三井不動産「&BIZ」のメールアドレス13万3,323件が漏えい

何が起きたのか

三井不動産は2026年11月5日、オフィスのテナント企業で働く人向けに運営する「&BIZ」の登録情報が外部に漏えいしたと公表しました。

「&BIZ」のメールマガジン配信を任せている委託先は、アララ株式会社のメール配信システムを使っています。このシステムで第三者の不正アクセスが発生し、発生の時期は10月27日から31日と説明されています。

三井不動産が知った経過は次のとおりです。

• 11月2日：委託先から、不正アクセスと「&BIZ」の情報が漏れた可能性について第一報がありました
• 11月4日：委託先から、メールアドレス約13万件の漏えいが分かったと追加の報告がありました
• 11月5日：公表しました

つまり三井不動産にとっては、委託先のさらに先のサービスで起きた事故です。

漏れた情報

対象はメールマガジンの送信先として登録されたメールアドレスで、13万3,323件です。

「&BIZ」に登録されている氏名などの個人情報は、このメール配信システムでは扱っておらず、漏えいは確認されていないとしています。配信システムに渡していた項目がアドレスだけだったため、漏れた項目も限られました。

会社の対応

三井不動産は「&BIZ」のメールマガジン配信を休止し、安全が確認されるまで見合わせています。対象の会員には個別に案内する予定です。

具体的な二次被害は現時点で確認されていません。同社やグループ各社、アララを装った不審なメールを受け取っても、本文のURLを開かず、添付ファイルを開かず、個人情報を入力しないよう呼びかけています。問い合わせは「&BIZ」事務局のメール窓口で受けています。

アララ側の公表

アララは第3報（11月6日）で、メールアドレスの持ち出しを区分の重複を除いて8,132万9,467件と公表しました。これはアドレスの数で、人数ではありません。契約企業は最大約380社と推計されています。三井不動産の13万3,323件が、この区分のどこに入るかは、三井不動産の発表には書かれていません。

アララのメール配信サービスは10月31日から止まっています。再開は、侵入経路の特定、認証情報の全面的な変更、安全性の確認をしてから判断するとしており、時期は未定です。詳しくはメール配信「アララメッセージ」に不正アクセス、約8,100万件が流出に書いています。

中小企業が学べること

配信サービスに渡す項目を絞ると、事故のときの影響が小さくなります。この件では、氏名を渡していなかったために、漏れたものがメールアドレスに限られました。自社でも、配信に使う名簿に氏名や会社名の列が入っていないかを確かめ、要らない列は渡さない形に直しておくと備えになります。

委託先がどの外部サービスを使っているかは、契約書に書かれていないことがあります。配信やクラウドなど、再委託先の名前と、そこに渡している項目を一度聞いておくと、事故の連絡を受けたときに自社の対象かどうかをすぐ判断できます。