【重要】メール配信サービス「める配くん」への不正アクセスによる個人情報漏えいに関する調査結果のご報告（第２報）

平素よりインクルード株式会社をご支援いただき、誠にありがとうございます。

2026年6月19日付でお知らせいたしましたとおり、弊社が利用しております外部のメール配信システム「める配くん」（運営：株式会社ディライトフル）が外部からの不正アクセスを受け、お客様の個人情報が外部に流出した可能性がある旨をご報告申し上げておりました。

その後、運営元である株式会社ディライトフルにおいて、外部の専門調査機関によるフォレンジック調査（デジタル鑑識調査）が実施され、2026年8月4日に調査報告書が同社へ提出されました。同社は、その結果を踏まえ、2026年8月13日付で個人情報保護委員会に対して確報（確定報告）を提出しております。

この度、調査により確定した内容が判明いたしましたので、改めてご報告申し上げます。

１．外部の専門調査機関による調査の結果について
運営元である株式会社ディライトフルは、2026年6月21日に外部の専門調査機関へ調査を依頼し、対象サーバー群のアクセスログ、データベースの操作記録等を対象とした調査が実施されました。その結果、侵入の経路、攻撃が及んだ範囲、及び外部へ持ち出されたデータの範囲が特定されております。
同調査の結果は、個人情報保護委員会及び総務省への報告にも反映されております。

２．新たに判明した内容
（１）前回のお知らせの時点では「流出した可能性がある」旨をご案内しておりましたが、今回の調査により、実際に個人データが外部へ持ち出された事実が確認されました。
（２）攻撃者は、システムの脆弱性を悪用して管理者権限を取得したうえ、取得した認証情報を用いて複数のサーバーへ侵入範囲を拡大し、データベースから登録情報の抽出を行っていたことが確認されました。
（３）一連の不正アクセスは2026年6月11日から同月17日までの間に行われたものであり、同月17日までに攻撃経路の遮断及び全サーバーの遮断・停止措置が完了しております。それ以降、新たな不正アクセスは確認されておりません。

３．影響範囲について
（１）対象となる方
弊社が「める配くん」を通じて配信しておりましたメールマガジン等にご登録いただいていたお客様のうち、2,243名の方が対象であることが確認されました。

（２）対象となる情報の項目
氏名／メールアドレス／会社名（氏名・会社名は該当しない可能性があります）

（３）対象に含まれていない情報
クレジットカード情報及びお客様のパスワードは、今回の対象に含まれておりません。

４．二次被害の状況とお客様へのお願い
現時点におきまして、本件に起因する個人情報の不正利用等の二次被害が発生したとの事実は確認されておりません。もっとも、データが外部へ持ち出された事実が確認されておりますため、二次被害が生じるおそれを完全に否定することはできない状況にございます。
つきましては、お客様におかれましては、以下の点にご注意くださいますようお願い申し上げます。
・弊社や他社を装った不審なメール（迷惑メール・フィッシングメール）が届く可能性がございます。
・身に覚えのないメールを受信された場合は、本文中のURLへのアクセスや添付ファイルの開封を行わず、速やかに削除してください。
・弊社より、お客様にパスワード、クレジットカード番号、口座情報等をメールでお伺いすることは一切ございません。
・他のサービスで同一のパスワードをご利用の場合は、念のため変更をご検討ください。

５．今後の対応・再発防止策
運営元である株式会社ディライトフルより、以下の措置を実施済み、又は実施予定である旨の報告を受けております。

【実施済みの措置】
・不正アクセス元との通信遮断、設置された不正プログラムの削除
・脆弱性が確認されたソフトウェアの最新版への更新
・認証機能への入力回数制限（ロック機能）の実装
・全サーバーのパスワード変更、及び認証情報の平文保存の廃止
・不正通信を遮断する仕組み（WAF等）の導入

【今後実施予定の措置】
・認証情報の一元管理、及び試験環境と本番環境の分離の徹底
・パスワード保護の強化及び多要素認証の導入
・定期的なセキュリティ監査の実施、及び対象サーバーの再構築

なお、弊社においては、「める配くん」サービスの利用は6月22日時点で解約をしており、新しいメール配信システム「ブラストメール」を使用しております。

６．関係機関への報告について
本件につきましては、システム運用元である株式会社ディライトフルが、個人情報保護委員会及び総務省に対する報告・対応を一括して進めております。同社は2026年8月13日付で個人情報保護委員会に確報を提出済みです。

７．本件に関するお問い合わせ窓口
本件は「める配くん」のシステムサーバーに対する不正アクセスに起因するものであるため、事実関係のご確認や技術的なお問い合わせにつきましては、以下の特設窓口にて直接お受けいたします。

・対応会社：株式会社ディライトフル（「める配くん」運営元）
・担当窓口：める配くんサポート
・メールアドレス：info@meruhaikun.com
・受付時間：平日 10:00 ～ 17:00

皆様には多大なるご不安とご迷惑をおかけしておりますことを、改めて深くお詫び申し上げます。