メーカーズシャツ鎌倉：【緊急・重要なお知らせ】メール配信システムからのメールアドレス流出に関するご報告とお詫び

アララ株式会社への不正アクセスが鎌倉シャツに波及した経緯と、同社側の影響範囲が分かる。

rocket-boys.co.jp によれば、アララは11月2日の第2報で、メール配信基盤への不正アクセスが共用環境だけでなく契約企業向け環境のサーバー97台にも及んだと公表した。同環境で持ち出された、または持ち出されたおそれがあるメールアドレスは約7,700万件、関係する契約企業は最大約380社と推計されている [s4]。別の共用環境ではメールアドレス3,386,187件の持ち出しも確認されたが、環境間で重複する可能性があるため、両環境の件数は単純には合算されていない [s4]。同サイトは、鎌倉シャツの約16万件も同じ一連の不正アクセスに関する個別企業側の公表値であり、アララ全体の数値に別事件として上乗せできるものではないと整理している [s4]。

公表によれば、対象期間は2026年10月8日から10月29日で、この期間にメールマガジンの配信対象として登録されていた顧客のメールアドレスが対象となる [s6]。rocket-boys.co.jp は、この日付は対象となる配信情報の期間を示すもので、第三者が同期間中ずっと不正アクセスを続けていたことを意味しないと指摘している [s4]。約16万件は「流出した可能性のある情報」の件数であり、全件の持ち出しが個別に確認されたという意味でも、顧客の実人数でもないという [s4]。

攻撃者側については、rocket-boys.co.jp が、アララが10月28日から30日にかけて第三者による同社メール配信機能の不正利用を公表したと伝えている。カード会社を装う不審メールが最大約713万通送信されたという。ただしこの宛先は第三者が外部から持ち込んだメールアドレスで、鎌倉シャツの顧客リストが送信に使われたとの発表ではない [s4]。smartscope.blog によれば、鎌倉シャツはアララの報告として、この件に関連してクレジットカード会社を装った不審メールが送信されていると説明している [s6]。

侵入経路は委託先であるアララのメール配信サービス「repica」で、jouhourouei.clipmaster.jp はこれを委託先経由と分類している [s5]。同サイトによれば、アララ「repica」を使っていた組織の公表は25組織にのぼる [s5]。rocket-boys.co.jp によれば、鎌倉シャツは顧客情報を複数のシステムで管理しており、氏名、住所、電話番号、生年月日、購買履歴、パスワードは対象外で、クレジットカード情報は配信システム側で保持していない [s4]。同社の通販サイトや会員管理システムへの不正アクセスは説明されていない [s4]。

対応について、smartscope.blog によれば、アララの該当システムは現在すべて停止されており、鎌倉シャツはセキュリティ基準を強化した別のメール配信システムへの乗り換えを準備している [s6]。対象顧客には、事態が落ち着いた後にアララと同じサーバーを使っていた事業者の連名でメールが配信される予定で、同社からも準備が整い次第、事実関係と今後の対策を案内するという [s6]。

注意喚起として、rocket-boys.co.jp は、メールアドレスのみの流出でも、実在する企業をかたる偽メールの宛先に使われるおそれがあるとしている。注文確認やカード利用確認などを名目にしたリンクや添付ファイルには注意し、公式サイトから確認するよう勧めている [s4]。企業側の対策としては、配信基盤に預けるデータ項目の点検、流出確定件数と可能性のある件数の区別、全面停止時に公式サイトなど別経路で通知する手順の確保、移行時の権限やAPIキーの確認を挙げている [s4]。