GMOメイクショップ株式会社は2026年11月5日、EC構築サービス「makeshop byGMO」の有料メール配信機能「メール配信プラス」と、マーケティングサービス「MakeRepeater byGMO」が利用する外部のメール配信サービスへの不正アクセスにより、ショップ会員や注文者のメールアドレス約1,260万件が外部に流出したと発表しました。
不正アクセスを受けたのはアララ株式会社の「アララメッセージ」です。GMOメイクショップの公式発表によれば、makeshopやMakeRepeater本体への侵入は確認されておらず、パスワードやクレジットカード情報は流出対象に含まれていません。一方、どのECショップの会員・注文者が該当するのかについては、11月5日時点で特定に至っていません。
GMOメイクショップの情報流出のサマリー
公表日：2026年11月5日
発表企業：GMOメイクショップ株式会社
不正アクセス先：アララ株式会社が提供するメール配信基盤「アララメッセージ」
流出情報：対象となるショップ会員・メルマガ会員・注文者のメールアドレス
流出規模：約1,260万件。メールアドレスの件数であり、1,260万人の実人数を示すものではない
対象機能：「makeshop byGMO」の「メール配信プラス」、および「MakeRepeater byGMO」
対象ショップ：両機能の利用ショップ。個別のショップ名・ショップごとの件数は調査中
対象外：パスワード、クレジットカード情報。makeshop標準機能の注文確認などの自動返信メールやグループメール配信も本件の対象外
稼働状況：メルマガやステップメールなど対象機能の配信は停止。標準機能による注文確認等のメールは稼働
GMOメイクショップ本体の侵入：11月5日時点で確認されていない
アララ全体の約7,700万件に関連する一波及先であり、件数を単純加算しない
項目
公表内容
情報流出を公表した企業
GMOメイクショップ株式会社
被害が発生したシステム
アララ株式会社「アララメッセージ」
対象サービス
メール配信プラス、MakeRepeater byGMO
対象情報
配信先として預託された会員・注文者等のメールアドレス
対象件数
約12,600,000件（精査中）
対象ショップ
特定中。ショップ単位の件数は未確定
調査・復旧
対象サービスの配信停止、委託先に調査を要請。配信再開時期は未定
対象外
パスワード、クレジットカード情報、標準機能の注文確認など
アララのメール配信基盤に預けた約1,260万件が流出
GMOメイクショップでは、多数のネットショップがECサイトを開設・運営しています。今回の情報が置かれていたのは、ショップの会員登録や注文に関するすべてのデータを保管するmakeshop本体ではなく、メール配信機能の提供に使用される外部サービスでした。
同社FAQでは、メール配信先に指定された次の情報を対象としています。
メール配信機能
流出対象に含まれるメールアドレスの例
メール配信プラス
ショップ会員、メルマガ会員のメールアドレス
MakeRepeater byGMO
ショップ会員、メルマガ会員、注文者のメールアドレス
サービスの対象は利用ショップによって異なり、単にmakeshopで買い物をしただけで自動的に今回の流出対象と確定するわけではありません。反対に、利用ショップからまだ個別の案内が届いていないことも、対象外であることを意味しません。
どのショップが対象か特定できず 購入者への通知・注意喚起が課題
今回の公表で特に問題となるのは、漏えい規模に加えて、個別の影響範囲を把握しにくい点です。
GMOメイクショップの11月5日付FAQでは、ショップごとの件数や対象となった具体的なメールアドレスは確定していないと説明しています。今後も詳細を案内できない可能性があるため、対象機能を利用するショップに対しては、影響を受けた可能性を前提に会員へ注意喚起することを勧めています。
ショップ側で「自社の顧客が漏えいしたか」を直ちに判定できなければ、個別通知の対象者抽出、問い合わせ回答、報告要否の判断も難しくなります。GMOメイクショップは、個人情報保護委員会への報告要否について、各ショップの判断としたうえで、必要な情報が判明すればFAQを更新すると案内しています。
これは、SaaSを利用して顧客情報を管理する企業が、再委託先に置かれたデータの所在、削除状況、照合可能なログをどこまで把握しているかという問題でもあります。
関連資料
AI時代の脆弱性管理・パッチ管理｜運用見直しのポイントと製品選定の確認事項
脆弱性の優先順位付けから修復、暫定防御、パッチ管理まで、運用見直しと製品選定で確認したいポイントをまとめた資料です。
資料提供元：株式会社アズジェント
脆弱性管理の資料を見る
メルマガ・ステップメールは停止、注文確認メールは稼働
公表された経緯は次のとおりです。
日付
GMOメイクショップ・アララに関する動き
10月22日
MakeRepeater byGMOが別途メンテナンスを開始。後のアララ不正アクセスと同日発生とみなすものではない
10月27～31日
アララの環境で不正アクセスが発生したと同社等が公表
10月28日
メール配信プラスで配信障害が発生。GMOメイクショップはアララメッセージとの連携を停止
10月31日
アララがメール配信サービスの提供を全面停止
11月2日
GMOメイクショップが、アララから預託情報の流出について報告を受領し、自社サービスへの影響確認を開始
11月5日
約1,260万件のメールアドレス流出を公表
11月5日の公表時点で、メール配信プラスとMakeRepeaterのメールマガジン・ステップメール等は停止しています。makeshop標準機能の「注文確認などの自動返信メール」「グループメール配信」は、今回のアララメッセージを使っておらず、通常どおり送信されています。
GMOメイクショップは対象サービスの停止期間中について無料延長を実施するとし、MakeRepeaterの停止が長期化する場合は延長期間の見直しも検討しています。外部のメール配信事業者の選定基準や、委託先に渡す情報の最小化についても見直す方針です。
また、アララは侵害された配信基盤を悪用して、10月28～30日にカード会社を装った不審メールが最大約713万通送信されたと公表しています。ただし、この713万通の宛先がGMOメイクショップの流出アドレスだったと特定されたわけではありません。攻撃によるデータ持ち出しと、配信設備を使った不正メール送信は別の事象として分けて考える必要があります。
関連する影響先は、セキュリティ対策Labのアララへの不正アクセスによる情報流出・影響企業まとめで確認できます。
購入者・会員が注意したい悪用例と対策
今回の流出対象はメールアドレスですが、漏えいを知った第三者が、実際のECサイトや配送事業者を装う詐欺を試みる可能性があります。以下は想定される悪用例であり、GMOメイクショップの対象会員に対する二次被害が実際に確認されたとするものではありません。
想定される不正メール
危険性
利用者が取るべき対策
「注文確認」「配送先の再確認」
実際の購入履歴と誤認し、偽サイトで住所やカード情報を入力する
メールのリンクは使わず、購入したショップの公式サイトに直接アクセスして注文履歴を確認する
「ショップ会員情報の再登録」「パスワード再設定」
ログインID・パスワードを盗まれ、他サイトへの不正ログインにもつながる
ショップの正規サイトから操作し、使い回しパスワードを避ける
「セキュリティ対応に伴う返金・補償」
偽の返金手続きでカード番号や認証コードを入力させる
カード会社の公式窓口で真偽を確認し、認証コードを第三者に伝えない
「未払い料金・決済エラー」
偽の支払画面や不正アプリへ誘導される
メール本文から決済せず、注文履歴・カード明細を直接確認する
情報流出自体によって購入者のパスワードやカード番号が漏れたと発表されたわけではありません。したがって、すべての購入者にカードの停止やパスワードの一律変更が必要と決まったわけではありません。一方、偽サイトでカード情報を入力した場合は、利用するカード会社へ直ちに連絡し、不審な決済がないか確認してください。
ECショップ・法人が実施する確認事項
対象機能を利用するショップは、漏えい対象の特定が完了するまで、顧客に対して不審なメールへの注意を促すとともに、問い合わせ窓口を整える必要があります。GMOメイクショップのFAQでも、会員向け案内と問い合わせ体制の準備を提案しています。
特に確認したいのは、次の5点です。
利用機能の棚卸し：メール配信プラス・MakeRepeaterの契約・利用実績、アララへの送信対象データと期間を確認する。
顧客向け案内：確定した被害人数やショップ別件数を推測せず、確認済みの情報項目、注意すべき偽メール、正規の問い合わせ先を記載する。
メール代替手段：停止中のステップメール、再購入促進、メルマガなどと、稼働している標準注文確認メールを区別し、顧客対応の優先順位を決める。
再委託先管理：メール配信サービスへ渡すデータ項目・保管期間・契約終了後の削除・ログ保存・インシデント通知義務を確認する。
取引先を装う偽連絡への備え：配信基盤切り替えの案内や新しい設定情報の提出依頼が届いても、既存の正規連絡経路で確認してから作業する。
情報の流出後には、ショップの正式なメールと似た文面で利用者を誘導する攻撃が起こり得ます。店舗運営担当者が不審なメールを報告する訓練や効果測定を検討する際は、標的型攻撃メール訓練サービスの比較・選び方が参考になります。訓練の導入が今回のアララ側の侵害を防げたという意味ではなく、二次被害への備えとしての位置づけです。
GMOグループ関連で公表された主なインシデント一覧【2026年11月6日現在】
GMOメイクショップ以外にも、2026年9月以降にGMOグループ各社が情報漏えいや不正アクセスを公表しています。以下は主な公表例であり、グループの全社・全期間を網羅した一覧ではありません。アララの同一上流事案に伴う波及と、別の攻撃・設定不備・他社クラウドの侵害を区別しています。
公表企業・サービス
公表日・更新日
公表された規模・内容
今回のアララ事件との関係
GMOメイクショップ「メール配信プラス」「MakeRepeater」
11月5日
約1,260万件のメールアドレスが流出。利用ショップの特定は調査中
今回のアララメッセージへの不正アクセスの波及
GMOコマース「GMOマーケティングコネクト」「GMOリピーター」
11月5日
配信先メールアドレスの流出を公表。件数は未公表、メール配信機能停止
アララメッセージへの不正アクセスの波及
GMOペイメントサービス
11月5日
最大106,997件。うち最大5,771件に氏名、請求金額、購入店舗・商品等を含む
委託先の弁護士法人が利用したアララメッセージへの不正アクセスの波及
GMOイプシロン「fincode byGMO」関連
11月5日
加盟店等のメールアドレス24,645件が流出。購入者のメールアドレスは対象外
データXのマーケティングツールを介したアララ「repica」関連。同一サーバーへの侵入とは断定しない
GMOメイクショップ（旧GMOメイクアプリの問い合わせフォーム）
11月5日
氏名、会社名、メールアドレス、問い合わせ内容等に流出の可能性。対象人数の記載なし
外部のノーコードサービス「Studio」の別の不正アクセス。アララ事案とは別
GMOペイメントゲートウェイ（ライフカード向け個別機能）
11月2日
69アカウント分の情報窃取の可能性。うち3件にVプリカ番号・セキュリティコード等を含む
別事案。カード会社向けの個別機能への不正な操作
GMOリサーチ＆AI「infoQ」
10月14日第2報
89万4,082件の個人情報の外部持ち出しを確定。ポイントの不正交換611件も確認
別事案。自社サービスで利用するソフトウェアの脆弱性悪用
GMOグローバルサイン「GMOトラスト・ログイン」
10月30日第3報
2,492社・45,030人の情報を第三者が取得
別事案。公開設定のクラウドストレージに顧客ファイルを保管した設定・設計の問題
GMOインターネット「お名前.com デスクトップクラウド」
10月21日以降の続報
影響の可能性があるサーバー最大26,739台。顧客情報持ち出しや不正プログラム設置が発覚
別事案。サーバー台数は漏えい人数ではない
アララ関連の4件は同じ外部委託先のセキュリティ事故が波及したもので、4件の独立した攻撃として数えられません。一方、GMOメイクショップが同じ11月5日に公表した「Studio」への侵害は、アララと異なる外部サービスで起きた事案です。ほかの個別事案についても、共通の攻撃者、侵入経路、被害の連鎖を示す確認情報はありません。
また、この一覧にはメールアドレスの件数、アカウント数、企業数、個人情報の件数、サーバー台数が混在しています。数値を合算して「GMOグループ全体の流出人数」とすることはできません。
関連する個別記事として、セキュリティ対策LabではGMOペイメントサービスの最大106,997件の情報漏えい、GMOイプシロンの24,645件のメールアドレス流出、GMOトラスト・ログインの第三報、お名前.com デスクトップクラウドへの不正アクセスを掲載しています。
問い合わせ先
GMOメイクショップはショップ運営者向けの本件問い合わせ先として、専用メールアドレス [email protected] を案内しています。メール件名に「メール配信プラス・MakeRepeater」に関する問い合わせであることとショップIDを記載し、利用サービス、担当者名、連絡先、問い合わせ内容などを伝えるよう求めています。ショップごとの対象データの確認は調査結果を待つ必要があります。
出典
この記事をシェアする
メールマガジン
最新のセキュリティ情報やセキュリティ対策に関する情報をお届けします。
Googleアカウントへのログインが必要です
投稿者：三村
セキュリティ製品を手がける上場企業にて、SOC（セキュリティオペレーションセンター）運営およびWebアプリケーション脆弱性診断の営業に8年間従事。その後、システムエンジニアへ転身し、MDMや人事系SaaSの開発に携わる。
8年の実務経験と開発者としての知見を活かし、「セキュリティ対策Lab」ではダークウェブ調査、セキュリティインシデントの分析、および高度なセキュリティ対策解説の執筆・編集を統括しています。
LinkedIn(外部サイト)