日本脆弱性総合ポータル

キヤノンマーケティングジャパン / MSIストア：外部のメール配信システムへの不正アクセスで、MSIストア会員のメールアドレス漏えいのおそれ

重要度
漏えいのおそれ
公表日
2026.05.13
原因の分類
サプライチェーン、侵入口未公表
対策可能性
判定保留

この記事の3行まとめ

  1. MSIストア会員のメールアドレスが、外部のメール配信システム経由で漏えいのおそれ
  2. 漏えいのおそれがあるアドレス宛に、MSIストアを装った不審メールが届くおそれ
  3. 身に覚えのない不審メールは、URLを開かず返信や情報入力もしない

MSIストアが利用するメール配信サービス「MakeRepeater」を提供するGMOメイクショップ株式会社から、アララ株式会社のメール配信システムへの不正アクセスの報告があった。2026年7月1日以降に送信された会員登録や商品購入時のメールアドレスが漏えいしたおそれがある。クレジットカード情報やパスワードは同システムで扱われておらず、対象外とされる。現時点で、MSIストアのお客さまの具体的な二次被害は確認されていない。別の資料として、キヤノンマーケティングジャパンが提供する「GUARDIANWALL MailSuite」の脆弱性に関するIPAの注意喚起（2026年5月13日）があるが、資料はこの件との関係を示していない。

確認された経路・公表元の推定

  1. 2026年10月27日～31日、アララ株式会社が提供するメール配信システムに不正アクセスがあった
  2. 2026年11月2日、アララ株式会社からGMOメイクショップ株式会社へ、漏えいのおそれがある情報に同社サービス利用事業者の情報が含まれると報告された
  3. 2026年11月5日、GMOメイクショップ株式会社がサイトで公表し、MSIストア事務局がこの事象を認知した
  4. 2026年11月6日、MSIストアがお客さまへ、メールアドレス漏えいのおそれと注意事項を公表した

根拠の要点

MSIストアの公表（2026年11月6日）と、GMOメイクショップ株式会社の公表内容に基づく経緯が根拠である。侵入口と攻撃手法は資料に記載がない。別資料のIPA注意喚起（2026年5月13日公開、取得日2026年11月8日）は、GUARDIANWALL MailSuiteのスタックベースのバッファオーバーフローの脆弱性（CVE-2026-32661、CVSS v3基本値9.8）を扱っており、開発者によるとオンプレミス版で悪用攻撃が確認されているとしている。この脆弱性と本件の関係は、資料に記載がない。

資料の基準時点：MSIストア資料は2026年11月6日公表（基準日の記載なし）。IPA資料は2026年5月13日最終更新、取得日2026年11月8日

当時、対策できたのか

判定保留

本件は、侵入口と攻撃時点の防御条件が資料になく、対策の欠落は判断できない。IPAの注意喚起については、オンプレミス版で悪用が確認されたと開発者が述べているものの、攻撃の時期とパッチ提供の時点が書かれていないため、判定を保留する。

公表された対策

  • 当該サービスを利用したMSIストアからのメール配信を停止した
  • 関係事業者と連携し、影響範囲の確認を進めている
  • 身に覚えのない不審なメールに注意するよう、お客さまに呼びかけている
  • 新たに知らせるべき事項が判明した場合は、改めて知らせるとしている
  • GUARDIANWALL MailSuite（オンプレミス版）の利用者は、開発者が提供する情報をもとにパッチを適用する（IPA注意喚起）
  • パッチを適用するまでの間は、開発者が推奨するワークアラウンドを実施する（IPA注意喚起）
  • GUARDIANWALL Mailセキュリティ・クラウド（SaaS版）は2026年4月30日のメンテナンスで修正済み（IPA注意喚起）

この事例を理解するための動画

まだ分からないこと

  • アララ株式会社のシステムへの侵入口と攻撃手法
  • メールアドレスが実際に外部へ持ち出されたかどうか
  • 漏えいの対象となった件数と影響範囲の全体像
  • アララ株式会社の再発防止策（資料に記載がない）
  • IPA注意喚起の脆弱性と本件との関係（資料に記載がない）
  • GUARDIANWALL MailSuiteの悪用攻撃が行われた時期と、その時点でパッチが提供されていたか

関連する事例

同じ原因分類の事例

事例の一覧に戻る