大阪ガスの「FitDish」で利用者のメールアドレス34,489件が流出。委託先のメール配信サービスに不正アクセス

01発表されている事実

1. 10月28日

   アララ社が、提供する一部のシステムで不正アクセスが起きたことを確認し、サーバーをネットワークから切り離す（アララ社の発表）

2. 10月29日

   アララ社が、メール配信サービスのうち1つのシステムから、利用企業が持つメールアドレス約301万件が持ち出されたと公表

3. 11月2日

   大阪ガスがアララ社から、FitDishのお客さまのメールアドレスが流出したとの報告を受け、同じ日に公表

流出したのは、2026年10月8日から10月29日までにメールを配信したメールアドレスです。大阪ガスによると、氏名・住所・電話番号・クレジットカード情報・購買データなど、メールアドレス以外の情報は含まれていません。アララ社は、原因について、システムの一部の環境でWebサーバーの脆弱性（ぜいじゃくせい、システムの弱点）を第三者に悪用されたものと説明しています。

02読者への影響

メールアドレスだけでは、アカウントに勝手にログインされることはありません。ただ、流出したアドレスは「FitDishを使っている人」のものだと分かっています。そのため、FitDishや大阪ガスを名乗り、「お届けの確認」「お支払い方法の更新」などと見せかけた偽のメール（フィッシング）が届くおそれがあります。大阪ガスも、流出したアドレスを悪用した不審なメールやSMSが送られる可能性があるとして、心当たりのないメールのリンクや添付ファイルを開かないよう呼びかけています。対象の人には、大阪ガスから個別にメールで連絡するとしています。

03今すぐやること

1. FitDishや大阪ガスを名乗るメールのリンクから、ログインや支払い情報の入力をしない。公式サイトやブックマークから開く
2. 大阪ガスを装った不審な連絡には対応せず、FitDishお客さま窓口（0120-609-048、9時〜18時）に問い合わせる
3. 迷惑メールが増えたら、受信設定の迷惑メールフィルターを強める

04メール配信を外に任せている会社へ

今回のように、自社のシステムが無事でも、配信を任せた会社から顧客のアドレスが漏れることがあります。委託先を選ぶときにセキュリティの取り組みを確かめ、契約で事故のときの報告の仕方を決めておきましょう。配信サービスに置くのは配信に必要な情報だけにし、古いアドレスや退会者を残さないことも被害を小さくします。また、送信ドメイン認証（DMARCなど）を設定すると、自社の名前をかたる偽メールがお客さまに届きにくくなります。