セガとセガフェイブ、メールアドレス約219万件が流出アララへの不正アクセスが原因と発表

株式会社セガは2026年11月9日、同社とグループ会社の株式会社セガフェイブが利用するメールマガジン配信システムへの不正アクセスにより、メールアドレス2,196,044件が外部に流出したと発表しました。流出の原因は、配信業務の委託先であるアララ株式会社のメール配信サービス「アララメッセージ」への不正アクセスです。セガによると、流出したメールアドレスのうち92,273件には、メール配信に付随する情報も含まれています。

今回の発表は、10月下旬から続いていたアララを起点とする一連の情報流出のなかで、委託元の企業が自社の被害を具体的な件数とともに公表したものです。セガは対象者への個別連絡を予定し、該当するメールマガジンの配信を見合わせています。11月9日時点で、流出した情報の悪用は確認されていないとしています。

何が流出し、何が流出しなかったのか

セガの発表によると、外部への流出が確認されたのは、メールマガジンの配信に使われていたメールアドレス2,196,044件です。そのうち92,273件には、配信に付随する情報が含まれるとしています。この92,273件は、2,196,044件とは別に加算する件数ではなく、その内数です。付随する情報の詳しい内容については、セガとアララが確認を続けています。

一方で、流出に含まれないと説明された情報もあります。氏名、生年月日、性別、住所、電話番号、クレジットカード情報、ログインパスワードは、今回の流出情報には含まれないとしています。パスワードそのものが流出していないため、メールアドレスの流出だけを理由に、すべての利用者が一律にパスワードを変更しなければならない事案ではないと、セガは説明しています。

注意したいのは、公表されたメールアドレスの件数をそのまま利用者の実人数とみなすことはできない点です。同じメールアドレスで複数のメールマガジンを受け取っている場合もあるためです。また、「SEGA Account」に登録されたメールアドレスは、別の配信システムで管理されており、今回の流出対象には含まれていません。ただし、同じ利用者が対象のメールマガジンにも別途登録している場合まで、影響がないと一律に判断するものではないとしています。

対象となったメールマガジン11件

セガが公表した対象メールマガジンは、2026年7月から10月に配信された11件です。内容は『CHUNITHM Mate』の稼働開始のお知らせ、『オンゲキ Re:Fresh Act.2』の稼働開始のお知らせ、『maimai でらっくす MAGiCAL』の稼働開始のお知らせ、セガラッキーくじの発売情報、東京ゲームショウ2026の出展情報などです。対象はメールマガジンの配信先情報であり、掲載されたゲームやイベントの運営サーバー自体が今回の攻撃で侵害されたことを意味しません。

セガフェイブでは2026年11月1日から、アーケードゲーム向けネットワークサービス「ALL.Net」や認証サービス「Aime」に関係するサーバーの一部への不正アクセスに伴い、関連サービスが緊急停止しています。今回のメールマガジン情報の流出は、アララが提供する外部メール配信基盤への不正アクセスを原因とするもので、ALL.NetやAimeの事案とは別の事件です。セガの発表も、両事案を同一の侵入として扱うことはできないと明記しています。

発表までの経緯：10月29日は「流出未確認」だった

セガが公表した調査と連絡の経緯は、次のとおりです。10月29日、セガはアララにメールマガジン配信の安全性を照会し、「情報流出は確認されていない」との回答を受け取りました。11月1日、アララの不正アクセス公表を受けてセガが改めて確認し、11月3日にはアララからセガの配信先メールアドレスの外部流出が確認されたとの通知を受けました。11月5日から8日にかけて両社で追加確認を行い、アララから正式な報告を受け取ったうえで、11月9日にセガが対象件数と影響範囲を公表しました。

10月29日の時点では「流出未確認」と回答されていたのに、11月3日には流出確認の連絡を受けたのは、アララによる影響範囲の調査が進んだことによるものです。委託先からの初動回答だけで影響なしと結論付けず、その後も確認を続ける必要性を示す事例といえます。

アララは11月6日の第3報で、重複を除いた81,329,467件のメールアドレスについて、外部への持ち出し、または持ち出されたおそれがあると公表しました。対象契約企業は最大で約380社と推計しています。同社のメール配信機能を悪用し、10月28日から30日に最大で約713万通の不審メールが送信されたことも明らかになっています。セガが今回発表した2,196,044件は、この一連の被害における委託元企業側の公表値であり、アララの約8,133万件に単純に加算して全体の流出件数を増やすものではありません。なお、アララが公表した不審メールの送信先には、攻撃者が外部から持ち込んだメールアドレスも含まれます。セガの配信先情報がその不審メール送信に使われたと確認されたわけではありません。

利用者が今すぐ確認したいこと

セガは11月9日時点で流出情報の悪用を確認していませんが、ゲームやイベント、くじの名称を知る第三者から、公式案内を装ったメールが届くおそれがあります。対象となったメールマガジンを受け取ったことがある利用者は、次の点を確認してください。

まず、メール内のリンクからログインしないことです。メールが正規のものか判断しにくい場合は、公式サイトやブックマークからアクセスしてください。次に、パスワードやカード情報を求めるメールに応じないことです。セガは、メールでパスワードやクレジットカード情報を尋ねることはないと説明しています。送信元の表示だけで信用しないことも大切です。セガ、セガフェイブ、アララを名乗る案内でも、リンク先や要求内容を確認してください。

すでに偽サイトでパスワードを入力してしまった場合は、正規サイトからパスワードを変更し、同じパスワードを使い回しているサービスも確認してください。カード情報を入力した場合は、カード発行会社へ連絡してください。流出項目の詳しい内容や対象者への個別通知は、セガの公式発表で順次案内される予定です。セガは個人情報保護委員会に対して、アララとの連名報告を予定しています。

委託先の事故が自社の問題になる時代

今回の事案は、メール配信を外部に委託していた企業が、委託先への不正アクセスによって自社の顧客情報を流出させたものです。セガフェイブのALL.NetやAimeの事案とあわせて、11月に入ってセガの周辺では複数の不正アクセスが続いています。メール配信基盤を利用する企業では、配信先のアドレスに加えて、セグメント情報や配信日時、キャンペーン名、配信リストの属性項目を委託先でどこまで保有しているかを整理しておくことが考えられます。今回のセガの公表でも、92,273件に含まれる「配信に付随する情報」の詳細が調査中であり、メールアドレス以外の保有項目を把握することが通知内容の確定に関係しています。

委託先からの事故連絡を受けた後、対象データと保有期間、取得や持ち出しを確認できた範囲、調査の更新頻度、利用者への通知時期、代替の配信手段を整理しておくことが有効です。セガは、アララのメール配信システムを利用したメールマガジンについて、安全性の確認が取れるまで配信を見合わせます。対象者への通知は、情報の詳細を確認でき次第、個別に実施する方針です。

Frequently Asked Questions

セガのメールマガジンに登録していなければ影響はありませんか

今回の流出対象は、2026年7月から10月に配信された11件のメールマガジンの配信先です。対象メールマガジンに登録した覚えがなければ、今回の流出に含まれる可能性は低いといえます。「SEGA Account」に登録されたメールアドレスは別の配信システムで管理されており、今回の対象外です。ただし、同じ利用者が対象メールマガジンにも登録している場合まで影響がないとはいえません。

パスワードを変更する必要はありますか

セガによると、ログインパスワードそのものの流出は公表されていません。そのため、メールアドレスの流出だけを理由に、すべての利用者が一律にパスワードを変更しなければならない事案ではないとしています。ただし、偽サイトでパスワードを入力してしまった場合は、正規サイトから変更し、同じパスワードを使い回しているサービスも確認してください。

セガを装った不審なメールが届いたらどうすればいいですか

メール内のリンクからログインせず、公式サイトやブックマークからアクセスしてください。パスワードやカード情報を求めるメールには応じず、送信元の表示だけで信用しないことが大切です。流出項目の詳細や対象者への個別通知は、セガの公式発表で順次案内される予定です。