システムが不正利用され、クレジットカード会社を装った不審メールが最大で約713万通送信されたことも判明しています。つまり、セガのメルマガ宛先が流出したということは、そのアドレスが、すでに実際にフィッシング送信へ悪用された実績のある基盤から出た、という意味も持ちます。セガを名乗るメールだけでなく、カード会社などを装うメール全般への注意が要るのはこのためです。

対象のメールマガジンについて、報道では『CHUNITHM』や『maimai でらっくす』といったアーケードゲームの稼働告知が具体例として挙げられています。ゲームセンターで遊ぶために登録した覚えのあるアドレスや、くじの発売情報を受けるために登録したアドレスが中心であり、セガの全サービスの利用者ではない点も、対象判断では重要です。

## 対応と利用者への注意

セガは現時点で、本件に係る流出情報の悪用は確認されていないとしています。個人情報保護委員会への報告は、アララとの連名で予定していると報じられています。対象者には、流出情報の詳細が確認でき次第、個別に連絡するとしています。

同社は、セガやセガ フェイブ、アララを装ったり、両社の製品・サービス名を使ったりした不審なメールが届く可能性があるとして注意を呼びかけています。セガがメールでパスワードやクレジットカード情報を尋ねることはないため、そのような連絡は開かずに削除し、心当たりがある場合は公式サイトやセガ カスタマーサポートから確認してください。

なお、「セガ ラッキーくじオンライン」がメンテナンス中である点について、セガは本件とは別事案であるセガ フェイブのアーケードゲームネットワークサービスに係るサーバーへの不正アクセスに伴う安全確認のためだと説明しています。2つの事案を混同しないよう注意が必要です。

## IT Postの見方

IT Postでは、この発表の価値は「確定」と「未確定」をきちんと分けて書いている点にあると考えます。2,196,044件という1件単位の数字、対象外の明記、別事案との切り分け。どれも、利用者が「自分は対象か」「何をすればいいか」を判断するために必要な材料です。一方で、92,273件の「配信に付随する情報」の中身が未確定のままである以上、この発表は完了形ではありません。続報で中身が具体化した時点で、本誌でも正本の更新として扱います。アララ事案全体では、持ち出されたメールアドレスが重複を除いて8,000万件超とアララ自身が公表しており、セガの219万件はその一部にすぎません。個別企業の発表を積み上げる以外の全体像の掴み方がない現状も、この事案の厄介なところだと考えます。

## 今後どうなりそうか

「配信に付随する情報」の内容が判明すれば、対象者への個別連絡と併せて続報が出る見込みです。また、アララを利用していた他の企業からの発表も続く可能性があります。メルマガに登録した覚えのある利用者は、セガを名乗るメールへの注意を当面続けてください。

## 情報源

「一次情報」は資料の出所を示す区分で、編集部による独立した実測や、すべての主張の実証を示すものではありません。確認の範囲や未確認の点は、本文の説明と併せてご覧ください。

- [業務委託企業への不正アクセスによる個人情報流出に関するお詫びとお知らせ](https://www.sega.co.jp/release/261109_1.html) — 株式会社セガ（一次情報）
- [セガの220万件流出は氷山の一角 委託先侵害でメールアドレス8100万件が流出](https://atmarkit.itmedia.co.jp/ait/spv/2611/11/news034.html) — ＠IT

## この記事に出てくるIT用語

- [サプライチェーン攻撃](https://itpostjp.com/terms/supply-chain-attack/): 攻撃対象を直接狙うのではなく、その対象が利用するソフトウェア部品や取引先などの供給網を経由して間接的に攻撃する手口です。
- [フィッシング](https://itpostjp.com/terms/phishing/): 実在する企業になりすまして、パスワードやカード番号をだまし取る詐欺です。

---

この記事は、公開情報と出典URLの検証、文章作成の一部に生成AIを使用しています。内容の責任はIT Post by Rice Studio Labが負います。

出典表記: IT Post by Rice Studio Lab — https://itpostjp.com/security/sega-arara-email-leak-2196044/