キュアレのメルマガ外部配信サービスへの不正アクセス（不審な英文メールを一部顧客宛に配信・個人情報漏えいは未確認）
公表日
治療院・サロン向けの施術器具や寝具を展開する株式会社キュアレで、メルマガ配信に使う外部サービスのアカウントが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受け、一部の顧客に不審な英文メールが届きました。個人情報の漏えいは確認されていないと報じられています。
対象者は？
キュアレのメールマガジン配信を通じて、2025年12月7日頃に不審な英文の迷惑メールを受け取った一部の顧客です。届いた人数は発表されていません。配信システム内のデータベースへの侵入や顧客情報の持ち出しは確認されておらず、個人情報の漏えいは確認されていないとされています。
心当たりのない英文メールが届いていないか、受信箱を確認してください。公式のお知らせの原文は、今回渡された出典には含まれていません。下記の報道記事で内容を確認できます。
いますぐできること
- 心当たりのない英文メールが届いたら、本文内のURLをクリックしない。
- 添付ファイルがあっても開かず、メールを削除する。
- メールが本物か迷うときは、メール内のリンクではなく、公式サイトなど自分で調べた連絡先で確認する。
何が起きたのか
2025年12月7日頃、キュアレが送ったものではない不審な英文のメールが、一部の顧客に届きました。調べたところ、同社がメルマガ配信に使っている外部サービスのアカウントに、第三者が不正にアクセスしていたことが分かりました。同社は12月10日にこの件を公表し、顧客に謝罪しました。あわせて、心当たりのない英文メールのURLをクリックしないこと、添付ファイルを開かず削除することを呼びかけています。
なぜ起きたのか・なぜ広がったのか
アカウントに不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。された経路や手口は、まだ発表されていません。発表されているのは、狙われたのが配信用のアカウントで、配信システム内のデータベースに入られた形跡や顧客情報の持ち出しは確認されていない、という点です。メールの具体的な文面や、リンク先のサイトの内容も公表されていません。
いまの状況2025-12-25 時点続報待ち
2025-12-25時点の報道では、不正な配信は止められ、原因となったアカウントのパスワード変更とセキュリティ設定の見直しが済んだとされています。新しい不審メールは確認されていないと説明されています。公式オンラインショップや社内システムは別の基盤で動いており、影響はなく通常どおり使えるとされています。配信件数、侵入の経路、メールの内容、再発防止策の詳細は、まだ発表されていません。
企業として考えたいこと
自社のメルマガやお知らせの配信サービスに、不正ログインを防ぐ設定（多要素認証など）はありますか。不審な配信が起きたとき、誰がどう止めるか決まっていますか。
技術的な要約
株式会社キュアレは2025年12月10日、メールマガジン配信に使う外部配信サービスのアカウントが第三者に不正アクセスされたと公表した。12月7日頃、同社が意図しない不審な英文の迷惑メールが一部顧客宛に配信された。同社は不正配信を停止し、原因アカウントのパスワード変更とセキュリティ設定の見直しを完了したとしている。ログ等の調査では配信システム内のデータベースへの侵入形跡や顧客情報の持ち出しは確認されず、個人情報の漏えいは確認されていない。公式ECや社内システムは別基盤で運用され連携もないため影響はないとしている。メールの具体的な文面や誘導先サイトの内容は公表されていない。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明外部配信サービスのアカウントに第三者から不正アクセスがあったと公表されているが、侵入経路・手口は出典に記載がない。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 公式オンラインショップ（EC）や社内システムはメルマガ配信システムとは別基盤で運用・連携もなく、影響を受けておらず通常通り利用可能と説明している。
- データ
- なし上限 —確定 —配信システム内のデータベースそのものに侵入された形跡はなく、顧客情報のダウンロードや持ち出しも確認されていないとして、個人情報の漏えいは確認されていない。不審メールの配信先件数は公表されていない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 外部配信サービスのアカウントが不正利用されたが、サービス提供元の侵害は出典に記載がない。
時系列
- 2025-12-07
- 2025-12-07
- 2025-12-10
- 2025-12-10不正配信を停止済み。原因アカウントのパスワード変更とセキュリティ設定の見直しを完了したと説明。1
- 2025-12-10新たな不審メールが配信されていないことを確認したと説明。1
- 2025-12-10ログ等の調査で、配信システム内のデータベースへの侵入形跡や顧客情報の持ち出しは確認されず、個人情報漏えいは確認されていないと説明。1
- 2025-12-10顧客へ謝罪し、心当たりのない英文メールは本文内URLをクリックせず、添付ファイルも開かず削除するよう注意喚起。1
- 2025-12-12セキュリティ対策Labが本件を報道。1
- 2025-12-25ScanNetSecurityが本件を報道。2
技術解説
公表されている事実の整理 事実
キュアレは2025年12月10日、メールマガジン配信に使う外部配信サービスのアカウントが第三者に不正アクセスされ、一部の顧客宛に不審な英文の迷惑メールが配信されたと公表した。不正な配信が確認されたのは12月7日頃で、同社が本来送る内容とは異なる英文メールだった。不正アクセスは配信アカウントに対して行われたもので、配信システム内のデータベースそのものへの侵入形跡や、顧客情報のダウンロード・持ち出しは確認されていないとされる。以上は報道2件（セキュリティ対策Lab、ScanNetSecurity）の記述に基づく。
対応内容と影響範囲の説明 事実
同社は不正配信を停止し、原因となったアカウントのパスワード変更とセキュリティ設定の見直しを完了したとしている。新たな不審メールが配信されていないことも確認したと説明している。顧客には謝罪したうえで、心当たりのない英文メールは本文内のURLをクリックせず、添付ファイルも開かず削除するよう注意喚起している。公式オンラインショップ（EC）や社内システムはメルマガ配信システムとは別基盤で運用され連携もないため影響を受けず、通常どおり利用可能と説明している。一方、メールの具体的な文面や誘導先サイトの内容は公表されていない。
攻撃の構造（推測） 解釈
公表内容からは、侵害の対象がデータベースではなく配信アカウントそのものだった可能性が考えられる。配信アカウントを使えば、普段のメルマガと同じ経路で顧客へ直接メールを送れるため、受信者には見分けにくくなりうる。ただしこれは推測である。侵入経路や手口は報じられておらず、パスワードの流用や漏えい、設定の不備など、どれに当たるかは今回の出典だけでは判断できない。MITRE ATT&CKのValid Accountsに近い類型として暫定的に対応づけているが、確定的なものではない。
公表内容の見方（解釈） 解釈
報道を見る限り、配信停止、パスワード変更、設定見直し、顧客への注意喚起、他システムへの影響の有無が公表時点で示されており、顧客が取れる行動が具体的に書かれている点は参考になる。一方で、配信件数、メール文面、誘導先、侵入経路、調査の主体といった情報は報じられていない。これらが公表されていないのか、報道で省かれたのかは、今回の出典だけでは区別できない。個人情報漏えいが確認されていないという説明も、調査範囲が示されていない以上、現時点の確認結果として受け止めるのが妥当と考えられる。
対応
- 封じ込め
- 不正配信を停止し、原因となったアカウントのパスワード変更とセキュリティ設定の見直しを実施。新たな不審メールの配信がないことを確認したとしている。
- 公表の仕方
- 2025年12月10日に公表。顧客に謝罪し、心当たりのない英文メールの本文内URLのクリックや添付ファイルの開封をしないよう注意喚起している。メールの具体的な文面や誘導先サイトの内容は公表されていない。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 外部配信サービスのアカウントも、顧客に直接届く経路として重要資産に含めて守る必要がある。 | 配信サービスの管理画面とAPIに多要素認証を必須にし、可能ならSSOに統合する。管理者権限は最小人数に絞り、退職・異動時の棚卸しを四半期ごとに実施する。 |
| アカウントが乗っ取られた場合に、不審な配信を早く見つける仕組みが要る。 | 配信数・宛先数・テンプレート外の本文・通常と異なる言語での送信を検知してアラートを出す。新規ログイン、パスワード変更、APIキー発行の通知を担当者へ届け、配信の一時停止手順を用意しておく。 |
| パスワードの使い回しや漏えいが、アカウント不正利用の入口になりうる。 | サービスごとに一意のパスワードを使い、パスワードマネージャで管理する。漏えい済みパスワードとの照合を行い、管理画面へのログイン元IPを制限できるサービスなら制限を設定する。 |
| 配信システムとEC・社内システムを分離しておくと、影響範囲を限定して説明しやすい。 | システム間のAPI連携や認証情報の共有を一覧化し、連携が必要な場合は最小権限のキーを用いる。配信基盤が侵害された想定で、他システムへ波及しないことを定期的に確認する。 |
| 顧客が正規のメールと偽のメールを見分けられるよう、事前に情報を示しておくと被害を抑えやすい。 | SPF・DKIM・DMARCを設定して送信ドメインの認証を整える。正規メルマガの送信元アドレスや言語・形式の特徴を公式サイトに掲載し、事案発生時に使う注意喚起文面も用意しておく。 |
自組織などでの確認項目
- 自組織で使っているメール配信サービスや外部SaaSの管理画面に、多要素認証が必須で設定されているか。管理者アカウントの一覧は最新か。
- 自組織の配信システムで、通常と異なる配信（宛先数の急増、想定外の言語や本文）が発生したとき、誰がどのくらいの時間で気づける仕組みになっているか。
- 配信アカウントが乗っ取られた場合に、配信停止、パスワード変更、顧客への注意喚起までの手順と担当者が決まっているか。
- 自組織の配信基盤とEC・社内システムの間に、API連携や共有認証情報が残っていないか。
未解明点
- 不審メールの配信先件数や、顧客のうちどの範囲に届いたかは公表されていない。
- メールの具体的な文面と、本文内URLの誘導先の内容は公表されていない。
- アカウントへの不正アクセスの経路や手口（パスワードの流出、設定の不備など）は報じられていない。
- 調査が社内のみで行われたのか、外部の専門機関や配信サービス提供元が関与したのかは、出典に記載がない。
- 今回の出典に公式発表が含まれておらず、公式発表の原文と報道内容に差異があるかは確認できていない。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2025-12-12報道本文確認済
- 2ScanNetSecurity2025-12-25報道本文確認済