総務省が委託先のメール流出を公表、775件と士業事務所の確認3点

総務省は2026年11月4日、メール配信委託先からの情報流出を公表しました。

総務省は2026年11月4日、英文ニューズレターのメール配信を請け負っていたアララ株式会社のサービスに第三者が不正アクセスし、登録者のメールアドレス等が流出したと公表しました（出典: 総務省報道資料）。官公庁自身の事案ですが、業務の一部を外部事業者に任せていたことで起きた点は、メルマガや問い合わせ対応を外部サービスで運用する士業事務所にも共通します。本記事は士業のチカラ編集部が、公表されている一次情報のみを根拠に作成しています。法令の条文はe-Gov法令検索の原文で、行政の見解は各府省庁の公表資料で確認しています。

何が公表されたか：775件のメールアドレスと21件の氏名

総務省の報道資料によると、対象は総務省国際戦略局国際戦略課が発信する英文ニューズレター「ICT × Japan – Policy Information -」の電子メール配信業務です。この業務を受託していたアララ株式会社のサービスに第三者が不正アクセスし、配信登録者のメールアドレス775件と、登録時に氏名を記入した人の氏名21件が流出したとされています。クレジットカード番号や電話番号は登録時に必要がないため、流出した情報には含まれないとの説明です（出典: 総務省報道資料）。

原因は、アララ社のWEBサーバーの脆弱性を第三者に悪用されたことなどとされています。同社は外部からのアクセスを停止し、サービスの提供も止めています。総務省は同社から報告を受けて関係者に謝罪し、適切な対応を求めて再発防止に努めるとしています。情報流出の対象者には、個別にメールで連絡するとのことです。

アララ社の公表と、他の利用者への広がり

アララ社の側の公表も確認できます。同社は2026年10月29日付のお知らせで、メール配信サービス「アララメッセージ」の一部サーバーが不正アクセスを受け、利用企業が保有するメールアドレス約301万件の持ち出しを確認したと公表しています。不正アクセスを確認したのは10月28日で、該当サーバーはネットワークから切り離されました。原因は、一部環境のWebサーバーの脆弱性を悪用されたこととされ、外部の専門機関と連携して全サービスの脆弱性を再点検するとしています（出典: アララ株式会社お知らせ）。

同じサービスを使っていた他の組織にも影響が及んでいます。たとえば沖縄県は、受託事業者が使っていた「アララメッセージ」への不正アクセスにより、メールマガジン会員のメールアドレス2,560件が漏えいした可能性があるとして、第1報を掲載しています。同ページでは名前などその他の情報は漏えいしていないとされ、影響範囲は調査中です（出典: 沖縄県お知らせ）。なお、総務省の775件、アララ社の約301万件、沖縄県の2,560件は、それぞれ集計の単位が異なる数字です。

士業事務所にとっての論点

士業事務所でも、顧問先向けのメルマガ、セミナー案内、予約や問い合わせの自動返信などを、外部のメール配信サービスで運用している例があります。今回の公表から読み取れる論点は、次の3点に整理できます。

1つ目は、委託先の把握です。メール配信の裏側で実際にどの事業者のどのサービスが動いているかは、導入時の担当者しか知らないことがあります。委託している個人データの範囲と事業者名を一覧にしておくと、今回のような公表があった際に自所が関係するかどうかを短時間で確認できます。

2つ目は、法令上の位置づけの確認です。個人情報保護法は、第25条（委託先の監督）で、個人データの取扱いを委託する場合に、委託を受けた者に対する必要かつ適切な監督を行うことを定めています。また第23条（安全管理措置）は、個人データの漏えい等の防止のために必要かつ適切な措置を講じることを定めています。メールアドレスが個人データに当たるかどうかや、個別の事案でどの措置が求められるかは、事案ごとの確認が必要です。

3つ目は、漏えい等が生じた場合の流れです。第26条（漏えい等の報告等）は、個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定める事態が生じたときに、同委員会への報告と本人への通知を定めています。規則が定める事態の範囲は、条文だけでは分かりません。個人情報保護委員会の公表資料で確認する段階です。

今後の動きと、事務所が確認できること

アララ社は新たな事実が判明し次第公表するとしており、影響範囲は今後広がる可能性も、確定する可能性もあります。現時点で、サービスの再開時期は同社の公表からは確認できないため、要確認です。事務所の側では、次のような確認を行う事務所があります。

利用中のメール配信サービスの事業者名と、その事業者がアララ社のサービスを使っていないかの確認
配信リストに含まれる項目（メールアドレス、氏名、会社名など）の棚卸し
委託先との契約書にある、事故発生時の連絡義務や再委託の取扱いの確認
不審なメールを受け取った顧問先へ向けた、注意喚起の文面の準備

アララ社は、心当たりのない不審なメールのURLにはアクセスせず、返信や添付ファイルの開封、ID・パスワード・個人情報の入力をせずに削除するよう呼びかけています。顧問先への案内の際は、同社の公式の注意喚起を参照する方法があります。

まとめ

総務省は2026年11月4日、メール配信の委託先であるアララ社の不正アクセスにより、英文ニューズレター登録者のメールアドレス775件と氏名21件が流出したと公表しました。アララ社は2026年10月29日付で、約301万件のメールアドレスの持ち出しを確認したと公表しています。士業事務所にとっては、委託先の一覧化、個人情報保護法の関連条文の確認、事故発生時の連絡体制の3点を見直す契機になります。影響範囲や再開時期は今後の公表待ちで、要確認です。

参考文献

※士業のチカラでは、生成AIの導入支援から運用最適化まで、貴事務所の業務に合わせたカスタマイズ提案を行っています。無料相談（30分）も実施中ですので、お気軽にお問い合わせください。
https://shigyonochikara.jp/contact/

引用元: 総務省

本記事の作成体制について

本記事は士業のチカラ編集部が、公表されている一次情報のみを根拠に作成しています。法令の条文はe-Gov法令検索の原文で、行政の見解は各府省庁の公表資料で、それぞれ確認したうえで記載しています。引用元は本文中および参考文献にすべて明示しています。

本記事には特定の資格者による監修は入っていません。個別の事案について法令の当てはめや手続の可否を判断する必要がある場合は、当該分野の有資格者にご相談ください。本記事は一般的な情報提供を目的としたものであり、個別具体的な法律判断・税務判断・労務判断を提供するものではありません。

記載内容に誤りを見つけられた場合は、お問い合わせよりご指摘ください。確認のうえ速やかに訂正し、訂正履歴を記事内に残します。編集方針の詳細は運営者情報をご覧ください。