メール配信サービス「める配くん」に不正アクセス、プリマハム・東京書籍ら10社超に影響

「外部のメール配信サービスを使っていれば、自社で情報漏洩が起きることはないよね？」
「委託先のセキュリティって、どこまで確認すればいいの？」

チップス

ボス！メール配信サービスの「める配くん」が不正アクセスされて、プリマハムとか東京書籍とかのお客さん情報が漏れたって聞いたんでしゅ。委託先が攻撃されてもうちの会社の責任になるんでしゅか？

ボス

なる。委託先が保有している情報も、元は自社の顧客情報だ。委託先のセキュリティ事故は自社の事故と同義だぞ。

「外部サービスに丸投げすれば自社は安全」という認識は通用しません。
この記事では、メール配信サービス「める配くん」への不正アクセス事件の概要から、サプライチェーンリスクの本質と企業が取るべき対策まで解説します。

利用したことがあるサービスからの連絡に注意しつつ、委託先管理の見直しを検討する機会でもあります。

メール配信サービス「める配くん」に不正アクセス、10社超の顧客情報が漏洩の可能性

株式会社ディライトフルが運営するメール配信システム「める配くん」は、2026年6月15日のサーバーログ監視中に異常なアクセスを検知しました。
調査の結果、同社は「システムの脆弱性を突いた第三者による不正アクセス」と「情報漏洩と考えられる痕跡」を確認しました。
6月16日には全サーバーアクセスを停止・ネットワークから隔離し、6月17日以降に利用企業へ順次通知。個人情報保護委員会と総務省への報告も完了しています。

影響を受けた組織と漏洩した可能性がある情報

業種・規模を問わず10社以上の組織が影響を受けており、確認されている主な事業者は以下の通りです。

漏洩した可能性がある情報は主にメールアドレスで、組織によっては氏名・会社名・地域情報も含まれます。
クレジットカード・住所・電話番号はシステム上保管されていないため、漏洩の対象外とされています。

チップス

食品メーカーから教育系企業まで、全然違う業種の会社が一斉に被害を受けたんでしゅね！なんでこんなにバラバラな会社が？

ボス

それがサプライチェーン攻撃の典型的な形だ。共通して使っているサービスプロバイダを1か所攻撃すれば、そこに連なる利用企業を芋づる式に巻き込める。効率が良いから攻撃者に好まれるんだ。

委託先が狙われる「サプライチェーンリスク」と企業が取るべき対策

今回の事件が示すのは、自社でいくらセキュリティを強化しても、委託先の脆弱性が突破口になりうるという現実です。
メール配信・決済・ストレージなど、SaaS型サービスに顧客情報を預ける企業は急増しており、委託先管理の重要性が以前にも増して高まっています。

委託先セキュリティ管理で企業が確認すべきポイント

委託先選定・運用において確認すべき主要事項は以下の通りです。

個人情報保護法では、委託先でのデータ漏洩についても委託元の管理責任が問われます。
「委託先の問題だから」と他人事にできないのは法的にも明らかです。

チップス

委託先の管理って、どこまで確認すればいいんでしゅか？全部チェックするのは大変でしゅ……

ボス

まず個人情報を預けている委託先を洗い出して、リスクが高い順に優先度をつけることだ。全部一度にやろうとしなくてよい。重要度の高いものから順に確認する習慣が大切だぞ。

まとめ：委託先も「自社のリスク」として管理する意識が不可欠

「める配くん」への不正アクセスは、ひとつのサービス事業者への攻撃が複数の利用企業に連鎖するサプライチェーンリスクの典型例です。
「委託先が対応するから自社は安全」という認識はなく、委託元企業も委託先のセキュリティ水準を把握・管理する義務があります。
「める配くん」を利用していた組織は、影響を受けた利用者への通知と個人情報保護委員会への報告を遅滞なく行うことが重要です。

チップス

委託先のセキュリティ管理、うちでもちゃんと整備していかないといけないでしゅね！

ボス

そのとおりだ。SaaSサービスの普及で委託先は増える一方だ。管理体制を整えることが企業のリスク管理の基本になっているぞ。