姫路市の手続サイトで漏えいか、播磨の宿と店が点検するメール配信の委託先【2026年11月】

「予約の確定メール、どこの会社が送っているか分かりますか」

そう聞かれて、予約システムの会社名までは答えられても、そのシステムがメール送信をどこに任せているかまで答えられる宿や店はほとんどありません。姫路市の今回の事案は、まさにその「委託先の、さらに先」で起きました。市が契約していたのはTKCで、市民や事業者に申請完了の通知を送っていたのはTKCが使っていた別の会社の配信サービスでした。市の発表によると、市の基幹システムや市が直接管理するデータセンターへの不正アクセスは現時点で確認されていません。それでも、市民と事業者に対して説明と注意喚起を出すのは姫路市です。

困るのは、同じ構造が播磨の小さな宿や店の足元にもあることです。予約システムの確定メール、メルマガ配信サービス、公式LINEの連携ツール、ネット注文の通知。どれも「自社→サービス会社→そのサービス会社が使う配信会社」という2段階以上の預け方になっていて、2段階目の会社名を知らないまま、お客様の氏名とメールアドレスを預けています。今回の配信サービスの利用企業は最大約380社と推計され、同じ兵庫県内では神戸新聞NEXTも、近畿では近鉄・都ホテルズも影響を公表しました。

原因は、小規模事業者にとって「委託先の管理」が大企業の仕事に見えることにあります。契約書にそんな条項はなく、サービスの管理画面に再委託先の一覧があるわけでもありません。けれど、個人情報保護法のうえでは、委託先で起きた漏えいでも、個人データの取り扱いを委託した事業者に報告の義務が残ります。知らなかったでは済まない位置に、すでに立っています。

この記事では、観光地の宿や店舗のSNS運用・集客支援に取り組む立場から、2026年11月4日時点で一次情報から確認できた事実、播磨・但馬・淡路の事業者への影響、今週のうちに書き出す5つの手順と8本のコピペ用プロンプト、委託先の事故に1日で動ける事業者かどうかのチェックリストを公開します。自社が使っている予約システム・メルマガ・LINE・決済の会社名を思い出しながら読み進めてください。

11月2日に姫路市が公表した事実の範囲｜再委託先のメール配信サービスで起きたこと

最初に、2026年11月4日時点で確認できる事実を1枚にまとめます。出典は姫路市の11月2日の公式発表、TKCの11月2日の第2報、神戸新聞NEXTの11月2日の報道です。

市の発表には経過も書かれています。10月28日（水）にTKCから不正アクセス発生の報告があり、10月30日（金）にはTKCから「情報漏えいなし」と報告されました。ところが10月31日（土）17時37分に外部サービスの緊急停止が報告され、11月2日（月）18時30分にアララ社が漏えいを公表してTKCから状況報告が入り、同日21時に市がホームページと公式LINEで注意喚起を出しています。つまり「漏えいなし」と一度報告された2日後に判断が覆った事案で、委託先からの第一報だけで「うちは大丈夫」と決めてはいけないことを、市の経過そのものが示しています。

元になった配信サービス側の規模も押さえておきます。アララの親会社ペイクラウドホールディングスとアララが11月2日に出した第2報（PDF）の内容をINTERNET Watchが同日に報じた記事によると、契約企業向けのサーバー97台に侵入され、最大約380社に関係するメールアドレス約7,700万件が持ち出された、または持ち出されたおそれがあります。10月28日から30日にかけては、クレジットカード会社を装う不審メールが最大約713万通、サービスの環境を悪用して送信されました。件名は「利用内容確認のご依頼」「ご利用明細確認のご依頼」などです。サービスは10月31日19時53分に全面停止し、アララ メッセージの公式サイトでは11月4日時点でも停止中で、再開の見通しは確定していません。

現時点で公表されているのはここまでです。姫路市に関する件数、漏えいが確定したかどうか、メール通知の再開時期、TKC側の再発防止策は、2026年11月4日時点では公表されていません。本記事はこれらを推測しません。

播磨・但馬・淡路の事業者にどう効くか｜申請者としての影響と、委託元としての影響

事業者への影響は2つの立場に分かれます。1つは姫路市のポータルに登録している「申請者」としての立場、もう1つは自社のお客様の情報を外部サービスに預けている「委託元」としての立場です。前者は姫路市内で手続きをした事業者に限られますが、後者は播磨・但馬・淡路のどの市町にいても、予約システムやメルマガを使っているすべての宿と店に当てはまります。

申請者として: 姫路市のポータルで手続きした事業者は、通知メールの不着と不審メールの2つに備える

姫路市オンライン手続ポータルサイトには事業者向け手続きの区分があり、利用者IDはメールアドレスです。市の案内ページによると、利用の流れは利用者情報の登録、手続きの選択と入力、電子署名、クレジットカード決済です。姫路市への申請や届出をこのポータルで済ませた事業者は、登録したメールアドレスと氏名が対象の可能性に含まれます。今の時点で事業者がやることは2つで、申請の進み具合はメールを待たずポータルのマイページか担当課で確認すること、そして「news@arara.com」等から届くカード会社や行政を装うメールのURLを開かず、パスワードやカード情報を入力しないことです。 漏えいした可能性があるのはメールアドレスと氏名であり、カード情報は含まれていないと市は明記しています。従業員が会社のアドレスで申請していた場合は、その従業員にも同じ注意を伝えてください。

宿泊: 予約確定メールとメルマガの「送り主」が誰かを確かめる対象になる

姫路城周辺や赤穂、城崎、淡路の宿で多いのは、予約システムの確定メール、メルマガ配信サービス、公式LINEの配信という3つの経路でお客様に連絡を送っている形です。このうちメールの2つは、宿が契約した会社がさらに配信専門の会社を使っていることがあります。読売テレビの11月3日の報道によると、近鉄・都ホテルズは会員向けメールマガジン「都プラス」に登録された12万9,153件のメールアドレスが漏えいしたと公表し、同じ配信サービスが使われていたと説明しています。宿が今週確かめるのは「予約確定メールとメルマガを実際に送信している会社の名前」で、契約先の管理画面やヘルプページに書かれていないなら、契約先に問い合わせて答えをもらうまでが仕事です。 メルマガ配信ツールの選び方と同意の取り方は、小規模ホテルのメルマガでリピーターを増やす方法｜7ステップと文例8本【2026年9月】で整理しています。

飲食・小売: ネット注文・会員カード・ポイントの通知メールが同じ構造を持つ

加古川や明石の飲食店や小売店では、ネット注文の受付メール、会員登録の確認メール、ポイントやクーポンの配信を、注文システムや会員アプリの会社に任せています。アララの第2報で持ち出された項目には、契約企業ごとに異なるものの、メールアドレスに加えて氏名・性別・生年月日・電話番号・会員番号・住所が含まれる場合があると説明されています。店が預けている項目が「メールアドレスだけ」なのか「生年月日や電話番号まで」なのかで、事故が起きたときにお客様へ伝える内容と緊急度が変わるため、サービスごとに預けている項目を書き出すことが最初の一手です。 同じ兵庫県内では、神戸新聞NEXTが11月2日のお知らせで、メールマガジン配信に使っていた同サービスから約4万件のメールアドレスが流出し、全メールサービスを停止したと公表しています。

農水産・建設・製造・士業: 取引先向けの一斉連絡と防災情報の受け取り方を見直す

播磨の農水産や建設・製造の事業者は、取引先への一斉連絡や出荷案内に配信サービスを使っていることがあり、士業事務所は顧客への案内メールを事務所のシステム経由で送っています。加えて今回は、姫路市の10月29日の案内によると、「ひょうご防災ネット」のメール配信と、それと連携する市公式LINEからの配信も、同じ事業者への不正アクセスを受けて停止しています。防災行政無線、ひめじ防災Web、防災アプリは通常どおりです。現場で防災メールを頼りにしていた事業所は、復旧まで防災アプリかWebに受け取り方を切り替えることが、今回の事案で農水産・建設の現場に直接効く変化です。 取引先から「委託先の管理をどうしているか」を聞かれる立場にいる事業者は、次の章の一覧表がそのまま回答の材料になります。

まず、自社がお客様の情報を預けている外部サービスを、AIに表の形で整理してもらいます。

あなたは小規模事業者の個人情報の預け先を整理するアドバイザーです。以下の【材料】をもとに、「お客様の情報を預けている外部サービスの一覧表」を作ってください。

【材料】
・業種と所在地: （例: 姫路市の旅館・客室12室）
・お客様に連絡を送る仕組み: （例: 予約システムの確定メール、メルマガ配信サービス、公式LINE、ネット注文の受付メール）
・各サービスに登録しているお客様の項目: （例: 氏名・メールアドレス・電話番号／メールアドレスのみ）
・契約している会社名: （分かる範囲で）
・その会社が送信を別の会社に任せているか: （例: 不明）

出力: ①一覧表（サービス／預けている項目／契約先／再委託先／連絡窓口）②「再委託先が不明」の行の洗い出し ③今週問い合わせる順番。【材料】にないサービスは書かず、事実に基づかない推測は「仮説」と明記してください。

※そのままコピーして使えます

今週のうちに書き出す3枚｜預け先の一覧・連絡手順・お客様への案内文

ここからが本体です。用意するのは「預け先の一覧」「事故が起きたときの連絡手順」「お客様への案内文のひな形」の3枚で、この3枚があれば、委託先から第一報が入った日のうちに自社の判断で動けます。 5つの手順のプロンプトは、ChatGPTなどの対話型AIに貼り付け、（　）の中を自社の事実に書き換えて使ってください。

手順1: お客様の情報を預けている外部サービスを、再委託先の欄つきで一覧にする

前の章のプロンプトで作った表を印刷し、「再委託先」の欄が空いている行に印をつけてください。予約システム、メルマガ、公式LINEの連携ツール、ネット注文、決済、顧客管理のソフトが対象です。OTA（じゃらんや楽天トラベル、Booking.comなどの予約サイト）も、お客様の情報を預けている先として一覧に入れます。一覧のうち「預けている項目」に生年月日・電話番号・住所が含まれる行は、メールアドレスだけの行より事故時の説明が重くなるため、問い合わせの順番を先にします。 宿泊者名簿を電子化している宿は、名簿の保存先も同じ一覧に載せてください。保存先の考え方は、宿泊者名簿の電子化7ステップ｜無料テンプレと保健所への確認文例【2026年9月】で扱っています。

あなたは小規模事業者の情報管理を整理するアドバイザーです。以下の【材料】の一覧表をもとに、各サービスの「事故が起きたときの重さ」を3段階に分け、問い合わせる順番を決めてください。

【材料】
・サービスごとの預けている項目: （例: 予約システム=氏名・メール・電話／メルマガ=メールのみ／会員アプリ=氏名・生年月日・メール）
・サービスごとの登録人数の目安: （例: 予約システム約800人、メルマガ約300人）
・再委託先が分かっているか: （例: すべて不明）

出力: ①重さの3段階（項目の多さと人数で判断）②問い合わせる順番と理由 ③各社に聞く質問文（再委託先の社名／事故時の連絡方法／連絡までの目安時間）。【材料】にないサービスや人数は書かず、事実に基づかない推測は「仮説」と明記してください。

※そのままコピーして使えます

注意点は、一覧を作ったら終わりにしないことです。サービスを1つ増やすたびに1行足す、という運用を決めておかないと、半年後にはまた再委託先の分からない行ができます。

手順2: 契約先に「再委託先」と「事故が起きたときの連絡経路」を聞く

一覧の空欄を埋めるために、契約先に問い合わせます。聞くことは3つです。メール送信を別の会社に任せているか、任せているならその社名、事故が起きたときにどの手段で何時間以内に連絡が来るか。姫路市の経過では、TKCから市への報告は不正アクセス発生の報告、「漏えいなし」の報告、緊急停止の報告、状況報告と4回に分かれ、最初の報告から市の注意喚起まで5日かかっています。契約先が「メールで連絡します」と答えた場合は、その連絡自体が配信サービスの停止で届かない可能性があるため、電話か管理画面の告知など、メール以外の経路をもう1つ確認してください。

あなたは小規模事業者の代理で、契約しているサービス会社に問い合わせる文章を書くアシスタントです。以下の【材料】をもとに、問い合わせメールを300字以内で作ってください。

【材料】
・自社の概要: （例: 赤穂市の民宿・客室6室）
・契約しているサービス名: （例: 予約システム〇〇）
・聞きたいこと: メール送信を別の会社に委託しているか／委託先の社名／不正アクセスなどの事故が起きた場合の連絡手段と連絡までの目安時間／メール以外の連絡経路の有無
・背景: 2026年11月2日に姫路市が公表した、委託先の配信サービスの不正アクセス事案を受けて確認したい

条件: 丁寧な敬体。相手を責める表現は使わない。【材料】にない質問は加えず、事実に基づかない推測は「仮説」と明記してください。

※そのままコピーして使えます

注意点は、回答を一覧表の該当欄にそのまま書き写すことです。メールの中に埋もれた回答は、事故が起きた日には探し出せません。

手順3: お客様への案内文のひな形を、姫路市の発表の構造で作っておく

事故が起きた日に一から文章を書くのは無理です。姫路市の発表は、何が起きたか、漏えいの可能性がある項目、含まれない項目、注意してほしいこと、問い合わせ先、という順になっていて、小さな宿や店の案内文もこの順で作れます。ひな形に必ず入れるのは「含まれない項目」と「自社がメールでカード情報やパスワードを求めることはない」の2点で、この2点がない案内文は、お客様の不安を増やすだけで終わります。

あなたは小規模事業者のお客様向け案内文を書くライターです。以下の【材料】をもとに、委託先で情報漏えいの可能性が生じたときにホームページと店頭に出す案内文のひな形を400字以内で作ってください。

【材料】
・自社名と業種: （例: たつの市のカフェ）
・事故の概要の書き方: 「当店が〇〇の配信に利用している外部サービス（社名）が不正アクセスを受け」の形で、社名と日付は空欄にする
・漏えいの可能性がある項目: （例: メールアドレス、氏名）
・含まれない項目: （例: クレジットカード情報、パスワード）
・お客様への注意: 当店を装うメールのURLを開かない／当店がメールでカード情報やパスワードを求めることはない
・問い合わせ先: （例: 店の電話番号と受付時間）

条件: 言い訳をしない。確認できていないことは「調査中」と書く。【材料】にない項目は書かず、事実に基づかない推測は「仮説」と明記してください。

※そのままコピーして使えます

注意点は、ひな形を「公表前の下書き」として保管し、実際に出すときは契約先の公表内容と突き合わせることです。委託先が公表していない社名を自社が先に出すと、事実関係のずれが生じることがあります。

手順4: 個人情報保護委員会への報告義務の要件を、自社の人数で確かめる

個人情報保護法では、一定の漏えい等が起きたとき、個人情報保護委員会への報告と本人への通知が義務になります。個人情報保護委員会の案内によると、報告が義務になるのは、要配慮個人情報が含まれる場合、財産的被害が生じるおそれがある場合、不正の目的をもって行われたおそれがある場合、1,000人を超える場合の4つで、速報は発覚から3〜5日以内、確報は30日以内（不正の目的によるおそれがある場合は60日以内）です。今回の事案のような不正アクセスは「不正の目的」にあたり、人数にかかわらず対象になります。委託先で起きた漏えいでも、個人データの取り扱いを委託した事業者は報告義務の対象で、委託先が委託元に通知した場合に免除されるのは委託先側の報告（同法第26条第1項ただし書）であり、客室6室の宿であっても委託元として報告する立場に立ちます。

あなたは個人情報の漏えい等報告の準備を整理するアシスタントです（法的判断を確定する立場ではありません）。以下の【材料】をもとに、委託先で漏えいが起きたと連絡を受けた日の「初日にやること」の一覧を作ってください。

【材料】
・自社の業種と規模: （例: 明石市の鮮魚店・従業員3人）
・委託先から受けた連絡の内容: （例: メール配信サービスの不正アクセス、自店のメールアドレス約300件が対象の可能性）
・預けていた項目: （例: 氏名、メールアドレス）
・発覚した日付: （例: 11月〇日）

出力: ①個人情報保護委員会への報告が必要かの判断材料（4つの事態への当てはめ）②速報の期限日と確報の期限日の計算 ③委託先に確認する事項（連名報告の可否、本人通知の方法）④専門家に相談するべき点。断定せず、公式ページで確認できないことは「要確認」と書き、事実に基づかない推測は「仮説」と明記してください。

※そのままコピーして使えます

注意点は、法的な判断を自社だけで確定しないことです。報告書の書き方や通知の方法は、必要なら提携の専門家におつなぎします。

手順5: メールが止まった日の代替連絡を決め、メール頼みの業務を洗い出す

姫路市のポータルは、11月3日21時45分更新の告知でもメール送信が止まったままで、申請完了の確認はマイページか担当課に切り替わっています。自社でも同じことが起きます。予約確定メール、前日のリマインド、認証コードが止まったとき、お客様にどう伝えるか。代替の経路として現実的なのは公式LINEと電話の2つで、予約時にLINEの登録を案内している宿や店は、配信会社が止まった日でも翌日のお客様全員に連絡できます。 公式LINEの立ち上げと配信の設計は、旅館のLINE公式アカウント活用術｜無料で始める5ステップと文例8本【2026年8月】で解説しています。自社サイトの予約フォームで確定メールだけに頼っている宿は、民宿のホームページを自作する方法｜予約確定・在庫・決済まで整える7ステップ【2026年】にある「予約確定の連絡を1経路に依存しない」設計も合わせて見直してください。

あなたは小規模事業者の業務の流れを整理するアドバイザーです。以下の【材料】をもとに、「メールが止まった日に止まる業務」とその代替手段の一覧を作ってください。

【材料】
・業種: （例: 城崎温泉の旅館）
・メールで送っているもの: （例: 予約確定、前日リマインド、キャンセル確認、メルマガ）
・メールで受けているもの: （例: 予約サイトからの新規予約通知、問い合わせフォームの通知）
・持っている代替手段: （例: 公式LINE、電話、SMS）

出力: ①止まる業務の一覧（お客様に影響が出るまでの時間順）②業務ごとの代替手段と担当者 ③今日のうちに用意しておくもの（例: 電話で確定を伝える台本）。【材料】にない手段は書かず、事実に基づかない推測は「仮説」と明記してください。

※そのままコピーして使えます

注意点は、代替経路に切り替える判断を誰がするかを決めておくことです。経営者が不在の日に配信が止まることもあります。

業種別の点検ポイントと最初の一手

同じ播磨でも、業種によって預けている先と重い項目は変わります。自社に近い行から着手してください。

どの業種でも共通するのは、「預けている項目を減らす」ことが最も確実な対策で、生年月日や住所を集める必要のないメルマガなら、メールアドレスだけにすることで事故時の重さが1段階下がります。 集める項目を見直すときは、同時に過去に集めた分の削除も検討してください。

取引先や予約サイトから「委託先の管理をどうしているか」と聞かれたときの回答文も、一覧表ができた時点で用意しておきます。

あなたは小規模事業者の取引先向け説明文を書くアシスタントです。以下の【材料】をもとに、「お客様情報の預け先と委託先の管理状況」を取引先に説明する文章を300字以内で作ってください。

【材料】
・自社名と業種: （例: 豊岡市の水産加工業）
・預け先の一覧: （手順1で作った表の内容。サービス名／預けている項目／契約先／再委託先）
・確認済みの事項: （例: 全社に再委託先と事故時の連絡経路を文章で確認済み／2社は回答待ち）
・社内の運用: （例: サービスを追加するたびに一覧を更新、年1回見直し）

条件: 丁寧な敬体。確認が終わっていない項目は「確認中」と正直に書く。【材料】にない対策は書かず、事実に基づかない推測は「仮説」と明記してください。

※そのままコピーして使えます

【要注意】委託先の事故で事業者が陥る4つの誤解

4つの誤解のどれか1つに当てはまるだけで、事故が起きた日に「業者に聞いています」以外の言葉が出せなくなるので、順に確認してください。

誤解1: 「業者の事故だから、うちが説明する立場ではない」

❌ よくある間違い: 不正アクセスを受けたのは配信会社なので、お客様への説明や報告は配信会社の仕事だと考える。

⭕ 正しいアプローチ: お客様が情報を渡した相手は自社であり、説明する相手は自社です。姫路市も、不正アクセスを受けたのは再委託先だと明示したうえで、市の名前で発表と注意喚起を出しています。個人情報保護法のうえでも、個人データの取り扱いを委託した事業者は漏えい等報告の対象で、委託先が通知してくれたから自社は何もしなくてよい、という構造にはなっていません。

なぜ重要か: お客様は配信会社の名前を知りません。知っているのは、泊まった宿と食べた店の名前だけです。説明が遅れた分だけ、その名前に不信感が積み上がります。

誤解2: 「カード情報が入っていないなら、被害は軽い」

❌ よくある間違い: 漏れたのはメールアドレスと氏名だけなので、金銭的な被害は起きないと考える。

⭕ 正しいアプローチ: 今回の事案では、持ち出されたアドレスとは別に、サービスの環境を悪用してカード会社を装う不審メールが最大約713万通送られました。氏名つきのアドレスは「〇〇様」と宛名を入れた偽メールの材料になります。姫路市が注意喚起の中心に置いたのは「市がメールでカード情報を求めることはない」という一文で、自社の案内文にも同じ一文を入れることが、カード情報を預かっていない店にとっての実際の対策です。

なぜ重要か: 被害はメールが漏れた瞬間ではなく、そのアドレスに偽メールが届いてお客様が入力した瞬間に起きます。先に「うちはメールで聞かない」と伝えた店だけが、その瞬間を防げます。

誤解3: 「配信が止まっただけで、予約の業務には関係ない」

❌ よくある間違い: メルマガが止まっても、予約は別のシステムだから影響はないと考える。

⭕ 正しいアプローチ: 姫路市のポータルで止まったのはメルマガではなく、申請完了の通知です。宿や店でも、予約確定メールや認証コードを送っているのが同じ配信会社だった場合、予約の流れが止まります。手順5の「メールで送っているもの」の一覧に予約確定と認証コードが入っている事業者は、配信停止の連絡が入ったその日に電話かLINEに切り替える段取りが必要です。

なぜ重要か: メルマガが1週間止まっても売上はすぐには落ちませんが、予約確定メールが1日止まると、翌日のお客様が「予約できているのか分からない」まま来館します。

誤解4: 「自治体や大手も使っている会社なら、安全だと思ってよい」

❌ よくある間違い: 自治体や新聞社、ホテルチェーンが使っている配信会社なら、審査が済んでいるので自社で確かめる必要はないと考える。

⭕ 正しいアプローチ: 今回のサービスは最大約380社に関係し、自治体の委託先、新聞社、ホテルチェーンが含まれていました。利用者の多さは、事故が起きないことの保証にはなりません。選ぶ基準を「誰が使っているか」から「事故が起きたときに何時間以内にどの経路で連絡が来るか」に変えることが、小さな事業者が取れる唯一の審査です。

なぜ重要か: 大手が使う配信会社は、攻撃する側から見れば1回の侵入で何千万件も取れる場所です。使われている規模そのものが、狙われる理由になります。

不審メールを受け取ったお客様や従業員から相談されたときの判断も、紙にしておきます。

あなたは小規模事業者の従業員向けに、不審メールの見分け方を平易に説明するライターです。以下の【材料】をもとに、「このメールは開いてよいか」を判断する手順を300字以内の1枚紙にしてください。

【材料】
・業種と人数: （例: 姫路市の土産物店・従業員5人）
・最近の事案: 2026年10月28日〜30日に「news@arara.com」からカード会社を装う「利用内容確認のご依頼」などのメールが最大約713万通送られた
・社内のルール: 心当たりのないメールのURLは開かない／カード情報やパスワードを入力しない／迷ったら経営者に転送せず口頭で相談
・相談先: （例: 経営者の携帯、カード会社の公式窓口）

条件: 専門用語には短い説明を添える。罰則の表現は使わない。【材料】にないルールは加えず、事実に基づかない推測は「仮説」と明記してください。

※そのままコピーして使えます

ここまでの内容は、公式ページと無料の道具だけで進められます。それでも「契約先に何を聞けばいいか分からない」「一覧を作る時間が取れない」という宿や店があるのも事実です。私たちは白浜（和歌山）への移住準備を進めながら、観光地の宿や店舗のSNS運用・集客支援と、対面でのDX・AI伴走支援に取り組んでいます。無料ヒアリングは最大60分、ご用意いただくのは使っている予約システムとメルマガ・LINEの会社名だけで、契約前提の営業はいたしません。提案が不要なら30分の情報交換のみでも歓迎です。

委託先の事故に1日で動ける事業者の8項目（チェックリスト）

現在地の確認に使ってください。契約しているサービスの管理画面と契約書を見ながら、当てはまるものにチェックを入れます。

• □ お客様の情報を預けている外部サービスを、社名つきで全部言える
• □ 予約確定メールとメルマガを実際に送信している会社の名前を知っている
• □ サービスごとに預けている項目（氏名・メール・電話・生年月日など）を書き出している
• □ 事故が起きたときに契約先からどの経路で連絡が来るか、メール以外の経路も含めて確認した
• □ お客様への案内文のひな形を作り、「含まれない項目」と「メールでカード情報を聞かない」の一文を入れている
• □ 個人情報保護委員会への報告が必要になる4つの事態と、速報3〜5日・確報30日の期限を知っている
• □ メールが止まった日に予約確定を伝える代替経路（公式LINE・電話）と担当者を決めている
• □ 不審メールを受け取った従業員やお客様から相談されたときの答え方を紙にしている

特に見落とされやすいのが2つ目の「実際に送信している会社の名前」で、姫路市の事案も、市が契約していたTKCではなく、その先の会社で起きています。 チェックが3つ未満でも心配はいりません。5つの手順を上から順に進めれば、1つずつ埋まる構成になっています。

委託先を狙う攻撃は10大脅威の2位、10月だけで配信サービス2社が停止｜今点検する理由

「うちの規模なら、配信会社が狙われても関係ないだろう」と感じるかもしれません。この1か月の出来事は、むしろ逆を示しています。

まず全国の位置づけです。独立行政法人情報処理推進機構（IPA）が2026年1月29日に公表した情報セキュリティ10大脅威 2026の組織向け順位は、1位がランサム攻撃による被害、2位がサプライチェーンや委託先を狙った攻撃、3位がAIの利用をめぐるサイバーリスクでした。今回の事案は、この2位にそのまま当てはまります。

次に、この1か月の実例です。10月21日には、別のメール配信サービス「ブラストメール」を提供するラクスライトクラウドが、親会社ラクスの第2報によると、API用サーバー2台への侵入を確認し、契約者の会社名・担当者名・電話番号・メールアドレス・契約履歴と、一部顧客の配信先リストが持ち出されたとして、同日0時30分からサービスを停止しました。東京都の10月23日の発表では、このサービスを使っていた援農ボランティア事業で最大約1万6,000件の氏名・メールアドレス等が漏えいした可能性があるとされています。そして10月31日にアララ メッセージが全面停止し、11月2日に最大約7,700万件という規模が公表されました。つまり2026年10月の1か月間に、中小事業者も広く使うメール配信サービスが2つ、不正アクセスで停止と再開未定に至っており、「配信会社の事故」は確率の話ではなく、この秋に実際に起きている話です。

そして播磨です。執筆時点で確認できた範囲では、播磨・但馬・淡路の事業者で今回の事案の影響を個別に公表した例は見当たりません。ただし、兵庫県内では姫路市のポータルとひょうご防災ネット、神戸新聞NEXTが影響を公表しており、近畿ではホテルチェーンの近鉄・都ホテルズが12万9,153件の漏えいを公表しています。神戸新聞NEXTとTKCは、第2報と同じ11月2日のうちに自社名で案内を出しています。小さな宿や店が同じ速さで動くには、この記事の3枚が先に用意されているかどうかだけが差になります。

よくある質問

「自分は対象か」「何を聞けばいいか」「報告は必要か」の3つが最も聞かれる質問なので、以下の答えを確認日付つきで手元に置いてください。

Q. 姫路市のオンライン手続ポータルサイトを使ったことがあります。自分の情報は漏れたのですか?

2026年11月4日時点で、姫路市は「漏えいした可能性がある」としており、市に関する件数と漏えいの有無は調査中です。対象の可能性があるのはポータルに登録したメールアドレスと氏名等で、クレジットカード情報は含まれていないと市は明記しています。 今やることは、登録したアドレスに届くカード会社や行政を装うメールのURLを開かないこと、申請の状況はマイページか担当課で確認することの2つです。続報は市の公式ページで確認してください。

Q. 「news@arara.com」から「利用内容確認のご依頼」というメールが届きました。どうすればいいですか?

URLを開かず、パスワードやカード情報を入力せず、削除してください。 配信サービスの環境を悪用して10月28日から30日に送られた不審メールの送信元と件名として、この組み合わせが公表されています。カードの利用状況が気になる場合は、メールのリンクではなく、カード会社の公式アプリか公式サイトをブックマークから開いて確かめてください。すでに入力してしまった場合は、カード会社の窓口に連絡し、同じパスワードを使っている他のサービスも変更します。

Q. 自社のメルマガや予約システムが、アララ メッセージを使っていたかどうかはどう調べますか?

契約している予約システムやメルマガ配信サービスの会社に、「メール送信をアララ メッセージに委託していたか」を文章で問い合わせるのが確実です。 影響を受けた契約企業の多くは11月2日前後に自社サイトでお知らせを出しているので、契約先のサイトのお知らせ欄も確認してください。アララ メッセージを直接契約している場合は、サービスの公式サイトの告知が一次情報です。

Q. 委託先で起きた漏えいでも、うちが個人情報保護委員会に報告しなければいけませんか?

個人データの取り扱いを委託した事業者は報告義務の対象で、不正アクセスによる漏えいは人数にかかわらず報告が義務になる事態に含まれます。 速報は発覚から3〜5日以内、確報は不正の目的によるおそれがある場合は60日以内です。委託先が委託元に通知した場合に免除されるのは委託先側の報告で、委託元の義務は残ります。報告の実務は委託先と連名で行える場合もあるため、契約先に確認したうえで、必要なら提携の専門家におつなぎします。

Q. お客様の情報を預けている先を、再委託先まで把握するのは無理ではありませんか?

無理ではなく、契約先に「送信を別の会社に任せているか、社名は何か」と1通問い合わせるだけで、1行ずつ埋まります。 回答が得られない契約先があれば、その事実そのものが、乗り換えを検討する材料です。手順1の一覧表を作っておけば、問い合わせは一覧の行数分で済みます。

Q. 従業員3人の店でも、お客様への案内文のひな形を用意する必要がありますか?

必要です。規模が小さいほど、事故の日に文章を書く人も時間もないからです。 手順3のプロンプトで400字以内のひな形を作り、社名と日付を空欄にして保管しておきます。実際に出すときは、契約先の公表内容と突き合わせて空欄を埋めるだけになります。

Q. 今後、メール配信サービスを選び直すときの基準は何ですか?

「事故が起きたときに何時間以内に、メール以外のどの経路で連絡が来るか」を契約前に文章で答えてもらえるかどうかです。 料金や機能の比較は、その答えが得られた会社の中で行ってください。メルマガ配信ツールの比較と同意の取り方は、小規模ホテルのメルマガでリピーターを増やす方法｜7ステップと文例8本【2026年9月】にまとめています。

Q. 配信会社の事故とは別に、自社の管理画面の守りはどうすればいいですか?

配信会社に預けた情報は配信会社が守りますが、その管理画面に入るID・パスワードは自社にしか守れません。 管理画面ごとに別のパスワードを使い、2段階認証を設定し、退職者が入れる状態を今日なくすことが、委託先の点検と並行して進める自社側の守りです。自社で守る範囲と外部に頼める範囲の線引きは、NTT西日本和歌山のサイバー対策展示に120社、宿と店が外部に頼める範囲【2026年10月】で整理しています。

まとめ:今日から始める3つのアクション

1. 今日やること: お客様の情報を預けている外部サービスを、預けている項目と再委託先の欄つきで一覧にする（手順1）。姫路市のポータルを使った事業者は、申請状況をマイページで確認し、不審メールのURLを開かない
2. 今週中にやること: 契約先に再委託先と事故時の連絡経路を問い合わせ、お客様への案内文のひな形を作り、報告義務の要件を自社の人数で確かめる（手順2〜4）
3. 今月中にやること: メールが止まった日の代替連絡（公式LINE・電話）と担当者を決め、集めている項目を減らせないか見直す（手順5）

姫路市の事案が示したのは、委託先の事故は委託元の事故として説明する責任が残るという事実で、先に3枚を用意した事業者だけが、事故の日に自社の言葉で動けます。

次回予告: 事故の日に代替経路になる公式LINEの立ち上げは、旅館のLINE公式アカウント活用術｜無料で始める5ステップと文例8本【2026年8月】で、月200通の無料プランから始める手順を解説しています。

参考・出典

出来事の事実は姫路市・TKC・アララの公式発表と神戸新聞NEXTの報道を、法令の要件は個人情報保護委員会の案内を、脅威の位置づけはIPAの公表資料を一次情報として使っています。

• 姫路市「『姫路市オンライン手続きポータルサイト』の委託先における不正アクセスに伴う個人情報漏えいの可能性と一部サービスの停止について」（2026年11月2日。漏えいの可能性がある情報、含まれない情報、停止機能、経過、注意喚起、問い合わせ先。参照日: 2026-11-04）
• 姫路市「姫路市オンライン手続ポータルサイト」案内ページ（利用の流れ、対象者。参照日: 2026-11-04）
• 姫路市オンライン手続ポータルサイト（ポータル本体）（メール送信ができない状況の告知、2026年11月3日21時45分更新。参照日: 2026-11-04）
• 姫路市「ひょうご防災ネット（ひめじ防災ネット）メール配信機能の一時停止のお知らせ」（2026年10月29日更新。メール配信と市公式LINE連携配信の停止。参照日: 2026-11-04）
• TKC「メール配信委託先への不正アクセスによる情報漏えいに関する件（第2報）」（2026年11月2日。最大223万812件のメールアドレスが漏えい対象。参照日: 2026-11-04）
• アララ株式会社「当社が提供する『アララメッセージ』への不正アクセスによる情報漏えいについて（第2報）」（PDF）（2026年11月2日。参照日: 2026-11-04）
• アララ メッセージ公式サイトのお知らせ（サービス停止中の告知。参照日: 2026-11-04）
• INTERNET Watch「ペイクラウドHD、『アララ メッセージ』への不正アクセスで約7700万件のメールアドレスが流出」（2026年11月2日。サーバー97台、最大約380社、約7,700万件、不審メール最大約713万通、10月31日19時53分全面停止。参照日: 2026-11-04）
• 神戸新聞NEXT「姫路市『オンライン手続サイト』で情報漏えいか 外部のメール配信サービスが不正アクセス受け」（2026年11月2日。参照日: 2026-11-04）
• 神戸新聞NEXT「【お詫び】アララ社への不正アクセスによる情報流出およびメールサービス停止について」（2026年11月2日。約4万件のメールアドレス。参照日: 2026-11-04）
• 読売テレビ「『近鉄・都ホテルズ』でメアド約13万件漏えい 姫路市でも流出の可能性」（Yahoo!ニュース配信）（2026年11月3日。都プラス12万9,153件。参照日: 2026-11-04）
• ラクス「【第2報】当社子会社が提供する『ブラストメール』における不正アクセスによる情報漏えいおよびサービス停止について」（2026年10月21日。参照日: 2026-11-04）
• 東京都「メール配信サービスへの不正アクセスによる個人情報の漏えいについて」（2026年10月23日。最大約1万6,000件。参照日: 2026-11-04）
• 個人情報保護委員会「漏えい等の対応とお役立ち資料」（報告が義務になる4つの事態、速報3〜5日・確報30日/60日。参照日: 2026-11-04）
• IPA「情報セキュリティ10大脅威 2026」（2026年1月29日公表。組織向け順位。参照日: 2026-11-04）

あわせて読みたい

• 小規模ホテルのメルマガでリピーターを増やす方法｜7ステップと文例8本【2026年9月】: 配信ツールの選び方と同意の取り方を、今回の「再委託先を聞く」基準と合わせて使えます
• NTT西日本和歌山のサイバー対策展示に120社、宿と店が外部に頼める範囲【2026年10月】: 委託先の点検と並行して進める、自社の管理画面の鍵の固め方を扱っています

※本記事の事実関係は2026年11月4日時点の公式発表と報道に基づきます。姫路市に関する件数・漏えいの有無・再開時期は調査中であり、続報で変わる可能性があります。法令の適用は個別の事情で異なるため、報告や通知の実務は専門家にご確認ください。実績は代表およびメンバー個人としての活動を含みます。