める配くんへの不正アクセスによるサイバー攻撃、40企業・団体に拡大　日本応用地質学会は「全体167万9,242名」の個人情報漏えいと公表

株式会社ディライトフルは2026年8月14日、メール配信システム「める配くん」への不正アクセスに関する調査結果を公表しました。外部専門機関による調査で、サーバーに保管していた一部顧客の配信先情報が外部に漏えいし、第三者に取得されていた事実を確認しています。

セキュリティ対策Labでは8月17日時点で、本件に関する公表を確認できた35企業・団体を整理していました。その後の公式発表を再調査したところ、日本応用地質学会、アニコム損害保険・アニコム パフェ、日本スポーツ協会、株式会社クー、認定NPO法人 世界の子どもにワクチンを 日本委員会（JCV）の5件を追加で確認しました。

既掲載組織でも続報があり、インクルード、KYOTO EXPERIMENT、アクセプト・インターナショナル、天涯文化財団では個人データの漏えいが確認されています。

また、日本応用地質学会は8月17日の確報で、ディライトフルから受領した報告として「全体で1,679,242名の個人データが漏洩した」と公表しました。ディライトフル自身が8月14日に公開した最終報告では漏えい総数を掲載していないため、本記事では「日本応用地質学会が受領した確報に記載された全体数」として区別して扱います。

2026年9月26日時点で、公式サイト等から本件に関する公表を確認できたのは40企業・団体です。この数は公開情報を確認できた範囲であり、「める配くん」の全契約者数や、漏えいが確認された全契約者数を示すものではありません。

める配くん不正アクセスのサマリー

• ディライトフルは2026年6月15日、サーバーログの監視中に一部サーバーへの異常なアクセスを検知しました。
• 同社は8月14日、外部専門機関の調査により、一部顧客の配信先情報が外部に漏えいし、第三者に取得されていた事実を確認したと公表しました。
• 9月26日時点で、本件について公式サイト等で公表を確認できたのは40企業・団体です。
• 公開情報上、個別組織のデータ漏えいを確認できたのは少なくとも11組織です。
• 新たに追加した日本応用地質学会では、ニューズリスト購読者1,644名の氏名・メールアドレスの漏えいが確定しています。
• 日本応用地質学会は、ディライトフルから受領した8月14日の確報として、システム全体で1,679,242名の個人データが漏えいしたと公表しています。
• 従来公表されていた約240万件は、7月時点の「流出した可能性のあるデータの対象件数」です。1,679,242名とは性質が異なる数字です。
• インクルードは8月20日、2,243名の氏名・メールアドレス・会社名等が外部へ持ち出されたことを確認しました。
• 日本スポーツ協会は8月25日、総合型地域スポーツクラブ公式メールマガジンのメールアドレス約7,000件の漏えいを確認しました。
• 株式会社クーは8月27日、メールアドレス2,255件が漏えい対象に含まれていたことを公表しました。
• 天涯文化財団は1,834名、インクルードは2,243名、日本応用地質学会は1,644名について対象数を公表しています。
• アニコム損害保険・アニコム パフェは、「迷子捜索隊」の協力者登録情報14,330件が本件の対象に含まれると公表していますが、表現は「流出した可能性」です。
• ユニリタは会社名、氏名、メールアドレスが漏えいした可能性が高いと公表しています。公開ページでは対象件数や最終的な漏えい確認件数は示されていません。
• ユニリタが事務局を運営する「システム管理者の会」はメールマガジンを停止後、新しい配信システムへ移行し、9月11日から配信を再開しました。
• JCVは「める配くん」を利用していましたが、自団体が利用するサーバーは不正アクセスを受けたサーバーから隔離されており、不正アクセスは発生していないと公表しています。
• ディライトフルは6月17日までに対象サーバーの外部通信を遮断し、以降、同様の不正通信は確認していないと説明しています。
• 個人情報保護委員会と総務省への報告は実施済みです。
• 本件に起因する二次被害について、今回確認した各組織の続報では確認されていないとの説明が続いています。

一部顧客の配信先情報が実際に外部へ取得

ディライトフルの8月14日の最終報告では、外部専門機関による調査の結果、一部顧客の配信先情報が外部へ漏えいし、第三者に取得されていた事実が確認されています。

同社は漏えいが確認された顧客へ個別に連絡し、その先の配信先への案内についても契約者と連携して対応しています。一方、漏えいが確認されなかった顧客にも、その旨を順次通知しています。

ディライトフルの公開ページでは、漏えいが確認された契約者名、契約者数、配信先情報の総数は掲載されていません。

一方、日本応用地質学会は8月17日、ディライトフルから8月14日に受領した確報として、全体で1,679,242名の個人データが漏えいしたと公表しました。

この数字は運営会社自身の一般公開資料に掲載されたものではないため、本記事では情報源を明示して扱います。

約240万件と167万9,242名は同じ数字ではない

一般財団法人天涯文化財団は7月21日、ディライトフルからの中間報告として、システム全体で約240万件が「流出した可能性のあるデータの対象件数」とされていると公表していました。

その時点では、個人情報が窃取された可能性を示す形跡は確認されていたものの、実際に窃取されたことの確認には至っていないとの説明でした。

その後、日本応用地質学会は8月17日の確報で、ディライトフルから受領した最終報告として、全体で1,679,242名の個人データが漏えいしたとしています。

したがって、

• 約240万件：調査途中で示された「流出した可能性のあるデータ」の対象件数
• 1,679,242名：日本応用地質学会が最終確報から引用した「漏えいした個人データ」の全体人数

として分ける必要があります。

約240万件を「最終的な漏えい件数」とすることも、1,679,242名をディライトフル自身が一般公開した数字として扱うことも適切ではありません。

攻撃者は脆弱性から管理者権限を取得、複数サーバーへ侵入を拡大とインクルードが公表

ディライトフルは7月30日のセキュリティ強化報告で、今回の侵入に利用されたソフトウェアの弱点を解消したとしています。

さらにインクルードは8月20日、ディライトフルと外部専門機関の調査結果として、攻撃の流れをより具体的に公表しました。

同社によると、攻撃者は、

1. システムの脆弱性を悪用
2. 管理者権限を取得
3. 取得した認証情報を利用
4. 複数のサーバーへ侵入範囲を拡大
5. データベースから登録情報を抽出

していたことが確認されています。

不正アクセスは6月11日から17日までの間に行われ、17日までに攻撃経路の遮断とサーバーの遮断・停止措置が完了したとしています。

ただし、悪用されたソフトウェア名、脆弱性の詳細、CVE番号、攻撃者は公表されていません。

ディライトフルは、攻撃者が設置したプログラムや不正利用されたアカウント・通信経路の削除、脆弱性の修正、全サーバーの管理者用リモート接続パスワード変更、API認証のロック機能追加、WAF、IDS/IPS、監視強化などを実施しています。

める配くんに関する公表企業・団体一覧【9月26日更新】

以下は、2026年9月26日までに公式サイト等で本件に関する公表を確認できた40企業・団体です。

委託元と受託者がそれぞれ公表している場合は、別の公表主体として掲載しています。一方、ユニリタが運営する「システム管理者の会」はユニリタの関連運営サービスとして扱い、別行にはしていません。

漏えい確認済みは少なくとも11組織へ

8月17日時点の記事では、個別公表から漏えいを確認できた組織を4組織としていました。

その後の続報と追加調査により、9月26日時点では少なくとも次の11組織について、公式発表から漏えい確認を確認できます。

• 株式会社トモウェルペイ（Bizプリカ）
• 佐渡トキファンクラブ
• 東京都国民健康保険団体連合会
• 公益財団法人アジア保健研修所（AHI）
• 株式会社インクルード
• KYOTO EXPERIMENT
• 認定NPO法人アクセプト・インターナショナル
• 一般財団法人天涯文化財団
• 一般社団法人日本応用地質学会
• 公益財団法人日本スポーツ協会
• 株式会社クー

この11組織は、公開情報から漏えい確認まで追えた範囲です。

ディライトフルは漏えい対象となった全契約者名を一般公開していないため、実際に漏えいが確認された契約者が11組織に限られるとは判断できません。

日本応用地質学会は1,644名、全体では167万9,242名と公表

日本応用地質学会は6月22日の第一報、7月17日の続報を経て、8月17日に確報を公表しました。

同学会によると、8月14日にディライトフルから確報を受領し、ニューズリスト購読者1,644名のメールアドレスと氏名が漏えいデータに含まれていたことを確認しました。

同学会の確報ではさらに、ディライトフルから受領した報告内容として「全体で1,679,242名の個人データが漏洩した」と記載しています。

これは本件の全体規模を示す具体的な確定数字として、今回確認できた一次公表の中で最も明確な情報です。

ただし、ディライトフル自身の8月14日の一般向け公開ページにはこの総数が掲載されていません。そのため、記事や見出しで利用する場合は「日本応用地質学会によると」「ディライトフルから受領した確報として」と情報源を明示する必要があります。

インクルードは2,243名の流出を確認、侵入手口も詳しく公表

インクルードは8月20日の第2報で、2,243名が対象だったと公表しました。

対象情報は氏名、メールアドレス、会社名です。ただし氏名と会社名については登録状況によって含まれない場合があります。

クレジットカード情報と顧客パスワードは対象外です。

同社は6月22日時点で「める配くん」を解約し、新しいメール配信システムへ移行しました。

第2報では、攻撃者が脆弱性から管理者権限を取得し、認証情報を用いて複数サーバーへ侵入範囲を拡大したことも公表されています。

KYOTO EXPERIMENTとアクセプト・インターナショナルも確報へ更新

KYOTO EXPERIMENTは8月26日に公表内容を更新し、外部専門機関による調査の結果、実際に個人データが外部へ窃取された事実が確認されたとしています。

アクセプト・インターナショナルも8月30日の確報で、「アクセプト・アンバサダー通信」「アクセプト・インターナショナル通信」の受信者について、メールアドレスと一部購読者の名字の流出を確認しました。

初報段階では「漏えいの可能性」とされていた組織でも、8月の最終調査後に「漏えい確認済み」へ更新されるケースが続いています。

天涯文化財団は1,834名の漏えい対象を確認

天涯文化財団は8月17日、ディライトフルから最終報告を受領し、同システムへ登録していた個人情報が漏えい対象に含まれていたことを確認したと公表しました。

対象登録者は1,834名です。

対象項目は、

• メールアドレス
• 氏名
• 氏名カナ
• 会社名
• 部署名
• 役職

で、会社名、部署名、役職は登録者によって異なります。

7月21日の中間報告で同財団が紹介していた「システム全体約240万件」は同財団の対象数ではありません。

日本スポーツ協会は約7,000件のメールアドレス漏えいを確認

公益財団法人日本スポーツ協会は8月25日、総合型地域スポーツクラブ公式メールマガジンの登録メールアドレス約7,000件が漏えいしたと公表しました。

氏名、住所、電話番号、クレジットカード情報等は同配信システムへ登録していなかったとしています。

同協会は登録者へ個別通知を行い、メールマガジンの配信を見合わせています。

株式会社クーはメールアドレス2,255件の漏えいを確認

アパレルブランドを展開する株式会社クーは8月27日、外部専門機関のフォレンジック調査により、2026年6月16日時点で「める配くん」の管理画面に登録されていた同社顧客のメールアドレス2,255件が漏えい対象に含まれていたと公表しました。

9月26日時点で、本件に起因する個人情報の不正利用などの二次被害は確認していないとしています。

アニコム損保・アニコム パフェは14,330件が対象

アニコム損害保険とアニコム パフェは8月20日、保険付帯サービス「迷子捜索サポートサービス」で利用する「迷子捜索隊」の協力者登録情報が本件の対象に含まれていると公表しました。

対象は14,330件で、情報項目は次の3点です。

• 居住都道府県
• 氏名
• メールアドレス

保険証券番号、保険契約内容、保険金請求情報、クレジットカード情報、迷子捜索依頼時の動物情報や迷子発生時の状況などは含まれていません。

同社の公表は「個人情報が外部に流出した可能性がある」という表現であるため、本記事では漏えい確認済みには分類していません。

また、「める配くん」はアニコム パフェが直接契約していたとは限らず、サイト運営・保守の委託先を通じて利用されていました。

委託先、その先のSaaSまでデータの流れを把握する必要性が分かる事例です。

ユニリタは「システム管理者の会」でも配信を停止、新システムへ移行

ユニリタは6月22日、「める配くん」への不正アクセスにより、同サービスへ預けていた顧客情報が外部に漏えいした可能性が高いと公表しました。

対象となる可能性がある情報は、

• 会社名
• 氏名
• メールアドレス

です。

クレジットカード情報と暗号化されていないパスワードは同サービスに保管していないとしています。

また、ユニリタ内に事務局を置く「システム管理者の会」も6月25日に同様の注意喚起を掲載し、個人会員向けメールマガジンの配信を停止しました。

8月28日の続報では、新しいメール配信システムへの移行と安全性確認が完了し、9月11日からメールマガジンを正式再開すると公表しています。

公開ページでは、ユニリタの対象件数や、最終調査で何件のデータが実際に漏えいしたかまでは示されていません。そのため、一覧上は引き続き「漏えいの可能性が高い」としています。

JCVは利用していたが「不正アクセスなし」

認定NPO法人 世界の子どもにワクチンを 日本委員会（JCV）は7月2日、「める配くん」をメールマガジン配信に利用していたことを公表しました。

ただし、JCVによると、同会が利用するサーバーは不正アクセスを受けたサーバーから隔離されており、不正アクセスは発生していません。

「める配くんを利用していた組織＝個人情報が漏えいした組織」ではないことを示す事例です。

ディライトフル自身も、一部のサーバーと一部顧客が対象だったと説明しています。

東京書籍は7月29日時点で個人データ漏えいを確認せず

東京書籍は6月23日、「東書Eネット」のメールマガジン配信で利用していた「める配くん」のサーバーが不正アクセスを受けたとして配信を停止しました。

その後7月29日、配信システムを刷新し、8月から順次メールマガジンを再開すると公表しています。

同日の発表では、旧システムから個人データが外部へ漏えいした事実は確認されていないとの報告を受けていると説明しています。

このため、本記事では「漏えい未確認」のままとしています。

直接侵害されたのは「める配くん」、利用企業の自社システム侵害とは分ける

今回直接侵害されたのは、ディライトフルが運営する「める配くん」のサーバーです。

アニコム損保、Bizプリカなど複数の利用組織は、自社が管理するシステムへの不正アクセスではないことを明記しています。

外部SaaSで情報漏えいが起きた場合、「自社が契約していないから関係ない」と判断できない点にも注意が必要です。

アニコムの事例では、サイト運営・保守の委託先を通じて「める配くん」が利用されていました。東京都国民健康保険団体連合会も、メール配信の委託業者が同サービスを利用していました。

二次被害は未確認、流出情報を使ったフィッシングに注意

ディライトフルは8月14日時点で、本件に起因する二次被害を確認していないとしています。

その後のインクルード、日本応用地質学会、日本スポーツ協会、株式会社クーなどの続報でも、個人情報の不正利用などの具体的な二次被害は確認していないと説明しています。

一方、氏名、メールアドレス、会社名、所属先などが組み合わさった場合、過去に利用したサービスや所属組織を装うフィッシングに利用される可能性があります。

メール本文中のURLや添付ファイルだけでなく、配信元組織を名乗る電話やSMSにも注意が必要です。

情報システム部門への示唆

本件では、直接契約したSaaSだけでなく、委託先のさらに先にあるメール配信サービスへデータが保存されていた事例が確認されました。

情報システム部門、個人情報保護担当、調達部門では次の点を確認できます。

• メール配信、問い合わせフォーム、CRM、イベント管理など、個人情報を保存する外部サービスを棚卸しする
• 直接の契約先だけでなく、再委託先と実際のデータ保管先を把握する
• SaaSごとに保存している情報項目、件数、保存期間、削除手順を記録する
• 委託先がSaaSや外部基盤を変更した場合に通知を受ける契約になっているか確認する
• インシデント時に対象件数、アクセス期間、持ち出し範囲、ログ、再発防止策を受け取れるようにする
• 「影響対象」「漏えいの可能性」「漏えい確認済み」を分けて管理する
• 委託先の先で発生した事故でも、対象者への個別通知ができるデータフローを維持する
• 外部サービスへ保存する属性を必要最小限にする
• 利用終了時にデータ削除と削除証跡を確認する
• 漏えい後のフィッシングを想定し、顧客向け注意喚起や問い合わせ窓口を準備する

今回、同じ「める配くん」利用組織でも、漏えい確認、漏えい可能性、影響なしの3種類に結果が分かれています。

委託先事故では、ベンダーの全体発表だけで自社影響を判断せず、自社データが配置されていた環境と、フォレンジック調査で確認された取得範囲まで確認する必要があります。

出典

• 不正アクセスに関する調査結果および関係機関への報告について – 株式会社ディライトフル
• システムセキュリティ強化に関するご報告とお詫び – 株式会社ディライトフル
• 一部サーバーへの第三者による不正アクセスによるシステム障害及び情報漏洩についてのお知らせ – 株式会社ディライトフル
• （第2報）当社が利用するクラウドサービス「める配くん」に対する不正アクセスの発生および個人情報流出の可能性について – Bizプリカ
• 佐渡トキファンクラブメールマガジンの読者のメールアドレス情報の漏洩と再発防止対策について – 佐渡トキファンクラブ
• 佐渡市委託事業における不正アクセスによる個人情報漏洩のおそれについて – 新潟県佐渡市
• Tokyo国保連介護情報メールマガジンの配信に利用しているメール配信システムへの不正アクセスによるメールアドレス漏えいに関する御報告とお詫びについて – 東京都国民健康保険団体連合会
• （最終報告）メール配信システム「める配くん」への不正アクセスの発生および情報の流出に関するお知らせとお詫び – 公益財団法人アジア保健研修所
• メール配信システムへの不正アクセスによるメールアドレス漏えいの可能性に関するお詫びとご報告 – プリマハム株式会社
• 外部サービスへの不正アクセスによる個人情報漏えいの可能性に関するお詫びとお知らせ – 株式会社ユニリタ
• 外部サービスへの不正アクセスによる個人情報漏えいの可能性に関するお詫びとお知らせ – システム管理者の会
• メールマガジン発行、再開のお知らせ – システム管理者の会
• メール配信システム「める配くん」における個人情報流出に関するお知らせ – KYOTO EXPERIMENT
• メール配信サービス不正アクセス及び配信一時停止のお知らせ – NPO法人21世紀の医療医学を考える会
• メール配信サービスへの不正アクセスに関するお知らせ – 一般社団法人ANDMAMACO
• メールマガジン配信システムへの不正アクセスについて – NPO法人RAFIQ 難民との共生ネットワーク
• メール配信サービス「める配くん」への不正アクセスによる個人情報漏えいに関する調査結果のご報告（第2報） – 株式会社インクルード
• メール配信サービス委託先への不正アクセスによる個人情報漏えいの可能性について – 一般社団法人日本在来工法住宅協会
• 外部メール配信サービスへの不正アクセスによる個人情報漏洩について（確報） – 認定NPO法人アクセプト・インターナショナル
• 個人情報漏えいの可能性に関するお詫びとお知らせ – アクアポニックス・陸上養殖設備展事務局
• 外部メール配信サービスへの不正アクセスによる個人情報漏洩の可能性について – 一般財団法人英語教育協議会
• News – 株式会社キューブフィルム
• メール配信システム「める配くん」における個人情報流出に関するお知らせ – ギンギラ太陽’s
• メールマガジンご登録者様の個人情報流出の可能性に関するお詫びとお知らせ – 淡海ネットワークセンター
• メール配信システムへの不正アクセスによるメールアドレス漏えいの可能性に関するお詫びとお知らせ – 株式会社タカタレムノス
• お客様情報漏洩の可能性に関するお知らせと当選発表について – 有限会社徳丸商店
• 個人情報流出に関する最終報告 – 一般財団法人天涯文化財団
• メール配信サービスに関するお詫びとお知らせ – 株式会社銀のステッキ
• 委託先事業者における個人情報流出の可能性に関するお詫びとお知らせ – スパークル法律事務所
• 外部メール配信サービスへの不正アクセスによる個人情報漏洩の可能性について – LyuVie Online Shop
• 個人情報流出の可能性に関するお詫びとお知らせ – 株式会社新和プラスチック
• 個人情報流出の可能性に関するお詫びとお知らせ – 一般社団法人KSHS
• メールマガジン配信システム「める配くん」への不正アクセスに関するお知らせ – 株式会社パズルリング
• 個人情報流出の可能性に関するお詫びとお知らせ – 一般社団法人あわら市観光協会
• 外部メール配信サービスへの不正アクセスによる個人情報漏洩の可能性について – 精進同窓会
• 日刊お母さん業界新聞（メール版）システムトラブルによる配信停止について – 株式会社お母さん業界新聞社
• 「める配くん」の一部サーバーにおける外部からの不正アクセス発生について – 東京書籍株式会社
• メールマガジン配信再開のお知らせ – 東京書籍株式会社
• メール配信サービスにおける不正アクセスに関するお知らせ – 株式会社センチュリーアークス
• 外部メール配信システムへの不正アクセスに関するお詫びとお知らせ – 一般社団法人日本医療安全調査機構
• メールマガジン「建設ニュース週刊ダイジェスト」の配信中止について – 株式会社建設ニュース
• メールマガジン配信サービス「める配くん」で発生した不正アクセスについて – 認定NPO法人 世界の子どもにワクチンを 日本委員会
• ニューズリスト登録メールアドレスおよびお名前の流出に関するお詫びと報告（確報） – 一般社団法人日本応用地質学会
• 外部メール配信サービスへの不正アクセスに伴う個人情報漏えいの可能性に関するお詫びとご報告 – アニコム損害保険株式会社
• 外部メール配信サービスへの不正アクセスに伴う個人情報漏えいの可能性に関するお詫びとご報告 – アニコム パフェ株式会社
• 総合型地域スポーツクラブメールマガジンのデータベースへの不正アクセスについて（続報） – 公益財団法人日本スポーツ協会
• 外部メール配信システムへの不正アクセスによる個人情報漏えいに関するお詫びとお知らせ – 株式会社クー