セキュリティ情報漏洩のニュースサイトセキュリティ対策Labの運営とBtoB マーケティングコンサル支援|合同会社ロケットボーイズ

株式会社ディライトフルは2026年8月14日、メール配信システム「める配くん」への不正アクセスに関する調査結果を公表しました。外部の専門機関による調査で、サーバーに保管していた一部顧客の配信先情報が外部に漏えいし、第三者に取得されていた事実を確認しています。 運営会社は、漏えいが確認された契約者名や契約者数、配信先情報の総件数を公表していません。本記事では、2026年8月17日までに公式サイト等で関連する公表を確認できた35企業・団体を整理し、「漏えい確認済み」「漏えいの可能性」「公表時点で漏えい未確認」を区別します。公表したすべての組織で漏えいが確定したわけではありません。 める配くん不正アクセスのサマリー ディライトフルは2026年6月15日、サーバーログの監視中に一部サーバーへの異常なアクセスを検知しました。 同社は8月14日、外部専門機関の調査により、一部顧客の配信先情報が外部に漏えいし、取得されていた事実を確認したと公表しました。 漏えいした情報は「メールアドレス等」とされています。氏名、会社名、電話番号などを登録していた契約者もあり、項目は組織ごとに異なります。 漏えいが確認された契約者数、配信先の総件数、契約者名は公表されていません。 一般財団法人天涯文化財団が7月21日に掲載した中間報告では、システム全体で約240万件が「流出した可能性のあるデータの対象件数」とされました。ただし、これは漏えい確認件数ではなく、8月14日の最終報告にも総件数は記載されていません。 公式サイト等で関連公表を確認できたのは35企業・団体です。この数は公開情報を確認できた範囲であり、全契約者数や漏えい確認済み契約者数ではありません。 個別公表で情報漏えいを確認できたのは、Bizプリカ、佐渡トキファンクラブ、東京都国民健康保険団体連合会、アジア保健研修所（AHI）の4組織です。 新潟県佐渡市は6月19日、佐渡トキファンクラブの会員9,028名のうち、メールマガジンを受信登録していた4,111名について、メールアドレス漏えいの可能性があると公表しました。これは6月時点の対象候補数であり、漏えい確認件数ではありません。 Bizプリカは、顧客管理者21件と、資料請求・面談等を行った顧客4,265件について、会社名、氏名、メールアドレスの流出を確認しました。 ディライトフルは、漏えいが確認された契約者と、確認されなかった契約者の双方へ個別に連絡しています。 同社は6月17日までに対象サーバーの外部通信を遮断し、以降、同様の不正通信は確認していないと説明しています。 個人情報保護委員会と総務省への報告は実施済みです。 8月14日時点で、本件に起因する二次被害は確認されていません。漏えい情報を利用したフィッシングやなりすましメールには引き続き注意が必要です。 項目 内容 最終報告の公表日 2026年8月14日 発生日・確認日 ディライトフルは6月15日に異常アクセスを検知。AHIは不正アクセス期間を6月11日から17日まで、佐渡市は発生日を6月16日と説明しています。各公表の基準が異なるため、同一の日付として扱うことはできません 対象組織 株式会社ディライトフルが運営する「める配くん」と、同サービスに配信先情報を保管していた一部契約者 インシデント 第三者による不正アクセスと、一部顧客の配信先情報の外部漏えい・取得 侵入経路 具体的な侵入経路、悪用された製品名、CVE番号は確認できませんでした。ディライトフルは「システム内の脆弱性の解消」を実施し、複数の利用組織は運営会社から脆弱性を突いた攻撃との説明を受けたと公表しています 漏えいした情報 一部顧客の配信先情報（メールアドレス等）。具体的な項目は契約者ごとに異なります 対象件数 漏えい確認済みの総件数は確認できませんでした。約240万件との中間情報は「流出した可能性のあるデータ」のシステム全体件数であり、漏えい確認件数ではありません 対応状況 6月17日までに対象サーバーの外部通信を遮断。脆弱性の解消、認証・アクセス権限管理、監視・ログ検知を強化し、通常どおりサービスを提供しています 個人情報保護委員会への報告 ディライトフルは個人情報保護委員会と総務省へ報告済みです。佐渡市も両機関へ報告したと公表しています 一部顧客の配信先情報が漏えい、対象総数は非公表 ディライトフルの最終報告によると、外部専門機関の調査で、同社サーバーに保管されていた一部顧客の配信先情報が外部に漏えいし、第三者に取得されていた事実が確認されました。すべての顧客が対象ではなく、影響が確認されたのは一部とされています。 漏えいが確認された顧客には個別に連絡し、その先の配信先への案内についても顧客と連携して対応しています。一方、漏えいが確認されなかった顧客にも、その旨を順次通知しています。 運営会社の公表からは、漏えいが確認された顧客数や配信先の総件数、顧客ごとの対象項目は確認できませんでした。配信先本人が対象か確認したい場合は、メールの配信元事業者またはディライトフルの相談窓口へ問い合わせるよう案内されています。 不正アクセスの日付は、公表主体によって記載が異なります。ディライトフルは6月15日に異常アクセスを検知したと説明し、AHIは不正アクセス期間を6月11日から17日まで、佐渡市は発生日を6月16日としています。攻撃開始日、個別データへのアクセス日、異常検知日など、各資料が示す基準が同一とは確認できないため、いずれか一つを本件全体の発生日と断定することはできません。 直接侵害されたのは「める配くん」、利用組織の自社システム侵害とは分けて考える 本件で直接侵害されたのは、ディライトフルが運営する「める配くん」のサーバーです。利用組織が同サービスに預けていたデータが影響を受けましたが、利用組織の自社システムまで侵害されたとする公表は確認できませんでした。 区分 確認状況 直接侵害されたシステム 「める配くん」の一部サーバー 影響を受けた可能性がある環境 当該サーバーに配信先情報を保管していた契約者のデータ領域 漏えいが確認された範囲 一部契約者の配信先情報。契約者名と総数は非公表 利用組織の自社システム 本件による直接侵害は確認できませんでした。Bizプリカは、自社サービスサイトとデータベースへの不正アクセスではないと明記しています 認証情報・決済情報 組織ごとに登録項目が異なります。複数の組織はクレジットカード情報やパスワードを「める配くん」に保管していなかったと説明しています したがって、「める配くんを利用していた」「関連する公表を行った」という事実だけで、その組織の情報漏えいが確定したとはいえません。運営会社が対象顧客へ個別通知しているため、各組織が公開した続報の有無を確認する必要があります。 める配くんの情報漏えいに関する公表企業・団体一覧 以下は、2026年8月17日までに公式サイト等で本件に関する公表を確認できた35企業・団体です。委託元と受託者がそれぞれ公表している場合は、別の公表主体として掲載しています。最終調査後の個別結果を公開していない組織については、初報や続報の表現に合わせて「漏えいの可能性」または「公表時点で漏えい未確認」としています。 公表企業・団体 主な公表日 公表上の状態 対象情報・件数 株式会社トモウェルペイ（Bizプリカ） 6月29日（第2報） 漏えい確認済み 会社名、氏名、メールアドレス。顧客管理者21件、資料請求・面談等の顧客4,265件。カード情報は対象外 佐渡トキファンクラブ 6月19日、8月14日以降更新 漏えい確認済み メールアドレス。氏名、住所、電話番号は含まれず。佐渡市が6月19日に示した対象候補は4,111名ですが、この全員について漏えいが確認されたかは確認できませんでした 新潟県佐渡市 6月19日 漏えいの可能性 会員9,028名のうち、メールマガジンを受信登録していた4,111名のメールアドレス。6月19日時点の対象候補数であり、漏えい確認件数ではありません 東京都国民健康保険団体連合会 7月3日、7月27日追記 漏えい確認済み 事業者番号、事業所名、メールアドレス、登録者氏名、電話番号。件数非公表 公益財団法人アジア保健研修所（AHI） 8月14日（最終報告） 漏えい確認済み 氏名、メールアドレス。件数非公表 プリマハム株式会社 6月25日 漏えいの可能性 メールマガジン登録メールアドレス。住所、電話番号、決済情報、ECサイト登録情報は対象外 株式会社ユニリタ 6月22日 漏えいの可能性が高い 会社名、氏名、メールアドレス。カード情報と平文パスワードは対象外 KYOTO EXPERIMENT 6月19日、7月10日更新 漏えいの可能性が高い メールニュース登録者の氏名、メールアドレス。件数は精査中と公表 NPO法人21世紀の医療医学を考える会（eクリニック） 6月20日、6月25日更新 漏えいの可能性 項目・件数は調査中。会員管理・決済システムは別系統で影響なし 一般社団法人ANDMAMACO 6月22日 漏えいの可能性 氏名、メールアドレス、都道府県。決済情報は対象外 NPO法人RAFIQ 難民との共生ネットワーク 6月21日 漏えいの可能性 メールアドレスのみ 株式会社インクルード 6月19日 漏えいの可能性 法人向けメールマガジン配信先の企業名、氏名、メールアドレス 一般社団法人日本在来工法住宅協会 公表日を確認できず 漏えいの可能性が高い メールアドレス、会社名、部署名、氏名、一部の会員番号 認定NPO法人アクセプト・インターナショナル 6月22日 漏えいの可能性 メールアドレス、一部の名字。住所、電話番号、寄付・決済情報は対象外 アクアポニックス・陸上養殖設備展事務局 6月24日 漏えいの可能性 会社名、部署名、氏名、メールアドレス 一般財団法人英語教育協議会（ELEC） 6月25日 漏えいの可能性 項目・件数は調査中。住所、電話番号、決済関連データは対象外 株式会社キューブフィルム 公表日を確認できず 漏えいの可能性 メールマガジン登録情報。公表ページから詳細項目・件数は確認できず ギンギラ太陽's 7月13日 漏えいの可能性が高い 氏名、メールアドレス。件数は確認できず 公益財団法人淡海文化振興財団（淡海ネットワークセンター） 6月24日 漏えいの可能性 氏名、メールアドレス。件数は調査中と公表 株式会社タカタレムノス 7月17日 漏えいの可能性 会社名、氏名、メールアドレス。カード情報と電話番号は未登録 有限会社徳丸商店 6月20日、6月27日続報 漏えいの可能性 氏名、メールアドレス、一部会員の電話番号。件数は調査中と公表 一般財団法人天涯文化財団（盛田昭夫塾） 6月23日、7月21日続報 漏えいの可能性 メールアドレス、氏名、一部の会社名・肩書。約240万件はシステム全体の可能性対象数で、同財団の件数ではありません 株式会社銀のステッキ 6月22日 漏えいの可能性 氏名、メールアドレス、電話番号。件数は調査中と公表 スパークル法律事務所 6月30日 漏えいの可能性 メールアドレス、所属先。依頼者の相談内容や案件データは対象外 株式会社FLOW（LyuVie Online Shop） 公表日を確認できず 漏えいの可能性 氏名、メールアドレス1,593件。対象となる可能性がある顧客へ個別連絡 株式会社新和プラスチック 6月23日 漏えいの可能性 メールマガジン登録情報。項目・件数は調査中と公表 一般社団法人KSHS 6月26日 漏えいの可能性 会員・読者情報。項目・件数は調査中と公表 株式会社パズルリング（lastmessage） 6月19日 漏えいの可能性 メールアドレスのみ 一般社団法人あわら市観光協会（あわらファンクラブ） 6月23日 漏えいの可能性 メールアドレス。件数は調査中と公表 精進同窓会 7月16日 漏えいの可能性 氏名、メールアドレス。29件と1,158件の2区分を公表 株式会社お母さん業界新聞社 6月23日 漏えいの可能性 項目・件数は調査中として、メール版の配信を停止 東京書籍株式会社（東書Eネット） 6月23日 公表時点で漏えい未確認 メールマガジン利用者。公表時点では漏えいの事実・可能性とも確認されていないと説明 株式会社センチュリーアークス 6月24日 公表時点で漏えい未確認 氏名、メールアドレス。公表時点で外部流出は確認されていないと説明 一般社団法人日本医療安全調査機構 7月3日 公表時点で漏えい未確認 「anなび」利用者。公表時点で漏えいの事実・可能性とも確認されていないと説明 株式会社建設ニュース 6月22日 配信停止を公表、個別の漏えい状況は確認できず 「建設ニュース週刊ダイジェスト」の配信を停止。自社配信先の漏えい有無・項目・件数は確認できず 漏えい確認済みの4組織、公開された件数と項目に差 Bizプリカは6月29日の第2報で、個人情報が流出したことを確認したと公表しました。対象は、同社サービスの顧客管理者21件と、過去に資料請求や面談、名刺交換などを行った顧客4,265件です。流出した情報は会社名、氏名、メールアドレスで、BizプリカおよびBizプリカPLUSのカード情報は含まれないとしています。また、自社サービスサイトやデータベースへの不正アクセスではないと説明しています。 東京都国民健康保険団体連合会は、7月24日に委託業者を通じて、事業者番号、事業所名、メールアドレス、登録者氏名、電話番号の漏えいが確認されたとの連絡を受け、7月27日に公表ページを更新しました。同会はディライトフルと直接契約したのではなく、メール配信の委託業者が「める配くん」を利用していたと説明しています。委託先の先に再委託先が存在するケースでも、データの保管先と責任分界を把握する必要があることを示しています。 佐渡トキファンクラブは、メールマガジンの配信先アドレスが漏えい情報に含まれていたことを確認しました。同サービスに登録していたのはメールアドレスのみで、会員の氏名、住所、電話番号は含まれていません。同会は、セキュリティ対策の強化状況などを踏まえ、当面は「める配くん」の利用を継続するとしています。 委託元の佐渡市は6月19日の報道資料で、会員9,028名のうち、メールマガジンを受信登録していた4,111名のメールアドレスに漏えいの可能性があると公表しました。ただし、この数字は最終調査前に示された対象候補数です。4,111名全員について漏えいが確認されたことや、8月にファンクラブが確認した漏えい対象件数と一致することは、公表資料から確認できませんでした。 佐渡市の事例では、委託元の佐渡市、受託者、SaaS事業者であるディライトフルの三層が関係しています。佐渡市によると、6月17日に受託者へサーバー停止の連絡があり、18日に漏えいの可能性が高いとの連絡、19日に受託者から佐渡市への報告が行われました。佐渡市は個人情報保護委員会と総務省へ報告しています。 AHIは8月14日、登録者の氏名とメールアドレスが漏えい対象に含まれていたとの報告を受けたと公表しました。同法人は、すでにメール配信の委託業者を変更しています。 約240万件は「漏えい確認件数」ではない 一般財団法人天涯文化財団は7月21日、ディライトフルからの中間報告として、流出した可能性のあるデータの対象件数がシステム全体で約240万件だったと公表しました。同時点では、個人情報が窃取された可能性を示す形跡は確認されたものの、実際に窃取されたことの確認には至っていないとも説明しています。 8月14日のディライトフルの最終報告は、一部情報の漏えい・取得を確認した一方、漏えい確認済みの総件数を示していません。このため、約240万件を「漏えい件数」と表現することはできません。また、各組織が公表した件数を単純に合算しても、運営会社が確認した全体件数にはなりません。 侵入経路の詳細やCVE番号は非公表 ディライトフルは、再発防止策としてシステム内の脆弱性を解消したと説明しています。複数の利用組織も、運営会社からシステムの脆弱性を突いた攻撃との説明を受けたと公表しました。 一方、8月14日の最終報告では、侵入に悪用されたソフトウェア名、脆弱性の技術的な内容、CVE番号、攻撃者の情報は公表されていません。公開情報から、特定の脆弱性や脅威アクターへ帰属させることはできません。 二次被害は未確認、なりすましメールへの警戒を継続 ディライトフルは、8月14日時点で本件に起因する二次被害を確認していないとしています。ただし、メールアドレスに氏名、企業名、所属先などが組み合わさると、配信元や取引先を装ったフィッシング、標的型メール、ビジネスメール詐欺、詐欺電話に悪用される可能性があります。 受信者は、過去に登録したメールマガジンや取引先を名乗るメールであっても、送信元ドメインを確認し、本文中のURLや添付ファイルを安易に開かないことが重要です。認証情報や決済情報の入力を求められた場合は、メール内のリンクを使わず、公式サイトや既知の連絡先から事実関係を確認する必要があります。 情報システム部門への示唆 今回の事案は、メール配信SaaSに保存したデータも、自社が管理責任を負う情報資産であることを示しています。情報システム部門と個人情報保護の担当部門は、次の点を確認する必要があります。 メール配信、問い合わせフォーム、CRM、イベント管理など、個人情報を保存する外部サービスを棚卸しする 直接の契約先だけでなく、再委託先と実際のデータ保管先を把握する SaaSごとに保存している項目、件数、保存期間、削除手順を記録し、配信に不要な属性を持たせない インシデント時に、委託先から対象データ、期間、ログ、影響範囲を受け取れる契約・連絡体制を整える 「可能性」「対象候補」「漏えい確認済み」を分けて管理し、本人通知や対外公表の表現を統一する 委託先の認証、権限管理、脆弱性管理、監視、ログ保存、バックアップ、第三者評価を定期的に確認する 配信元ドメインのなりすまし対策として、SPF、DKIM、DMARCの設定と監視を見直す 漏えい後のフィッシングを想定し、問い合わせ窓口、注意喚起文、個別通知、コールセンター向けFAQを事前に準備する サービスを変更する場合も、移行元にデータが残存していないかを確認し、削除証跡を取得することが重要です。一方、サービスを継続する場合は、対策完了の説明だけで判断せず、再発防止策の実施状況、検証結果、監視体制、今後の報告方法を確認する必要があります。 出典 不正アクセスに関する調査結果および関係機関への報告について - 株式会社ディライトフル 一部サーバーへの第三者による不正アクセスによるシステム障害及び情報漏洩についてのお知らせ - 株式会社ディライトフル システムセキュリティ強化に関するご報告とお詫び - 株式会社ディライトフル （第2報）当社が利用するクラウドサービス「める配くん」に対する不正アクセスの発生および個人情報流出の可能性について - Bizプリカ 佐渡トキファンクラブメールマガジンの読者のメールアドレス情報の漏洩と再発防止対策について - 佐渡トキファンクラブ 佐渡市委託事業における不正アクセスによる個人情報漏洩のおそれについて - 新潟県佐渡市 Tokyo国保連介護情報メールマガジンの配信に利用しているメール配信システムへの不正アクセスによるメールアドレス漏えいに関する御報告とお詫びについて - 東京都国民健康保険団体連合会 （最終報告）メール配信システム「める配くん」への不正アクセスの発生および情報の流出に関するお知らせとお詫び - 公益財団法人アジア保健研修所 メール配信システムへの不正アクセスによるメールアドレス漏えいの可能性に関するお詫びとご報告 - プリマハム株式会社 外部サービスへの不正アクセスによる個人情報漏えいの可能性に関するお詫びとお知らせ - 株式会社ユニリタ メール配信システム「める配くん」における個人情報流出に関するお知らせ - KYOTO EXPERIMENT メール配信サービス不正アクセス及び配信一時停止のお知らせ - NPO法人21世紀の医療医学を考える会 メール配信サービスへの不正アクセスに関するお知らせ - 一般社団法人ANDMAMACO メールマガジン配信システムへの不正アクセスについて - NPO法人RAFIQ 難民との共生ネットワーク 外部メール配信サービスの不正アクセスによる個人情報流出の可能性について - 株式会社インクルード メール配信サービス委託先への不正アクセスによる個人情報漏えいの可能性について - 一般社団法人日本在来工法住宅協会 外部メール配信サービスへの不正アクセスによる個人情報漏洩の可能性に関するお知らせとお詫び - 認定NPO法人アクセプト・インターナショナル 個人情報漏えいの可能性に関するお詫びとお知らせ - アクアポニックス・陸上養殖設備展事務局 外部メール配信サービスへの不正アクセスによる個人情報漏洩の可能性について - 一般財団法人英語教育協議会 News - 株式会社キューブフィルム メール配信システム「める配くん」における個人情報流出に関するお知らせ - ギンギラ太陽's メールマガジンご登録者様の個人情報流出の可能性に関するお詫びとお知らせ - 淡海ネットワークセンター メール配信システムへの不正アクセスによるメールアドレス漏えいの可能性に関するお詫びとお知らせ - 株式会社タカタレムノス お客様情報漏洩の可能性に関するお知らせと当選発表について - 有限会社徳丸商店 個人情報流出の可能性に関するお詫びとお知らせ・続報 - 一般財団法人天涯文化財団 メール配信サービスに関するお詫びとお知らせ - 株式会社銀のステッキ 委託先事業者における個人情報流出の可能性に関するお詫びとお知らせ - スパークル法律事務所 外部メール配信サービスへの不正アクセスによる個人情報漏洩の可能性について - LyuVie Online Shop 個人情報流出の可能性に関するお詫びとお知らせ - 株式会社新和プラスチック 個人情報流出の可能性に関するお詫びとお知らせ - 一般社団法人KSHS メールマガジン配信システム「める配くん」への不正アクセスに関するお知らせ - 株式会社パズルリング 個人情報流出の可能性に関するお詫びとお知らせ - 一般社団法人あわら市観光協会 外部メール配信サービスへの不正アクセスによる個人情報漏洩の可能性について - 精進同窓会 める配くんの一部サーバーにおける外部からの不正アクセス発生について - 東京書籍株式会社 メール配信サービスにおける不正アクセスに関するお知らせ - 株式会社センチュリーアークス 外部メール配信システムへの不正アクセスに関するお詫びとお知らせ - 一般社団法人日本医療安全調査機構 日刊お母さん業界新聞（メール版）システムトラブルによる配信停止について - 株式会社お母さん業界新聞社 メールマガジン「建設ニュース週刊ダイジェスト」の配信中止について - 株式会社建設ニュース

ブログ