要点
- セガは、メルマガ配信の委託先アララ社が不正アクセスを受け、メールアドレス2,196,044件が流出したと発表した。
- 氏名・住所・クレジットカード情報・パスワードは流出していないとされるが、セガを装った偽メールの宛先リストになりうる。
- セガは、現時点で悪用の事実は確認していないとしている。
何が起きたか
セガは2026年11月9日、メルマガの配信を任せていたアララ株式会社のシステムが第三者から不正アクセスを受け、配信に使ったメールアドレスなどが流出したと発表した。対象は、セガと、グループ会社のセガ フェイブの製品・サービスに関するメルマガ11件だ。
流出したのはメールアドレス2,196,044件。うち92,273件は、配信に付随する情報を含む。この付随情報の中身は、セガがアララ社と調べている最中だ。
セガの発表によると、氏名・生年月日・性別・住所・電話番号、クレジットカード情報、ログインパスワードは流出していない。「SEGA Account」に登録したメールアドレスは別の配信システムなので、対象外とされる。
経緯も、セガの発表によると次のとおりだ。10月29日、アララ社から「情報流出は確認されていない」との報告があった。11月1日にアララ社が不正アクセスを公表した。11月3日に、セガの配信用アドレスの流出が確認されたと通知を受けた。11月5〜8日の追加確認を経て、正式な報告を受けた。
アララ社の事案全体は、これよりずっと大きい。BleepingComputer は、同社が約380社の顧客で最大約7,700万件のアドレスに関わると公表したと報じている。
日本の利用者への影響
影響を受けるのは日本のセガ、セガ フェイブのメルマガ購読者だ。対象のメルマガは、次の内容である。
- セガ ラッキーくじ、ラッキーくじオンラインの発売情報
- CHUNITHM、オンゲキ、maimai でらっくす の稼働開始のお知らせ
- 東京ゲームショウ2026 の出展情報
配信日は2026年7月2日から10月28日まで。
アドレスだけの流出でも、リスクはある。「セガからのお知らせ」を装ったメールを、本物らしく送れてしまうからだ。セガも、自社やセガ フェイブを装うメールと、アララ社を名乗る不審なメールに注意するよう呼びかけている。
なお、別件でセガ フェイブのアーケード向けネットワークサービスにも不正アクセスがあり、「セガ ラッキーくじオンライン」はメンテナンス中でログインと購入ができない。セガは、この件は今回の流出とは別だとしている。
今すぐやること
- 上記11件のメルマガのどれかを、2026年7〜10月に受け取っていたか確認する。受信箱で「セガ」「ラッキーくじ」などを検索するとよい。
- 該当するなら、セガ・セガ フェイブ・アララ社を名乗るメールのリンクや添付ファイルは開かない。返信もしない。
- セガは、メールでパスワードやクレジットカード情報を尋ねることはないとしている。そうした内容のメールは削除する。
- セガのサービスに用がある場合は、メールのリンクではなく、公式サイトやアプリから開く。
- 不安なら、セガ カスタマーサポートに問い合わせる（電話 0570-000-353、10:00〜17:00）。セガは、対象の利用者へ詳細が分かり次第、個別に連絡するとしている。個別連絡を装う偽メールにも気をつける。
背景
アララ メッセージは、企業が顧客へ一斉にメールを送るためのサービスだ。今回は、セガのメルマガの配信先アドレスがアララ社に渡っており、同社が破られたことで流出した。
アララ社は、原因の調査を続けている。BleepingComputer によると、同社はウェブサーバーの脆弱性などを挙げているが、侵入の方法と時期は未確定だ。同報道では、MOS Burger、松竹マルチプレックスシアターズ、TKC、IIJmio なども被害を公表した企業として挙がっている。
一社の公表では「自分は対象か」が分かりにくいのが、この種の事案の難しさだ。同じアララ メッセージを使う企業の続報が、今後も出る可能性がある。
技術者向けの詳細
- セガの発表: 流出アドレス 2,196,044件、付随情報付き 92,273件。対象メルマガ11件（2026-07-02〜10-28 配信）。
- 付随情報の中身は調査中。個人情報保護委員会へは、アララ社と連名で報告予定とされる。
- セガは、アララ社の配信システムを使ったメルマガの配信を、安全確認ができるまで見合わせる。
- 自社の委託先に同サービスがないか確認する。あれば、アララ社の告知を確認し、送信元ドメインの SPF・DKIM・DMARC（なりすまし対策）の設定を見直す。
- 偽メール対策として、受信側で自社ドメインを装うメールの扱いを確認する。
- アララ社の事案全体: 約380社の顧客、約7,700万件のメールアドレスが関わる（BleepingComputer の報道）。調査中とされているのは、侵入の方法と時期。
- 続報は、セガの発表とアララ社の告知ページで確かめる。
