メール配信システム「める配くん」を運営するディライトフルは2026年6月、一部サーバーが第三者による不正アクセスを受けたと発表しました。
同社の公表資料によると、一部の利用者が登録していた個人データが実際に漏えいしていたことを確認。脆弱性への対応や認証・監視体制の強化に加え、対象者への連絡や関係機関への報告を実施しています。
対応以降は同様の不正通信は確認されておらず、本件は一応の区切りを迎えました。
顧客の個人情報を預かるメール配信サービスで情報漏えいが起きた。
この事実だけを見れば、マイナス材料に見えるかもしれません。
一方で、近年は資本力の大手企業を含む多くの企業が不正アクセスの被害を公表しており、不正アクセス被害の発生自体は珍しいものではなくなっているのも事実です。
セキュリティ事故を評価するときは「侵入を許したか」だけでなく、
- どのくらいの期間で異常を検知したのか
- 被害拡大をどのように止めたのか
- 利用者への説明は行われたのか
- 関係機関への報告は行われたのか
- 原因を踏まえて何を改善したのか
まで見た方が実態に近いでしょう。
では、私たちは今回の不正アクセスをどう評価すればよいのでしょうか。
本記事では、何が起きたのか、運営はどう対応したのか、ユーザーの反応などを整理し、今回の不正アクセスをどう評価すべきかを考えます。
める配くんで何が起きたのか
める配くんに起きた不正アクセスをどう評価すべきか。それを考える前に、まず何が起きたのかを確認していきましょう。
不正アクセスの発生と期間
める配くんを運営する株式会社ディライトフルは6月19日に公表した資料で「6月15日にサーバーログを監視していたところ、一部サーバーへの異常アクセスを検知した」と説明しています。
一方で、「いつから不正アクセスを受けていたのか」については公表されていません。
ただ、同社から報告を受けたとするユーザーが公表した文書には、「第三者による不正アクセスは2026年6月11日に発生した」とする記述もあります。
これが事実だとすれば、最初の不正アクセスから異常を検知するまでの期間は数日程度だったと考えられます。
また、同社が8月14日に公表した資料では「2026年6月17日までに外部との通信を即座に遮断する応急措置を完了しており、以降、同様の不正通信は確認されておりません」と報告されています。
これらを総合すると、不正アクセスの発生から検知、対処までは数日、少なくとも１週間以内の出来事だったといえそうです。
影響の範囲
不正アクセスにより、どの程度の被害があったのでしょうか。
同社は8月14日に公表した資料で「当社サーバーに保管しておりましたお客様の配信先情報（メールアドレス等）の一部が、外部に漏えい（取得）されていた事実が確認されました。なお、すべてのお客様の情報が漏えいしたわけではなく、調査により影響が確認されたのはご利用いただいているお客様の一部となります」と報告しています。
実際の件数は明らかにされていませんが、保有するすべてではなく一部であることは説明されています。
また、流出した情報はユーザーによっても異なるようです。
ユーザーが公表した内容を追っていくと、「メールアドレスのみ」が流出したという情報もあれば、「事業所名、メールアドレス、登録者氏名、電話番号」などが流出したという報告もありました。
「める配くん」はどのような情報を登録するかを選べる仕様であるため、ユーザーが何を登録していたかによって影響範囲が異なっていた可能性がありそうです。
不正アクセス発生後の対応
不正アクセス発生後、同社はまず対象サーバーを停止し、外部通信を遮断しました。
その後、どのような対応を行ったのでしょうか。
8月14日までに公表した資料によると、同社は外部専門機関による調査を進めながら、利用企業への連絡やセキュリティ対策などを実施しています。
技術的な対策としては下記などを実施したと報告しています。
- システムの脆弱性への対策
- API認証のロック機能の追加
- 不正ログイン防御ツールの導入
- 侵入検知システム（IDS/IPS）の導入
- Webアプリケーションファイアウォール（WAF）の導入
漏えいが確認されたユーザーには個別に連絡し、ユーザーの配信先（読者）への連絡・案内についても、ユーザーと連携して対応を進めています。
個人情報保護委員会および総務省に対し、法令・ガイドラインに基づき所定の報告を行っことも公表しています。
不正アクセスの検知後は、対象サーバーの遮断、原因調査、利用者への連絡、技術的な再発防止策、関係機関への報告まで、一連の対応を進めたといえそうです。
「乗り換え」か「継続」か｜ユーザーによって分かれた反応
今回の不正アクセスを受け、実際の利用者はどのように判断したのでしょうか。
公開されている情報を追いかけていくと、対応は一様ではなさそうです。
ある団体は、氏名とメールアドレスが漏えい対象に含まれていたことを確認したうえで、今回の事態を重く受け止め、すでにメール配信の委託業者を変更したと公表しています。
一方で、利用継続を選んだ団体もあります。
情報漏えいを重大な問題としながらも、他社サービスへ変更したとして不正アクセスのリスクを下げられる保証はないこと、事件後にセキュリティ対策が強化されたことなどを考慮し、当面は従来どおり利用を続けると理由を説明しています。
同じ事故を受けても、「乗り換える」という判断と「対策後も使い続ける」という判断に分かれました。
これは、今回の不正アクセスをどう評価するかが、単純に「事故があったから使わない」で決まるものではないことを示しています。
では、今回の事故とその後の対応を、私たちはどう見ればよいのでしょうか。
不正アクセスと対応をどう見るべきか
「める配くん」は第三者による不正アクセスを受け、実際に一部の配信先情報が漏えいしました。
情報を預かるサービスとして、これはマイナス材料に見えます。
一方で、企業への不正アクセス自体は珍しいものではなくなっています。
警察庁が公表した「令和7年におけるサイバー空間をめぐる脅威の情勢等について」では、警察庁やNICTが観測する不審なアクセスは増加傾向にあるとされています。前年の警察白書でも、2024年のサイバー犯罪検挙件数は1万3,164件と過去最多を記録しています。
資本力のある大手企業でも不正アクセス被害を受けており、もはや「あらゆる不正アクセスを完全に防ぐことは難しい状況になっている」と考えた方が実態に近いでしょう。
こうした不正アクセスの影響や対応を評価するには「攻撃を受けたか」だけでなく、どの程度の期間で検知し、被害をどこまで抑え、その後どう対応したかも見ておく必要があります。
検知と遮断は比較的早かった
利用者側の公表では不正アクセスは6月11日に始まったとされ、ディライトフルが異常アクセスを検知したのは6月15日です。
さらに6月17日までには外部通信を遮断し、それ以降、同様の不正通信は確認されていません。
実際に情報漏えいが起きている以上、被害を防げたとはいえません。
ただ、長期間侵入に気付かなかったわけではなく、既存のログ監視で異常を検知し、数日で遮断につなげた点は評価できそうです。
結果として影響は一部にとどまった
今回、情報漏えいが確認されたのはすべての利用者ではなく、一部でした。
また、ディライトフルは8月14日時点で、本件に起因する二次被害は確認されていないとしています。
「検知が早かったから被害を限定できた」とまでは断定できませんが、被害が際限なく拡大する事態には至らなかったことは確認できます。
利用者の先にいる読者への対応も支援
もう一つ評価できるのが、漏えい対象となった利用者への連絡だけで終えていない点です。
ディライトフルは、利用企業が抱える配信先、つまりメールを受け取る読者への連絡や案内についても、利用者と連携して対応を進める姿勢を示しています。
情報漏えいが起きれば、利用企業側も顧客への説明を迫られます。
その際、サービス提供会社が契約者だけでなく、その先の読者への対応まで支援していることは好印象です。
今回の不正アクセス自体はマイナスです。
ただし、
- 比較的短期間で異常を検知した
- 数日で外部通信を遮断した
- 影響は一部利用者にとどまった
- 現時点で二次被害は確認されていない
- 利用企業の先にいる読者への対応も支援している
という点は、事故後の対応を見るうえで評価材料になりそうです。
ツール選びで「不正アクセス事例」をどう考えるか
では、ツール選定を行う企業は今回のような情報漏えいをどう評価すべきなのでしょうか。
少なくとも、不正アクセスの発生を許したことは事実です。
一方で、公表されている範囲では、その後の対応について大きな問題は見当たらず、二次被害も確認されていません。
今回の攻撃を受けて複数のセキュリティ対策が追加・強化されており、少なくとも公表されている防御・検知体制は事故以前より強化されています。
「不正アクセスが発生したこと」と「その後の対応や今後の安全性」、どちらを重視するかは企業によっても見解が分かれるでしょう。
実際、被害を受けたユーザーの対応も「ツール変更」「利用継続」で分かれています。
どこまでのリスクを許容するかは企業によって異なるため、導入・継続の判断も分かれて当然です。
しかし、不正アクセスが発生していないツールが今後も安全だという保証はありません。
少なくとも「不正アクセスを受けた」という事実だけではなく、被害の範囲や発覚後の対応、その後どのような対策が取られたのかまで含めて判断することが必要でしょう。
まとめ｜事故歴より「事故後にどう変わったか」まで見たい
2026年6月、「める配くん」は第三者による不正アクセスを受け、一部利用者の配信先情報が外部へ漏えいしました。
個人情報を預かるメール配信サービスとして、不正アクセスを受け、実際に情報漏えいが発生したこと自体はマイナス材料です。
一方で、今回の事案では、異常アクセスを比較的短期間で検知し、外部通信を遮断。その後も外部専門機関による調査や対象者への連絡、関係機関への報告、複数のセキュリティ対策が進められました。
8月14日時点では、本件に起因する二次被害も確認されていません。
また、実際に被害を受けた利用者の判断も分かれています。
別のメール配信サービスへ変更した団体がある一方で、事故後のセキュリティ強化などを踏まえ、利用継続を選んだ団体もありました。
不正アクセスが一度も公表されていないサービスだからといって、今後も被害を受けない保証はありません。
反対に、一度事故を起こしたサービスだからといって、それだけで今後も危険だと決めつけることもできません。
今回の「める配くん」のような事例では、事故が起きたという事実だけでなく、どの程度の被害があり、どのように検知・対処し、その経験を踏まえて何を改善したのかまで確認することが、サービスを判断するうえで重要になりそうです。
