クラシエ：「Kampoful Life(カンポフルライフ)」のメール配信サービスへの不正アクセスによる会員情報の流出について

クラシエ薬品の件は、委託先であるメール配信基盤の侵害が波及した事案として、報道や分析で次のように整理されている。

rocket-boys.co.jpの分析では、アララは11月2日付の第2報で、従来確認されていた共用環境に加え、契約企業向けサーバー97台への侵入が判明したと説明している。新たな環境で対象となったメールアドレスは約7,700万件で、外部への持ち出しが確認された情報と、持ち出されたおそれがある情報を含むという。アララはメール配信サービスを10月31日までに全面停止し、再開時期は未定とされる [s4]。クラシエ側は、アララの11月2日の公表を受けて調査し、クラシエ薬品が「repica」で配信したメールアドレスも対象と判明したと説明している [s4][s6]。

件数と期間の読み方について、rocket-boys.co.jpは次の点を指摘している。59,428件はメールアドレスの件数であり、影響を受けた会員が59,428人と確定した数ではない。10月8日から29日は配信対象の期間で、不正アクセスが行われた期間を示すものではない。この59,428件はアララ全体の約7,700万件に単純加算できない [s4]。今回の発表は、「Kampoful Life」自体のWebサーバーや会員管理システムへの別個の侵入を公表したものではないとも整理されている [s4]。

クラシエが停止したのは「repica」によるメール配信であり、公式発表はサイト全体の停止、会員ログイン不能、商品注文の停止を説明していないという [s4]。メール配信の再開時期や、件数が今後変わるかどうかは、11月4日17時01分時点の記事では未確認の事項として挙げられている [s6]。

事案の位置づけについて、情報漏えい事案のまとめサイトは原因を「委託先経由」に分類し、アララ「repica」を使っていた組織の公表を16組織としてまとめている [s5]。別のまとめサイトであるモレタは、同じ原因で他に23組織が漏えい、またはそのおそれを公表していると集計している。関連事件の件数には最大2,230,812件や約77,000,000件といった規模のものも含まれる。モレタはこの事案を「危険度 中」とし、2026年に件数が公表された770件の中央値（3,811件）を上回るとしている [s7]。なお、2組のまとめサイトで組織数に差があるのは、集計の範囲や時点の違いによる可能性がある。

注意喚起として、rocket-boys.co.jpは、メールアドレスの流出によりサービス名を騙ったなりすましメールや、会員情報の更新、認証、プレゼント当選、健康相談などを口実とする不審な案内が届く可能性を挙げる。これは考えられる悪用例であり、二次被害の発生が確認されたものではないとしている [s4]。正規の連絡か迷う場合は、メール内のリンクを使わず、ブラウザーで公式サイトを直接開いて告知を確認するよう勧めている [s4]。モレタも、企業名を騙った「お詫び」メールなどのフィッシングに注意し、メール内のリンクを開かないよう呼びかけている [s7]。

企業側への示唆として、rocket-boys.co.jpは、メール配信を外部に委託している企業では、自社の会員サイトが直接攻撃されなくても、委託先の配信基盤の侵害で顧客に影響が及ぶと指摘する。配信サービスへ渡したメールアドレスとその他の会員情報の範囲を確認し、事故時の説明を分けること、影響を受けた配信サービスを使わない代替の連絡手段を用意することを挙げている [s4]。