顧客の情報を預けた外部サービスから漏れたとき｜2026年10月の委託先の情報漏洩を並べてわかった、事業者が確かめること

最終更新：10 月 25 日 07:24（日本時間） 続報が出たら表を更新します。
すぐ見る：どうすればいい？ ／ 比較表 ／ 初動チェックリスト ／ 報告の要否と期限 ／ お知らせの文例 ／ 棚卸し表

この記事では、2026 年 10 月に相次いだ委託先の情報漏洩（顧客の情報を預けた外部サービスからの漏えい）の事例を、サービスの提供元と、それを使っていた利用企業の公式の発表だけをもとに並べて比べます。そのうえで、委託先から連絡が来たときの初動対応のチェックリスト、個人情報保護委員会への報告の要否と報告期限、顧客へのお詫びとお知らせの文例、預けているサービスの棚卸し表をまとめます。比べた結果と道具は、この記事での整理です。

何が起きたか（比べた 5 つの事例）

どれも、事業者が自社の仕組みではなく、外部の会社のサービスに顧客の情報を預けていて、その提供元のシステムが不正アクセスを受けたものです。それぞれの詳しい経緯は、個別の記事にまとめています。

• ブラストメール（メール配信） ラクスの子会社で、メール配信システム「ブラストメール」を提供するラクスライトクラウドのシステムに不正アクセスがあり、すべての契約者の情報と、一部の契約者の配信先のリストなどが持ち出されました。 ブラストメールの件の記事を読む
• Cuenote FC（メール配信） メール配信サービス「Cuenote FC」を運営するユミルリンクの一部のシステムに不正アクセスがあり、メールアドレスを含む情報が出力されました。メールの配信を同社に任せていた企業が、相次いで影響を公表しています。 ユミルリンクの件の記事を読む
• futureshop（ネットショップの仕組み） ネットショップを作って運営するためのサービス「futureshop」を提供するフューチャーショップのサーバーに不正アクセスがあり、利用していた 1 店舗の会員情報が漏えいしました。 futureshop の件の記事を読む
• Value Card（お店の電子マネーの仕組み） お店などにハウス電子マネー発行サービス「Value Card」を提供するバリューデザインのサーバーに不正アクセスがあり、カードの番号などが流出しました。親会社のペイクラウドホールディングスが公表しています。 バリューデザインの件の記事を読む
• ネット取引のシステム（運用・保守の委託先） 岩井コスモ証券が、インターネット取引のシステムの運用・保守を任せているトレードワークスのシステムへの不正アクセスで、一部の利用者の情報が漏洩したと公表しました。この例だけは、利用企業の側が不正アクセスに気づいています。 岩井コスモ証券の件の記事を読む

下の表に出てくる利用企業は、新聞社の新潟日報社と山陽新聞社、レンタルサーバー「エックスサーバー」を提供するエックスサーバー、東京メトロ、ハンドメイド作品の通販サイト「Creema」を運営するクリーマ、ネットワークやサーバーなどのサービスを提供する NTTPC コミュニケーションズ、書店「honto」を運営する大日本印刷、野村證券、チョコレートのリンツのオンラインショップを運営するリンツ＆シュプルングリージャパン、モスバーガーを展開するモスフードサービス、岩井コスモ証券です。

委託先の情報漏洩の事例を並べた比較表

ここからは、この記事での整理です。各社の公式の発表に書かれた日付と内容を、サービスごとに並べました。「何日後」は、公表された日付の差を数えたもので、時刻は考えていません。利用企業ごとの公表日は、下の経緯の表にあります。

同じサービスの利用企業でも、対象外だったと公表した例があります。ブラストメールでは、クリーマが 10 月 23 日に、メールアドレスが流出したという報告は受けていないと公表しました。Cuenote FC では、山陽新聞社が 10 月 20 日に、自社の環境では漏えいは確認されていないと連絡を受けたと公表しています。

件数は、各社が発表した時点のものです。ユミルリンクの約 900 万件は延べの試算で、利用企業ごとの内訳は書かれていません。futureshop とリンツ、Value Card とモスフードサービスのように、利用企業の側の件数が別に公表されている例もあります。

並べてわかること

表を並べて見えた共通点を、発表で確かめられる範囲でまとめます（この記事での整理）。

• 1. 漏れたのは、利用企業が預けた顧客の情報そのもの メール配信なら配信先のリスト、ネットショップなら会員情報、電子マネーならカードの番号と残高です。大日本印刷やエックスサーバーのように、自社のシステムへの不正アクセスは確認されていないとする利用企業もありますが、顧客から見れば「その会社に渡した情報」が漏れています。ブラストメールでは、利用企業自身の会社名や担当者の連絡先も持ち出されました。
• 2. 同じサービスでも、利用企業ごとに漏れた項目が違う 同じブラストメールでも、東京メトロはメールアドレスだけ、新潟日報社は氏名や年代、購読している商品名まで含まれていました。違いは、それぞれがサービスに入れていた項目の違いです。大日本印刷は、パスワード・クレジットカード情報・購入履歴などはメール配信のシステムに持たせていないと説明していて、それらは対象になっていません。
• 3. 提供元の公表だけでは、自社が対象かは分からない 同じ Cuenote FC を使っていても、山陽新聞社は漏えいは確認されていないとの連絡を受けました。ブラストメールでも、クリーマは 10 月 23 日 10 時の時点で流出の報告を受けていないと公表しています。自社が対象かどうかは、提供元からの個別の連絡で決まります。
• 4. 利用企業の公表は、提供元から報告を受けた日から数日以内に続いた 提供元が気づいてから最初の公表までは、当日〜4 日後でした。利用企業が 1 社の例（futureshop と Value Card）は、提供元と利用企業が同じ日に公表しています。フューチャーショップは、公表までに時間がかかったのは、店舗と一緒に対象のお客様への案内と窓口を準備していたためと説明しています。利用企業が多いメール配信では、利用企業の公表が、提供元から報告を受けた日の当日〜2 日後に続きました（新潟日報社は報告を受けた日、NTTPC コミュニケーションズと野村證券は翌日、大日本印刷は 2 日後）。
• 5. 顧客に知らせる手段（メール）そのものが止まる メール配信の事故では、配信のサービス自体が止まりました。新潟日報社はニュースメールを止め、最新のニュースは自社のサイトで見るよう案内しています。東京メトロもメールマガジンの登録と配信を止めました。エックスサーバーはブラストメールとのデータ連携を止め、利用を終えて自社で作るメール配信の仕組みへ移るとしています。お知らせを届ける場所として、自社のサイトが残ります。

経緯

委託先から漏えいの連絡が来たときの初動対応チェックリスト

5 つの事例で利用企業が実際にしたことと、個人情報保護委員会の説明をもとに、期限ごとに並べたものです（この記事での整理）。自社に当てはまるかの最終的な判断は、委員会の窓口や専門家に確かめてください。

今日（連絡を受けた日）

• 連絡を受けた日時・連絡してきた人・内容を記録する。報告の期限は、通常この日から数える
• 自社が「漏えいを確認」「漏えいの可能性がある」「確認されていない」のどれかを提供元に確かめる
• そのサービスに預けていた項目（メールアドレス・氏名・住所・生年月日・購入の情報など）と、おおよその人数を書き出す。管理画面が止まっていたら、取り込みに使った手元のファイルで確かめる
• サービスとの連携（自動の取り込み・送信）を止めるかを決める。大日本印刷やエックスサーバーは連携を止めた
• 社内の個人情報の担当者と責任者に共有する。ラクスライトクラウドも、案内を個人情報保護の担当部署に共有するよう求めている

3 日以内

• 個人情報保護委員会への報告が要るかを確かめ、要るなら速報を出す（次の節）。提供元との連名にするか、自社で出すかを決める
• 顧客へのお知らせを自社のサイトに出す（文例は下の節）。分かっていないことは「確認中」と書き、分かり次第このページで知らせると添える
• 問い合わせ窓口（電話・フォーム・受付時間）を決めて、電話を受ける人に答え方を渡す
• 自社を装うメールへの注意を呼びかけ、自社がどのアドレスから連絡するかを書く

1 週間以内

• 対象の顧客への個別の連絡（本人への通知）を進める。連絡先が分からない人には、サイトでの公表と問い合わせ窓口で代える方法がある
• 確報の期限（発覚日から 30 日以内、不正アクセスなど不正な目的のおそれがあれば 60 日以内）を予定に入れ、提供元の調査結果を受け取る日を決める
• プライバシーマークを持っているなら、プライバシーマークの制度を運営する日本情報経済社会推進協会（JIPDEC）への報告を自社で行う（ラクスライトクラウドの案内）
• サービスを使い続けるか、預ける項目を減らすか、乗り換えるかを決める
• ほかに顧客の情報を預けているサービスがないか、下の棚卸し表で確かめる

個人情報保護委員会への報告の要否と報告期限

委託先で起きた漏えいでも、利用している事業者に報告や通知の義務がかかることがあります。個人情報保護委員会の「漏えい等の対応とお役立ち資料」とガイドライン（通則編）から、委託先経由の漏えいに関わるところを抜き出します。

報告が要る場合

委員会のページは、事業者に報告が義務付けられる場合として、次の 4 つを挙げています（民間事業者の場合）。

1. 要配慮個人情報（病歴・健康診断の結果など）が含まれる個人データの漏えい等
2. 不正に使われると財産的な被害が生じるおそれがある個人データの漏えい等（クレジットカード番号を含むものなど）
3. 不正の目的をもって行われたおそれがある行為による漏えい等（不正アクセスで個人データが盗まれた場合など）
4. 個人データに係る本人の数が 1,000 人を超える漏えい等

4 つのうち、委託先経由の漏えいで見落としやすいのは 3 つ目です。ガイドラインでは、この「不正の目的」の行為の相手には、個人データの取扱いを任せている委託先や、利用しているサービスを提供する第三者も含まれるとしています。つまり、預けた先が不正アクセスを受けた場合、人数が 1,000 人以下でも、利用している事業者の報告の対象になりうるということです（この記事での読み取り）。

報告期限

期限を数え始める日についての説明です。ガイドラインによると、委託先から事態の発生を知らされた委託元は、通常、遅くとも知らされた時点で事態を知ったことになり、速やかに報告しなければなりません。法人では、いずれかの部署が知った時点が基準です。連絡を受けた日時を記録しておくのは、このためです。

委託元と委託先の両方に義務がある

外部に任せている場合の扱いです。ガイドラインでは、個人データの取扱いを任せている場合、報告の対象になる事態では、原則として委託元と委託先の双方が報告する義務を負い、連名で報告することもできます。委託先が委託元に事態を知らせたときは、委託先の報告と本人への通知の義務は免除され、委託元が報告します。本人への通知も、原則として双方の義務です。

連名での報告の実際の例です。ラクスライトクラウドは、ブラストメールの契約者との連名で委員会に報告することを申し込み制で受け付けています（申し込みは 10 月 29 日まで）。連名にすれば自社から個別に報告する必要はなく、速報の目安の期間を超えても報告の遅れとしては扱わないことを委員会に確認したとしています。ただし、連名は委員会への報告に限られ、配信先のリストの漏えいが確認された場合の読者への通知は、契約者が自社で行う必要があります。フューチャーショップも、対象の店舗との連名で委員会へ報告しています。

本人への通知と、サイトでの公表

本人への通知は、事態の状況に応じて速やかに行います。連絡先を持っていないなど通知が難しい場合は、事案の公表や、問い合わせ窓口を用意してその連絡先を公表することが、代わりの措置として認められています。公表そのものは義務ではありませんが、二次被害や似た事案を防ぐ観点から、速やかに公表することが望ましいとされています。

顧客へのお知らせ（お詫び文例）

自社のサイトに載せる短いお知らせの文例です（この記事で作ったもの）。［　］を自社の内容で埋めて使ってください。分かっていないことは「確認中」と書き、推測で埋めないのがこつです。お詫びの言葉は、自社の言葉に置き換えてかまいません。

東京メトロ・大日本印刷・エックスサーバーなど、利用企業のお知らせの多くにも、対象の範囲、含まれない情報、自社を装う連絡への注意、問い合わせ先が入っていました。メールの配信が止まっているときは、メールで送らずにサイトに載せ、SNS などからこのページへ案内します（この記事での整理）。

預けている外部サービスの棚卸し表

事故が起きてから「何を預けていたか」を調べると、初動が遅れます。いま使っているサービスを 1 行ずつ書き出しておくための表です（この記事で作ったもの）。右の 3 列は、埋めるときに確かめる点の例です。

書き出したら、「預けている項目」に使っていないものがないかを見直します。預けていない情報は、そのサービスからは漏れません。窓口の欄は、事故の連絡がどの宛先に届くかまで確かめておくと、連絡に気づくのが遅れません。

自社で見直すこと

外部のサービスに顧客の情報を預けること自体は、中小企業にとって欠かせない仕組みです。そのうえで、預けた先で事故が起きても、顧客への説明と報告は自社にも求められます（この記事での整理）。

• 預ける項目を必要なものだけにする メール配信ならメールアドレスと宛名だけで足りないかを確かめる。今回の事例でも、預けていた項目の違いが、漏れた項目の違いになっていた。
• 事故の連絡を受ける人と宛先を決めておく 報告の期限は連絡を受けた時点から数える。サービスの登録アドレスが退職した人のものになっていないかを確かめる。
• お知らせを載せられるサイトを用意しておく メールが止まっても、自社のサイトにお知らせを出せれば顧客に伝えられる。誰が、どの手順で載せるかを決め、自社からの連絡の手段も公式サイトに書いておく。

ほかの最近の出来事は 「最近のサイバー攻撃と対策」、メール配信の例は 「ブラストメールの不正アクセス」 と 「ユミルリンクの不正アクセス」、続けて備える体制の考え方は 「ホームページの保守」 にまとめています。

作り方は 3 つ｜完成済み・自作・オーダーメイド

作り方はどれでも選べます。優劣ではなく、向いているケースが違います。

• オーダーメイドで作る（制作会社に依頼） 要件を渡せば設計から任せられます。自社に合わせて一から作りたい場合や、撮影・原稿まで任せたい場合に向きます。SITE PICK でもオーダーメイド制作の相談を受け付けています。

  オーダーメイド制作を相談する オーダーメイド制作との違い

• 自分で作る（自作） 費用は抑えられます。そのかわり、使っているサービスの事故の情報を追い、お知らせの掲載や安全対策を公開後もずっと自分で続けることになります。
• 完成済みのサイトから選ぶ（完成済み） 構成・更新の仕組み・入口が組まれた状態を実物で確かめ、社名・写真・文章を差し替えて公開します。完成形を先に確認してから決めたい場合に向きます。この記事の集計は、その実際のサイトのデータです。

  完成済みのサイトを実物で見る