アソビュー！で1,582万件。原因は委託先のメール配信「アララメッセージ」、持ち出されたアドレスは全体で約7,700万件

• レジャー施設のチケットを予約・購入できる「アソビュー！」は11月3日、メール配信に使っていた委託先、アララ株式会社の「アララメッセージ」が不正アクセスを受け、会員の情報15,821,184件が流出したと発表した
• 流出したのは、メールアドレス、氏名、性別、生年月日、電話番号、郵便番号、住んでいる地域、そしてどの施設のチケットをいつ買い、いつ使ったか。パスワードとクレジットカードの情報は含まれない
• アララ社の第2報によると、持ち出されたメールアドレスは全体で約7,700万件、関係する契約企業は最大約380社。同社の配信の仕組みからは、カード会社を装うメールが最大約713万通送られていた。アララメッセージは10月31日から全面停止している

アソビューが発表したこと

アソビューは11月2日にアララ社から報告を受け、同じ日にアララメッセージを使う配信をすべて止め、管理画面のパスワードやAPIキーを無効にした。どのメールアドレスがどの会員のものかはまだ特定できておらず、特定できたら対象の会員に個別に連絡するという。それまでは、すべての会員に注意を呼びかけている。

報道によると、福井県立恐竜博物館のようにアソビュー！でチケットを売っていた施設も、購入者に二次被害への注意を呼びかけ始めている。

委託先のアララ社で起きていたこと

アララ社が11月2日に出した第2報で、被害は10月29日の第1報より大きく広がった。

原因は、Webサーバーの脆弱性と「システム環境における問題」とされている。侵入が始まった時期と経路は調査中だ。アララ社は、一連の不正アクセスは同じ第三者によるものとみている。件数は精査中で、重複を含むため利用者の人数そのものではない。

本物の配信基盤から送られた偽のメール

ここからは筆者の見方だ。今回いちばん怖いのは、偽のメールが本物のメール配信の仕組みから送られたことだと思う。

ふつうの詐欺メールは、送信元のドメインがおかしかったり、迷惑メールのフィルターに引っかかったりする。ところが、正規のメール配信サービスから送られたメールは、送信元の認証（SPFやDKIM）を通ってしまうことが多い。「迷惑メールに入らなかったから本物」とは言えないということだ。

件名は「利用内容確認のご依頼」「ご利用明細確認のご依頼」など。10月28日から30日に news@arara.com から届いたメールは、URLを開かずに削除するよう、アララ社が呼びかけている。

利用者がやること

1. アソビュー！を名乗る連絡に注意する。「返金」「キャンセル」「当選」「本人確認」を理由に、個人情報や支払いを求める連絡は疑う
2. 漏れたのはどの施設に、いつ行ったかまで含む。「先日ご利用の○○水族館の件で」のように、本当に行った施設の名前を出されても信じない
3. メールやSMSのURLは開かず、確かめたいときはアプリや公式サイトを自分で開く
4. アソビューは、パスワードやカード情報の入力をメールなどで求めることはないとしている。万一入力してしまったら、すぐカード会社に連絡する
5. ほかのサービスのお知らせにも気をつける。アララメッセージの契約企業は最大約380社で、アソビュー以外の会社からも順に発表が出る可能性がある

メール配信を外に頼んでいる会社へ

これも筆者の見方だ。メール配信サービスの事故は、今月これで2件目になる。10月にはブラストメールで配信先リストまで漏れた件があった。メール配信サービスには、多くの会社の会員名簿が1か所に集まる。攻める側から見れば、1社を破れば何百社分の名簿が手に入る場所だ。

アソビューは今後、委託先に預ける情報を必要最小限にするとしている。メール配信を外に頼んでいる会社は、次のことを確かめておきたい。

• 配信サービスに、メールを送るのに要らない項目（生年月日、住所、購入の履歴など）まで渡していないか
• 配信を終えた古い名簿や、退会した人のアドレスが残ったままになっていないか
• 管理画面の二段階認証や、ログインできる場所の制限が入っているか
• 委託先が止まったとき、会員に知らせる別の手段があるか。メールの仕組みそのものが止まると、お詫びのメールも出せない

アソビューは今年5月にも、自社の予約管理システムへの不正アクセスで、取引先の情報が流出したと発表している。今回は委託先の事故で、原因は別だ。ただ、利用者から見れば、どちらも「アソビューに預けた情報」であることに変わりはない。

まとめ

• アソビュー！の会員情報15,821,184件が、委託先のメール配信「アララメッセージ」から流出。施設の利用履歴まで含む
• アララ社全体では、持ち出されたメールアドレス約7,700万件、契約企業最大約380社。サービスは全面停止中
• 本物の配信基盤から、カード会社を装うメールが最大約713万通。迷惑メールに入らなくても本物とは限らない
• 利用者は、実際に行った施設の名前を出す連絡にも注意。会社は、委託先に渡す項目を最小限に

出典

• アソビュー株式会社「委託先メール配信サービスへの不正アクセスに関するお詫びとお知らせ」（2026年11月3日）
• アララ株式会社「当社が提供する『アララメッセ－ジ』への不正アクセスによる情報流出およびサービス停止について（第２報）」（2026年11月2日）
• アソビュー株式会社「【お取引先様各位】弊社システムへのサイバー攻撃による情報流出に関するお詫びとお知らせ」（2026年5月28日）
• 福井テレビ「『アソビュー！』メール配信システムに不正アクセス…1580万件の個人情報流出か」（2026年11月3日、報道）

本記事は2026年11月4日時点の情報に基づく。アララ社の件数は精査中で、今後変わる可能性がある。「本物の配信基盤から送られた偽のメール」と「メール配信を外に頼んでいる会社へ」は筆者の見方である。