- 重要度
- 重要度：5段階中4 96,477件
- 公表日
- 2026.11.04
- 原因の分類
- サプライチェーン、侵入口未公表
- 対策可能性
- 判定保留
この記事の3行まとめ
- 委託先のメール配信サービスが不正アクセスされ、顧客のメールアドレス96,477件が流出した。
- 侵入経路は未公表で、侵入された時期も分かっていない。
- 不審なメールのURLや添付ファイルを開かず、暗証番号などを入力しないよう呼びかけている。
琉球銀行がメール配信に使う外部サービス「repica」の提供元アララ株式会社で第三者による不正アクセスがあり、お客さまのメールアドレス96,477件が流出した。
確認された経路・公表元の推定
- 10月8日〜10月29日に、当行が「repica」で配信したメールの一部のアドレスが対象となった。
- 2026年11月2日、委託先のアララ株式会社から連絡があり、第三者からの不正アクセスが判明した。
- 委託先のメール配信サービスから、メールアドレス96,477件が流出したとの報告を受けた。
- 当該サービスを使ったメール配信を停止し、関係事業者と連携して流出した情報の確認を進めている。
根拠の要点
公表元は、委託先のアララ株式会社から連絡を受けて不正アクセスと情報流出を確認したとしている。侵入経路は資料に記載がなく、確認された流出はメールアドレスのみとされる。
資料の基準時点：2026年11月4日時点（第2報）
当時、対策できたのか
判定保留
侵入経路と攻撃時点の防御条件が資料に記載されておらず、対策の欠落や発覚時の未発見を判断できないため。
公表された対策
- 当該サービスを使ったメール配信を停止し、安全性が確認されるまで再開しない。
- 関係事業者に原因究明と再発防止策の徹底を求める。
- 委託先を含めた情報管理体制の一層の強化に努める。
- 流出したメールアドレス宛ての不審なメールやフィッシングメールに注意するよう、お客さまに呼びかけている。
この事例を理解するための動画
二段階認証したのに乗っ取られる？ フィッシング詐欺の仕組み
二段階認証 vs フィッシング詐欺｜攻撃者の巧妙な手口を公開まだ分からないこと
- 侵入経路（最初にアクセスされた原因）と侵入された時期は資料に記載がない。
- 流出したメールアドレスの対象者は現在確認中で、特定でき次第、個別に知らせるとしている。
- 委託先のメール配信サービスの防御状況と、再発防止策の具体的な内容は資料に記載がない。