ビックカメラグループのメール配信委託先に不正アクセス｜約1,520万件が漏えい——EC運営者にとっての意味と今やるべきこと
- 対象
- メール配信など外部サービスに顧客データを渡している店
- 期限
- 期限の案内はなし
- 対応
- 渡している項目と保管の期間を確認
メルマガ配信のために外部サービスへ渡したデータは、今どこまで残っているでしょうか。株式会社ビックカメラ・株式会社コジマ・株式会社ソフマップ（以下、ビックカメラグループ）は2026年11月6日、メール配信の委託先への不正アクセスで合計15,204,757件の情報が漏えいしたと第2報で公表しました。
自社のサイトが無事でも、委託先から情報が漏れることがあります
発表の事実
ビックカメラグループの第2報（2026年11月6日）で公表された内容は次のとおりです。
| 項目 | 公表された内容 |
|---|---|
| 委託先 | アララ株式会社のメール配信システム |
| 経緯 | 10月28日にアララ株式会社が不正アクセスを確認 11月2日にグループが連絡を受け、第1報を公表、連携と利用を停止 11月6日に項目と件数を確認し第2報 |
| ビックカメラ | 14,218,934件：メールアドレス・氏名・性別・都道府県コード・生年月日・ポイントカード番号・会員登録日（最大の項目） 183件：上記の一部に加え注文番号・注文金額・商品名 |
| コジマ | 960,688件：メールアドレスのみ |
| ソフマップ | 24,854件：メールアドレスのみ 41件：氏名・注文情報なども含む |
| 対象外 | カード情報・セキュリティコード・電話番号・住所・ECサイトのログインパスワードは当該システムに保有なし |
| 被害の報告 | 本件に起因すると考えられる具体的な被害は確認されていない |
帰属先を確認中のメールアドレス57件を含めた合計が15,204,757件です。会社間で重複するアドレスは各社で1件ずつ数えているため、合計は実際の人数とは一致しないとされています。原因と侵入経路は、委託先で調査が続いています。各社のECサイト、アプリ、店舗システム、決済システムへの不正アクセスが確認されたものではないと説明されており、通常どおり利用できるとしています。
EC運営者にとっての意味
今回の公表は、外部サービスに渡した顧客データの量と保管の期間が、そのまま影響の範囲になりうることを示した例だとみられます。第2報では、当初確認できていなかったデータや過去の登録データが確認され、対象件数が増えたと説明されています。
配信を止めた人のデータ
現在の配信設定にかかわらず、10月29日時点でシステムに保存されていた情報が対象とされ、退会済みの人も含まれます。配信停止とデータの削除は別の作業だと考えておくと整理しやすくなります。
渡している項目の差
コジマはメールアドレスのみ、ビックカメラは氏名や生年月日なども対象でした。配信に使わない項目を渡さない設計は、万一のときの影響を小さくする選択肢になります。
モール店の購入者
楽天市場やYahoo!ショッピングの店舗などでメールを受信した人の一部も対象とされています。自社サイト以外の購入者の情報を外部ツールで扱っている場合は、範囲に含めて確認します。
グループは再発防止策として、委託先への監査や評価の強化、契約内容と管理基準の見直し、委託先が扱う個人情報の範囲と保管期間の適正化などを挙げています。規模は違っても、外部サービスを選ぶ・使い続けるときの確認項目として参考になりそうです。同じ時期に公表されたアイリスプラザの事案も、データの置き場所を見直す材料になります。
今やるべきこと
- 外部サービスに渡している項目を確認する……メール配信、CRM、レビュー、分析などのツールごとに、渡している項目を書き出します。
- 配信に不要な項目と古いリストを整理する……生年月日など配信に使わない項目を連携しない設定にできるか、配信停止者や古いリストを削除できるかを確かめます。
- 利用中のサービスのお知らせを確認する……メール配信サービスの公式のお知らせを見て、不審な案内があった場合は公式の窓口で確かめます。
- なりすましへの案内文を用意する……カード番号やパスワードを尋ねないことを、お客様に伝える文面を用意しておくと動きやすくなります。
日ごろの対策の全体像はECサイトのセキュリティ対策ガイド、万一のときの流れは不正アクセスされたときの対応、各社の公表内容はEC情報漏えいの公表事例台帳にまとめています。委託先の管理に関する義務は、最新は個人情報保護委員会などの公式情報や専門家で確認してください。
出典・確認日
1件
- 株式会社ビックカメラ・株式会社コジマ・株式会社ソフマップ「業務委託先への不正アクセスによるお客様情報漏えいに関するお詫びとお知らせ（第2報）」（2026年11月6日）
※本記事は2026年11月9日時点で確認した公表情報をもとにしています。調査は続いているため、最新の情報は公式のお知らせでご確認ください。