2026年11月6日、福岡ソフトバンクホークスは、「タカコレ」「タカコレくじ」の利用者に関するメールアドレス1万723件が外部に流出したと発表しました。
原因となったのは、球団のシステムに対する直接的な不正アクセスではありません。
サービス運営に関係する株式会社VOLZが利用していた、アララ株式会社のメール配信サービス「アララメッセージ」が第三者から不正アクセスを受けたことによるものです。
今回の事案は、企業が自社のシステムを守るだけでは情報漏えいを完全には防げないことを示しています。
Webサイトやメール配信、顧客管理などで外部サービスを利用することが一般的になった現在では、委託先やクラウドサービスの安全性も含めて考える必要があります。
ソフトバンクホークスで何が起きたのか
福岡ソフトバンクホークスによると、対象となったサービスは「タカコレ」と「タカコレくじ」です。
タカコレは、ホークスの選手カードを集めたり、他の利用者とトレードしたりできる公式カードコレクションサービスです。
今回漏えいが確認された情報は、これらのサービスで使用されていたメールアドレス1万723件です。
球団は対象となる利用者にメールで個別に案内するとともに、不審なメールへの注意を呼びかけています。
現時点で、この情報漏えいを原因とする具体的な二次被害は確認されていないとされています。
原因はメール配信サービスへの不正アクセス
今回の情報漏えいは、福岡ソフトバンクホークスのシステムへ直接侵入されたことで発生したものではありません。
株式会社VOLZが利用していたアララ株式会社のメール配信サービス「アララメッセージ」が第三者から不正アクセスを受け、同サービス上に保存されていた情報が外部へ持ち出されました。
アララメッセージは、企業が顧客や会員へメールを一斉配信するためのサービスです。
メールマガジンや会員向けのお知らせなどに利用するため、配信対象となる大量のメールアドレスが登録されています。
こうしたサービスが攻撃を受けた場合、一つの企業だけでなく、そのサービスを利用している複数の企業へ影響が広がる可能性があります。
アララメッセージ全体では約8,100万件が対象に
今回の問題は、ソフトバンクホークスだけで発生しているものではありません。
アララ株式会社が11月6日に公表した情報では、外部に持ち出された、または持ち出されたおそれのあるメールアドレスは、重複を除いて81,329,467件に上るとされています。
影響を受ける契約企業は最大約380社と推計されており、現在も調査が続いています。
企業によっては、メールアドレスだけでなく、氏名、性別、生年月日、電話番号、会員番号、住所などが含まれているケースもあります。
一つのメール配信基盤への不正アクセスが、多数の企業とその利用者に影響する大規模な事案となっています。
漏えいしたメール配信基盤から不審メールも送信
今回の事案で特に注意したいのが、情報が持ち出されただけではないことです。
アララ株式会社によると、2026年10月28日から30日にかけて、同サービスを不正に利用し、「news@arara.com」という送信元からクレジットカード会社を装った不審なメールが最大約713万通送信されました。
情報漏えいが発生すると、その後に漏えいした情報を利用したフィッシング詐欺が行われる可能性があります。
今回の場合は、メール配信サービス自体が不正利用され、実際に大量の不審メールが送られています。
メールの送信元や見た目が普段利用しているサービスに近ければ、受信者が信用してしまう可能性も高くなります。
不審なメールを受信した場合は、本文に記載されたURLをそのまま開かず、公式サイトや公式アプリから内容を確認する方が安全です。
「メールアドレスだけ」でも注意が必要
今回ソフトバンクホークスが公表している漏えい情報はメールアドレスです。
パスワードやクレジットカード番号ではないため、それだけでアカウントへログインしたり、決済したりすることはできません。
一方で、メールアドレスはフィッシング詐欺や迷惑メールの送信先として利用できる情報です。
特定のサービスを利用していることとメールアドレスが結び付けば、
「タカコレの登録確認が必要です」
「情報漏えいに伴いパスワードを変更してください」
といった、そのサービスに関係するもっともらしい内容のメールを送ることも考えられます。
実際のサービス名を使ったメールは、無関係な迷惑メールより信用されやすくなるため注意が必要です。
自社が攻撃されなくても情報は漏れる
企業では現在、さまざまな外部サービスが使われています。
メール配信だけでなく、問い合わせフォーム、顧客管理、採用管理、決済、ファイル共有、マーケティングなど、多くの業務がクラウドサービスによって支えられています。
外部サービスの利用そのものを避ける必要はありません。
ただし、顧客情報を外部へ預ける以上、そのサービスで事故が発生した場合、自社の顧客にも影響する可能性があります。
最近では、シチズン時計でも問い合わせ業務の委託先への不正アクセスを通じて顧客情報が漏えいした可能性が公表されています。
自社のWebサイトやサーバーだけを守ればよいという考え方では、十分ではなくなっています。
外部サービスを利用するときに確認しておきたいこと
メール配信や顧客管理などの外部サービスを利用する場合、機能や料金だけではなく、どのような情報を預けるのかを把握しておく必要があります。
また、サービス提供会社がどのようなセキュリティ対策を行っているのか、事故が発生した場合にどのように連絡を受けられるのかも確認しておきたいところです。
特に重要なのは、自社が利用している外部サービスを把握することです。
部署ごとにさまざまなクラウドサービスを契約していると、どのサービスにどの顧客情報を保存しているのか、会社全体で把握できなくなることがあります。
契約中のサービスだけでなく、すでに利用を終了したサービスにデータが残っていないかについても確認が必要です。
外部サービスの事故を完全に防ぐことは難しい
委託先のセキュリティ対策を確認していても、第三者のシステムで発生するすべての事故を自社側で防ぐことはできません。
そのため、事故が発生する可能性も考えた準備が必要です。
例えば、委託先から情報漏えいの連絡を受けた場合に、
どの顧客が影響を受けるのか。
どの情報を預けていたのか。
利用者へどのように案内するのか。
自社を装ったフィッシングが発生していないか。
といった点をすぐ確認できる体制があると、対応を早めることができます。
委託先を選定するときの審査だけでなく、事故が発生した後の対応まで考えておくことが重要です。
流出した認証情報などを監視する対策も
今回ソフトバンクホークスが公表した対象情報はメールアドレスですが、サイバー攻撃ではメールアドレスとパスワードなどの認証情報がセットで流出するケースもあります。
そうした情報が後になってダークウェブなどで公開・売買されることもあります。
CyberCrewでは、企業のドメインやメールアドレスなどに関連する流出情報を検知・監視するサービス「ALIENGATE（エイリアンゲート）」を提供しています。
流出した認証情報などが確認された場合、対象となるアカウントの確認やパスワード変更など、早い段階での対応につなげることができます。
ただし、ALIENGATEを含む監視サービスですべての情報漏えいを検知できるわけではありません。
外部サービスの管理、システムへの侵入を防ぐ対策、情報流出後の監視など、それぞれ役割の異なる対策を組み合わせることが必要です。
タカコレ・タカコレくじを利用している方は注意を
福岡ソフトバンクホークスは、対象となる利用者へ個別にメールで案内するとしています。
今回の情報漏えいに便乗し、球団やサービス運営会社などを装ったメールが送られる可能性も考えられます。
身に覚えのないメールを受信した場合は、記載されているURLをそのまま開いたり、添付ファイルを開いたりしないよう注意してください。
メールからIDやパスワード、クレジットカード情報などの入力を求められた場合も、その場で入力せず、公式サイトから案内を確認することをおすすめします。
まとめ
福岡ソフトバンクホークスでは、「タカコレ」「タカコレくじ」で使用されていたメールアドレス1万723件の流出が確認されました。
原因となったのは、関連する外部事業者が利用していたメール配信サービス「アララメッセージ」への不正アクセスです。
アララメッセージ全体では、重複を除いて約8,100万件のメールアドレスが持ち出された、またはそのおそれがあり、最大約380社への影響が調査されています。
企業が外部サービスを利用することは、現在の事業運営では一般的です。
一方で、自社のセキュリティ対策だけでは、委託先を経由した情報漏えいを防ぐことはできません。
どのサービスにどの情報を預けているのかを把握し、委託先の安全管理と、事故発生時の対応まで含めて準備しておくことが求められます。
※本記事は2026年11月10日時点の福岡ソフトバンクホークスによる公表内容、アララ株式会社の公開情報および報道をもとに、株式会社CyberCrewが独自に整理・解説したものです。現在も調査が継続しているため、影響範囲や件数などが更新される可能性があります。
投稿者プロフィール
-
CyberCrew（サイバークルー）は、企業の情報セキュリティをトータルで支援する専門チームです。高度なスキルを持つホワイトハッカーが在籍し、サイバー攻撃の監視・検知から初動対応、リスク診断や従業員向けのセキュリティ教育まで、幅広いサービスを提供。企業のニーズに応じた柔軟な対応で、安心・安全なIT環境の実現をサポートします。
■ 情報セキュリティサービス台帳登録事業者
■ セキュリティコンテスト受賞歴
CTF国際大会 世界No.1
CEH Master Leaderboard 世界No.1
Hack The Box Rank TOP10
■ 保有セキュリティ資格
GIAC GXPN、Cisco Cybersecurity Specialist、CEH Master、CEH Practical、
Cyber Security Professional Certificate、OSCP、OSCP+、CPENT、OSWP、
eCPPT、eMAPT、CRTS、SOC-100、PEN-100、
HTB Offshore Penetration Tester（Level 3）
