める配くんへの不正アクセスによるサイバー攻撃で配信先の一部情報漏洩を確認　影響を公表した35企業・団体を一覧化

株式会社ディライトフルは2026年8月14日、メール配信システム「める配くん」への不正アクセスに関する調査結果を公表しました。外部の専門機関による調査で、サーバーに保管していた一部顧客の配信先情報が外部に漏えいし、第三者に取得されていた事実を確認しています。

運営会社は、漏えいが確認された契約者名や契約者数、配信先情報の総件数を公表していません。本記事では、2026年8月17日までに公式サイト等で関連する公表を確認できた35企業・団体を整理し、「漏えい確認済み」「漏えいの可能性」「公表時点で漏えい未確認」を区別します。公表したすべての組織で漏えいが確定したわけではありません。

める配くん不正アクセスのサマリー

• ディライトフルは2026年6月15日、サーバーログの監視中に一部サーバーへの異常なアクセスを検知しました。
• 同社は8月14日、外部専門機関の調査により、一部顧客の配信先情報が外部に漏えいし、取得されていた事実を確認したと公表しました。
• 漏えいした情報は「メールアドレス等」とされています。氏名、会社名、電話番号などを登録していた契約者もあり、項目は組織ごとに異なります。
• 漏えいが確認された契約者数、配信先の総件数、契約者名は公表されていません。
• 一般財団法人天涯文化財団が7月21日に掲載した中間報告では、システム全体で約240万件が「流出した可能性のあるデータの対象件数」とされました。ただし、これは漏えい確認件数ではなく、8月14日の最終報告にも総件数は記載されていません。
• 公式サイト等で関連公表を確認できたのは35企業・団体です。この数は公開情報を確認できた範囲であり、全契約者数や漏えい確認済み契約者数ではありません。
• 個別公表で情報漏えいを確認できたのは、Bizプリカ、佐渡トキファンクラブ、東京都国民健康保険団体連合会、アジア保健研修所（AHI）の4組織です。
• 新潟県佐渡市は6月19日、佐渡トキファンクラブの会員9,028名のうち、メールマガジンを受信登録していた4,111名について、メールアドレス漏えいの可能性があると公表しました。これは6月時点の対象候補数であり、漏えい確認件数ではありません。
• Bizプリカは、顧客管理者21件と、資料請求・面談等を行った顧客4,265件について、会社名、氏名、メールアドレスの流出を確認しました。
• ディライトフルは、漏えいが確認された契約者と、確認されなかった契約者の双方へ個別に連絡しています。
• 同社は6月17日までに対象サーバーの外部通信を遮断し、以降、同様の不正通信は確認していないと説明しています。
• 個人情報保護委員会と総務省への報告は実施済みです。
• 8月14日時点で、本件に起因する二次被害は確認されていません。漏えい情報を利用したフィッシングやなりすましメールには引き続き注意が必要です。

一部顧客の配信先情報が漏えい、対象総数は非公表

ディライトフルの最終報告によると、外部専門機関の調査で、同社サーバーに保管されていた一部顧客の配信先情報が外部に漏えいし、第三者に取得されていた事実が確認されました。すべての顧客が対象ではなく、影響が確認されたのは一部とされています。

漏えいが確認された顧客には個別に連絡し、その先の配信先への案内についても顧客と連携して対応しています。一方、漏えいが確認されなかった顧客にも、その旨を順次通知しています。

運営会社の公表からは、漏えいが確認された顧客数や配信先の総件数、顧客ごとの対象項目は確認できませんでした。配信先本人が対象か確認したい場合は、メールの配信元事業者またはディライトフルの相談窓口へ問い合わせるよう案内されています。

不正アクセスの日付は、公表主体によって記載が異なります。ディライトフルは6月15日に異常アクセスを検知したと説明し、AHIは不正アクセス期間を6月11日から17日まで、佐渡市は発生日を6月16日としています。攻撃開始日、個別データへのアクセス日、異常検知日など、各資料が示す基準が同一とは確認できないため、いずれか一つを本件全体の発生日と断定することはできません。

直接侵害されたのは「める配くん」、利用組織の自社システム侵害とは分けて考える

本件で直接侵害されたのは、ディライトフルが運営する「める配くん」のサーバーです。利用組織が同サービスに預けていたデータが影響を受けましたが、利用組織の自社システムまで侵害されたとする公表は確認できませんでした。

したがって、「める配くんを利用していた」「関連する公表を行った」という事実だけで、その組織の情報漏えいが確定したとはいえません。運営会社が対象顧客へ個別通知しているため、各組織が公開した続報の有無を確認する必要があります。

める配くんの情報漏えいに関する公表企業・団体一覧

以下は、2026年8月17日までに公式サイト等で本件に関する公表を確認できた35企業・団体です。委託元と受託者がそれぞれ公表している場合は、別の公表主体として掲載しています。最終調査後の個別結果を公開していない組織については、初報や続報の表現に合わせて「漏えいの可能性」または「公表時点で漏えい未確認」としています。

漏えい確認済みの4組織、公開された件数と項目に差

Bizプリカは6月29日の第2報で、個人情報が流出したことを確認したと公表しました。対象は、同社サービスの顧客管理者21件と、過去に資料請求や面談、名刺交換などを行った顧客4,265件です。流出した情報は会社名、氏名、メールアドレスで、BizプリカおよびBizプリカPLUSのカード情報は含まれないとしています。また、自社サービスサイトやデータベースへの不正アクセスではないと説明しています。

東京都国民健康保険団体連合会は、7月24日に委託業者を通じて、事業者番号、事業所名、メールアドレス、登録者氏名、電話番号の漏えいが確認されたとの連絡を受け、7月27日に公表ページを更新しました。同会はディライトフルと直接契約したのではなく、メール配信の委託業者が「める配くん」を利用していたと説明しています。委託先の先に再委託先が存在するケースでも、データの保管先と責任分界を把握する必要があることを示しています。

佐渡トキファンクラブは、メールマガジンの配信先アドレスが漏えい情報に含まれていたことを確認しました。同サービスに登録していたのはメールアドレスのみで、会員の氏名、住所、電話番号は含まれていません。同会は、セキュリティ対策の強化状況などを踏まえ、当面は「める配くん」の利用を継続するとしています。

委託元の佐渡市は6月19日の報道資料で、会員9,028名のうち、メールマガジンを受信登録していた4,111名のメールアドレスに漏えいの可能性があると公表しました。ただし、この数字は最終調査前に示された対象候補数です。4,111名全員について漏えいが確認されたことや、8月にファンクラブが確認した漏えい対象件数と一致することは、公表資料から確認できませんでした。

佐渡市の事例では、委託元の佐渡市、受託者、SaaS事業者であるディライトフルの三層が関係しています。佐渡市によると、6月17日に受託者へサーバー停止の連絡があり、18日に漏えいの可能性が高いとの連絡、19日に受託者から佐渡市への報告が行われました。佐渡市は個人情報保護委員会と総務省へ報告しています。

AHIは8月14日、登録者の氏名とメールアドレスが漏えい対象に含まれていたとの報告を受けたと公表しました。同法人は、すでにメール配信の委託業者を変更しています。

約240万件は「漏えい確認件数」ではない

一般財団法人天涯文化財団は7月21日、ディライトフルからの中間報告として、流出した可能性のあるデータの対象件数がシステム全体で約240万件だったと公表しました。同時点では、個人情報が窃取された可能性を示す形跡は確認されたものの、実際に窃取されたことの確認には至っていないとも説明しています。

8月14日のディライトフルの最終報告は、一部情報の漏えい・取得を確認した一方、漏えい確認済みの総件数を示していません。このため、約240万件を「漏えい件数」と表現することはできません。また、各組織が公表した件数を単純に合算しても、運営会社が確認した全体件数にはなりません。

侵入経路の詳細やCVE番号は非公表

ディライトフルは、再発防止策としてシステム内の脆弱性を解消したと説明しています。複数の利用組織も、運営会社からシステムの脆弱性を突いた攻撃との説明を受けたと公表しました。

一方、8月14日の最終報告では、侵入に悪用されたソフトウェア名、脆弱性の技術的な内容、CVE番号、攻撃者の情報は公表されていません。公開情報から、特定の脆弱性や脅威アクターへ帰属させることはできません。

二次被害は未確認、なりすましメールへの警戒を継続

ディライトフルは、8月14日時点で本件に起因する二次被害を確認していないとしています。ただし、メールアドレスに氏名、企業名、所属先などが組み合わさると、配信元や取引先を装ったフィッシング、標的型メール、ビジネスメール詐欺、詐欺電話に悪用される可能性があります。

受信者は、過去に登録したメールマガジンや取引先を名乗るメールであっても、送信元ドメインを確認し、本文中のURLや添付ファイルを安易に開かないことが重要です。認証情報や決済情報の入力を求められた場合は、メール内のリンクを使わず、公式サイトや既知の連絡先から事実関係を確認する必要があります。

情報システム部門への示唆

今回の事案は、メール配信SaaSに保存したデータも、自社が管理責任を負う情報資産であることを示しています。情報システム部門と個人情報保護の担当部門は、次の点を確認する必要があります。

• メール配信、問い合わせフォーム、CRM、イベント管理など、個人情報を保存する外部サービスを棚卸しする
• 直接の契約先だけでなく、再委託先と実際のデータ保管先を把握する
• SaaSごとに保存している項目、件数、保存期間、削除手順を記録し、配信に不要な属性を持たせない
• インシデント時に、委託先から対象データ、期間、ログ、影響範囲を受け取れる契約・連絡体制を整える
• 「可能性」「対象候補」「漏えい確認済み」を分けて管理し、本人通知や対外公表の表現を統一する
• 委託先の認証、権限管理、脆弱性管理、監視、ログ保存、バックアップ、第三者評価を定期的に確認する
• 配信元ドメインのなりすまし対策として、SPF、DKIM、DMARCの設定と監視を見直す
• 漏えい後のフィッシングを想定し、問い合わせ窓口、注意喚起文、個別通知、コールセンター向けFAQを事前に準備する

サービスを変更する場合も、移行元にデータが残存していないかを確認し、削除証跡を取得することが重要です。一方、サービスを継続する場合は、対策完了の説明だけで判断せず、再発防止策の実施状況、検証結果、監視体制、今後の報告方法を確認する必要があります。

出典

• 不正アクセスに関する調査結果および関係機関への報告について – 株式会社ディライトフル
• 一部サーバーへの第三者による不正アクセスによるシステム障害及び情報漏洩についてのお知らせ – 株式会社ディライトフル
• システムセキュリティ強化に関するご報告とお詫び – 株式会社ディライトフル
• （第2報）当社が利用するクラウドサービス「める配くん」に対する不正アクセスの発生および個人情報流出の可能性について – Bizプリカ
• 佐渡トキファンクラブメールマガジンの読者のメールアドレス情報の漏洩と再発防止対策について – 佐渡トキファンクラブ
• 佐渡市委託事業における不正アクセスによる個人情報漏洩のおそれについて – 新潟県佐渡市
• Tokyo国保連介護情報メールマガジンの配信に利用しているメール配信システムへの不正アクセスによるメールアドレス漏えいに関する御報告とお詫びについて – 東京都国民健康保険団体連合会
• （最終報告）メール配信システム「める配くん」への不正アクセスの発生および情報の流出に関するお知らせとお詫び – 公益財団法人アジア保健研修所
• メール配信システムへの不正アクセスによるメールアドレス漏えいの可能性に関するお詫びとご報告 – プリマハム株式会社
• 外部サービスへの不正アクセスによる個人情報漏えいの可能性に関するお詫びとお知らせ – 株式会社ユニリタ
• メール配信システム「める配くん」における個人情報流出に関するお知らせ – KYOTO EXPERIMENT
• メール配信サービス不正アクセス及び配信一時停止のお知らせ – NPO法人21世紀の医療医学を考える会
• メール配信サービスへの不正アクセスに関するお知らせ – 一般社団法人ANDMAMACO
• メールマガジン配信システムへの不正アクセスについて – NPO法人RAFIQ 難民との共生ネットワーク
• 外部メール配信サービスの不正アクセスによる個人情報流出の可能性について – 株式会社インクルード
• メール配信サービス委託先への不正アクセスによる個人情報漏えいの可能性について – 一般社団法人日本在来工法住宅協会
• 外部メール配信サービスへの不正アクセスによる個人情報漏洩の可能性に関するお知らせとお詫び – 認定NPO法人アクセプト・インターナショナル
• 個人情報漏えいの可能性に関するお詫びとお知らせ – アクアポニックス・陸上養殖設備展事務局
• 外部メール配信サービスへの不正アクセスによる個人情報漏洩の可能性について – 一般財団法人英語教育協議会
• News – 株式会社キューブフィルム
• メール配信システム「める配くん」における個人情報流出に関するお知らせ – ギンギラ太陽’s
• メールマガジンご登録者様の個人情報流出の可能性に関するお詫びとお知らせ – 淡海ネットワークセンター
• メール配信システムへの不正アクセスによるメールアドレス漏えいの可能性に関するお詫びとお知らせ – 株式会社タカタレムノス
• お客様情報漏洩の可能性に関するお知らせと当選発表について – 有限会社徳丸商店
• 個人情報流出の可能性に関するお詫びとお知らせ・続報 – 一般財団法人天涯文化財団
• メール配信サービスに関するお詫びとお知らせ – 株式会社銀のステッキ
• 委託先事業者における個人情報流出の可能性に関するお詫びとお知らせ – スパークル法律事務所
• 外部メール配信サービスへの不正アクセスによる個人情報漏洩の可能性について – LyuVie Online Shop
• 個人情報流出の可能性に関するお詫びとお知らせ – 株式会社新和プラスチック
• 個人情報流出の可能性に関するお詫びとお知らせ – 一般社団法人KSHS
• メールマガジン配信システム「める配くん」への不正アクセスに関するお知らせ – 株式会社パズルリング
• 個人情報流出の可能性に関するお詫びとお知らせ – 一般社団法人あわら市観光協会
• 外部メール配信サービスへの不正アクセスによる個人情報漏洩の可能性について – 精進同窓会
• める配くんの一部サーバーにおける外部からの不正アクセス発生について – 東京書籍株式会社
• メール配信サービスにおける不正アクセスに関するお知らせ – 株式会社センチュリーアークス
• 外部メール配信システムへの不正アクセスに関するお詫びとお知らせ – 一般社団法人日本医療安全調査機構
• 日刊お母さん業界新聞（メール版）システムトラブルによる配信停止について – 株式会社お母さん業界新聞社
• メールマガジン「建設ニュース週刊ダイジェスト」の配信中止について – 株式会社建設ニュース

関連記事

エア・ウォーター、有価証券報告書の提出期限延長を申請検討-AWベトナムで横領が追加発覚 Biophilia、台湾向け販売代理店のECサイトへ不正アクセス、個人情報流出 日本・香港向けECサイトへの影響はなし AI時代のセキュリティ教育、押さえるべき5つのポイント【完全ガイド】 ギグワークスがサーバ不正アクセスの第3報を公表、扶養控除申請データベースの個人情報漏洩の可能性を否定できず 名鉄協商、ランサムウェアによる不正アクセスの痕跡を確認 各種Webサービスでシステム障害 継続 アスクル、ランサムウェアによるサイバー攻撃の追加調査で約60万件の個人情報漏洩の恐れ-個人情報保護委員会から行政指導も EPARKリラク＆エステの予約管理システムPeakManagerに不正アクセス、最大3300万レコードの情報漏洩の恐れダークウェブでハッカーが犯行声明 農林中央金庫、JAさっぽろ利用者3,176件の個人情報を関係団体と委託先へ誤提供し個人情報漏洩 プーチン大統領、北方領土・択捉島を初訪問 日本政府が強く抗議、概要や背景を解説

投稿者：三村

セキュリティ製品を手がける上場企業にて、SOC（セキュリティオペレーションセンター）運営およびWebアプリケーション脆弱性診断の営業に8年間従事。その後、システムエンジニアへ転身し、MDMや人事系SaaSの開発に携わる。
8年の実務経験と開発者としての知見を活かし、「セキュリティ対策Lab」ではダークウェブ調査、セキュリティインシデントの分析、および高度なセキュリティ対策解説の執筆・編集を統括しています。
LinkedIn(外部サイト)