調査完了最終更新 2026-08-20

株式会社ディライトフル

情報通信（メール配信SaaS）／未公表／東京

不正アクセス情報漏洩サービス停止サプライチェーン波及

ディライトフルが運営するメール配信システム「める配くん」の一部サーバーが第三者による不正アクセスを受けた。同社は2026年6月15日にサーバーログ監視中に異常なアクセスを検知し、不正アクセスと情報漏洩と考えられる痕跡を確認してサーバーを停止、6月19日に公表した。8月14日の調査結果報告で、外部専門機関の調査により顧客の配信先情報（メールアドレス等）の一部が外部に漏えい（取得）されていた事実を確認したとした。漏えい総数は同社の公開資料では示されていないが、利用組織の日本応用地質学会は同社の確報として全体で1,679,242名の個人データが漏洩したと公表している。利用企業・団体の多数が自社の登録者情報への影響を公表した。

用語をタップで解説 ›

きっかけ・侵入経路

公式発表侵入経路

「める配くん」の一部サーバーへの第三者による不正アクセス。同社は7月30日の報告で、侵入に利用されたソフトウェアの弱点（脆弱性）を解消したとしている。利用企業インクルードが公表した調査結果（ディライトフルからの報告）では、攻撃者はシステムの脆弱性を悪用して管理者権限を取得し、取得した認証情報で複数サーバーへ侵入範囲を拡大、データベースから登録情報を抽出したとされ、不正アクセスは6月11日から17日までの間に行われた。

攻撃者不明（攻撃者は公表されていない）

被害・漏洩

公式発表

漏洩件数

推定・上限（漏洩の可能性）

当初（6月19日）は漏えいが疑われる情報の詳細を調査中とした。利用組織の天涯文化財団が伝えた7月時点の中間報告では、システム全体で約240万件が「流出した可能性のあるデータ」の対象件数とされた（報道による整理。本記録では一次資料未確認）。

実際の漏洩はこれより少ない場合があります

確認済み（確定値）

顧客（契約者）の配信先情報（メールアドレス等）の一部が外部に漏えい（取得）された事実を確認（8月14日、同社公表。件数は同社の公開資料では非公表）。日本応用地質学会は、8月14日に受領した同社の確報として全体で1,679,242名の個人データが漏洩したと公表。

漏洩した情報の種類

メールアドレス氏名会社名

含まれない情報：利用企業のユニリタは、クレジットカード情報および暗号化されていないパスワードは同サービスに保管しておらず漏えいはないとの報告を受けたとしている。インクルードもクレジットカード情報とパスワードは対象外と公表。

組織が把握できていないこと

脆弱性の具体的なソフトウェア名・CVE、漏えいが確認された契約者数は公表されていない。2026年10月8日時点で8月14日以降の同社続報は確認できない。

対応と結末

公式発表経営層への説明に効く

身代金の要求

不明

身代金の支払い

不明

身代金要求がなかったため

復旧手段

検知後直ちに調査し、サーバー停止、不正アクセスの疑いがあるサーバーのネットワーク隔離を実施。調査が必要なサーバーのアカウントは個別連絡のうえサービス停止。6月17日までに不正アクセスを受けたサーバーの外部通信を遮断し、以降同様の不正通信は確認されていない。侵害サーバーは閉鎖し、対象顧客のデータを新サーバーへ移行（7月30日時点で順次移行中）。8月14日時点で全顧客について安全性確認とセキュリティ対策を完了し通常通りサービスを提供。個人情報保護委員会および総務省に報告。

再発防止策

攻撃者が仕込んだプログラム・不正アカウント・通信経路の削除・遮断、脆弱性の解消、API認証のロック機能追加、全サーバーの管理者用リモート接続パスワード変更、SMS送信管理画面のIP制限、監視スクリプト・異常検知通知、不正ログイン防御ツール、WAF、IDS/IPS、統合監視ツールの導入（7月30日報告）。認証プロセス・アクセス権限管理・ログ検知の強化（8月14日報告）。