2026年11月5日、三井住友銀行は、外部のメール配信サービスへの不正アクセスによって、顧客のメールアドレス227,216件（約22万7千件）が外部に漏えいしたと発表しました。
不正アクセスを受けたのは、同行が一部のメール配信業務で利用しているアララ株式会社の「アララメッセージ」です。銀行の公式発表によると、主に法人の顧客向けのメール配信に利用しており、一部の個人事業主も対象に含まれています。
一方、今回漏えいした情報はメールアドレスに限られ、銀行口座番号、預金残高、暗証番号、インターネットバンキングのログインID・パスワードなどは含まれていないと説明されています。
ただし、メールアドレスの漏えいによって、三井住友銀行などを装った不審なメールが送られる可能性があるため注意が必要です。
「三井住友銀行の口座を持っている人は全員対象なのか」「個人の預金口座やOliveにも影響があるのか」「口座番号や暗証番号は安全なのか」と心配している人もいるのではないでしょうか。
この記事では、三井住友銀行のメールアドレス227,216件の流出について、対象者・漏えいした情報・不正アクセスの経緯・口座やネットバンキングへの影響・不審メールへの対処法・専用問い合わせ窓口を公式発表に基づいて整理します。
また、今回の原因となったアララメッセージの大規模情報流出との関係についても解説します。
- 三井住友銀行で約22万7千件のメールアドレス流出｜対象者・口座情報への影響と問い合わせ先
三井住友銀行で約22万7千件のメールアドレス流出｜対象者・口座情報への影響と問い合わせ先
三井住友銀行は2026年11月5日、メール配信委託先への不正アクセスによって、メール配信に利用した顧客のメールアドレス227,216件が外部に漏えいしたと公表しました。
原因となったのは、同銀行が一部のメール配信業務で利用している「アララメッセージ」への不正アクセスです。
三井住友銀行の公式発表では、対象となるメール配信の期間、漏えいした情報、対象者の範囲、専用問い合わせ先などが説明されています。
まず、11月5日時点で確認できた内容をまとめます。
| 確認項目 | 2026年11月5日時点の情報 |
|---|---|
| 公表日 | 2026年11月5日 |
| 公表した企業 | 株式会社三井住友銀行 |
| 漏えい件数 | 227,216件 |
| 漏えいした情報 | メールアドレス |
| 主な対象 | 法人の顧客、一部の個人事業主 |
| 対象となるメール配信期間 | 2026年7月1日～10月31日 |
| 不正アクセス先 | アララ株式会社の「アララメッセージ」 |
| 銀行口座番号 | 漏えい情報に含まれない |
| 預金残高 | 漏えい情報に含まれない |
| 暗証番号 | 漏えい情報に含まれない |
| ネットバンキングのID・パスワード | 漏えい情報に含まれない |
| 委託先からの最初の連絡 | 2026年10月28日 |
| メールアドレスの流出が判明 | 2026年11月2日 |
| 専用問い合わせ電話番号 | 0120-917-826 |
| 問い合わせ受付期間 | 11月5日～11月30日 |
今回の情報漏えいについて重要なのは、三井住友銀行の顧客全員が対象になったという発表ではないことです。
銀行は、アララメッセージを主に法人顧客向けのメール配信に利用しており、一部の個人事業主向けのメール配信でも使用していたと説明しています。
また、227,216件という数字はメールアドレスの件数であり、227,216人の個人情報が漏えいしたと確定した実人数ではありません。
公式発表：三井住友銀行「メール配信委託先への不正アクセスによる情報漏えいについて」（2026年11月5日・PDF）
メールアドレス22万7216件の漏えい対象者は誰なのか？
今回漏えいしたのは、三井住友銀行がアララメッセージを利用して送信したメールの宛先情報です。
公式発表によると、同行はこのサービスを主に法人顧客向けのメール配信に利用していました。
また、一部の個人事業主向けのメール配信でも利用していたため、法人だけが対象というわけではありません。
そのため、主に法人の顧客と、一部の個人事業主が今回の漏えい対象になっていると整理できます。
一方、個人向けの普通預金口座を持っているだけで、今回の漏えい対象になったという発表ではありません。
また、対象となる法人の業種や企業規模、対象者の具体的な一覧などは、11月5日の公式発表では公表されていません。
どのメールアドレスが対象になったのかを確認したい場合は、後述する専用問い合わせ窓口を利用できます。
個人口座を持っている人も対象になるのか？
三井住友銀行の公式発表では、今回のメール配信サービスについて、主に法人顧客向けに利用していたと説明されています。
一部の個人事業主も対象ですが、一般の個人口座保有者全員が対象になったとは説明されていません。
ただし、個人口座も持っている人が、別途、法人の担当者や個人事業主として三井住友銀行から対象となるメールを受信していた可能性はあります。
そのため、「個人口座を持っているから対象」「個人口座しか持っていないから絶対に対象外」といった判断は、公式発表だけではできません。
今回のポイントは、銀行口座の保有そのものではなく、不正アクセスを受けたメール配信サービスに宛先情報が保存されていたかどうかです。
22万7216件は22万人という意味なのか？
三井住友銀行が公表した227,216件は、メールアドレスの件数です。
同じ企業が複数のメールアドレスを使用していたり、同じ人が仕事用と個人事業用などの異なるアドレスを使用していたりする可能性もあります。
そのため、この数字をそのまま227,216人と置き換えることはできません。
また、銀行は対象となる法人・個人事業主の実数や、重複を除いた対象者数について、11月5日の発表では明らかにしていません。
今回確認されたのは、あくまでメール配信に利用された227,216件のメールアドレスが外部に漏えいしたことです。
対象期間は7月1日から10月31日｜過去のメールも含まれるのか？
今回の情報漏えいでは、対象となるメール配信の期間も公表されています。
三井住友銀行の11月5日付公式発表によると、アララ株式会社からは、2026年7月1日から10月31日までに同行から配信したメールの宛先情報が漏えいしたと報告を受けています。
これは、2026年7月から10月までの約4か月間に利用されたメールアドレスが対象に含まれているということです。
ただし、この期間中に三井住友銀行から何らかのメールを受信した人が、すべて漏えい対象になったという意味ではありません。
同行は複数のメール配信手段を利用していると考えられますが、今回対象となったのは、公式発表で示されたアララメッセージを利用したメール配信です。
また、具体的にどの件名のメールが対象だったのか、どの配信サービスの案内が含まれていたのかについては、11月5日時点で詳しい一覧は公表されていません。
ほかのアララ関連企業と対象期間が異なる
今回の三井住友銀行の発表で注意したいのが、対象となるメール配信期間です。
同じアララ株式会社への不正アクセスに関連する企業でも、漏えい対象として公表されたメール配信期間が異なります。
例えば、大阪ガスの「FitDish」や小田急トラベルでは、2026年10月8日から29日までに配信されたメールアドレスが対象と説明されています。
一方、三井住友銀行では2026年7月1日から10月31日までのメール配信先が対象です。
そのため、ほかの企業が公表した「10月8日～29日」という期間を、そのまま三井住友銀行の対象期間として扱うことはできません。
また、この期間はメール配信に利用された宛先情報の対象期間であり、第三者による不正アクセスが7月1日から続いていたと確定したものではありません。
不正アクセスの発生時期や詳しい経緯については、三井住友銀行がアララ株式会社と連携して調査を続けています。
口座番号・預金残高・暗証番号も流出したのか？
今回の情報漏えいについて、三井住友銀行は、アララ株式会社から漏えいした情報はメールアドレスに限られると報告を受けたと説明しています。
銀行が11月5日の公式発表で、漏えい情報に含まれていないと明記したのは次の項目です。
- 銀行口座番号
- 預金残高
- 暗証番号
- インターネットバンキングのログインID
- インターネットバンキングのパスワード
つまり、今回確認された漏えいは、銀行口座の中身やネットバンキングの認証情報が外部へ持ち出されたというものではありません。
ただし、メールアドレスの流出が確認されたからといって、銀行口座番号や暗証番号も漏えいしたと判断することはできません。
銀行は今後も不正アクセスの発生時期や経緯、影響範囲について確認を進める方針です。
現時点の公式発表で確認できる事実と、今後の調査で明らかになる可能性がある情報を区別することが重要です。
クレジットカード情報への影響はあるのか？
三井住友銀行は今回、漏えいした情報はメールアドレスに限られると説明しています。
そのため、今回のアララメッセージへの不正アクセスによって、クレジットカード番号などが流出したという発表ではありません。
また、三井住友銀行は、メールなどで顧客にパスワードやクレジットカード情報の入力を求めることはないと明確に注意喚起しています。
ただし、銀行やカード会社を装った偽サイトに利用者が自分でカード情報を入力してしまった場合には、今回の漏えいとは別に不正利用の危険があります。
メールアドレスが漏えいしたことと、クレジットカードが不正利用されたことは同じ意味ではありません。
OliveやSMBCダイレクトへの影響は？
三井住友銀行では、個人向け総合金融サービス「Olive」や、インターネットバンキング「SMBCダイレクト」などを提供しています。
今回の公式発表では、SMBCダイレクトなどのログインID・パスワードは漏えいした情報に含まれていないと説明されています。
また、今回の不正アクセスは、アララ株式会社が提供する外部メール配信サービスで発生したものです。
そのため、今回の発表だけを根拠に、OliveやSMBCダイレクトの口座情報を管理するシステムが直接侵入されたと判断することはできません。
11月5日の発表では、今回の情報漏えいを理由とするOliveやSMBCダイレクトの全面停止なども案内されていません。
ただし、今後のサービス状況やセキュリティ情報については、三井住友銀行の公式サイトで確認することが重要です。
なお、今回の漏えいで確認された情報がメールアドレスのみである以上、すべての利用者が直ちに暗証番号やパスワードを変更しなければならないという公式案内はありません。
一方、不審なサイトへ認証情報を入力してしまった場合には、状況に応じて速やかな対応が必要です。
なぜメールアドレスが漏えいした？10月28日は「漏えいなし」と報告されていた
三井住友銀行が今回の情報漏えいを公表したのは11月5日ですが、委託先から不正アクセスの連絡を受けたのは10月28日でした。
銀行の公式発表によると、10月28日にはアララ株式会社から、第三者による不正アクセスが発生したものの、ログ調査の結果、三井住友銀行に関する情報漏えいは確認されていないとの報告を受けています。
しかし、その後の調査で影響範囲が広がり、11月2日には同行がメール配信に利用したメールアドレスの外部漏えいが確認されたとの報告を受けました。
その後、11月5日に227,216件という件数を正式に公表しています。
今回の経緯をまとめると、次のようになります。
| 日付 | 確認された経緯 |
|---|---|
| 2026年10月28日 | アララから不正アクセスの連絡を受領。当初は情報漏えいが確認されていないとの報告 |
| 2026年10月31日 | アララメッセージがサービスを全面停止 |
| 2026年11月2日 | アララから三井住友銀行のメールアドレスの外部漏えいが確認されたとの報告 |
| 2026年11月5日 | 三井住友銀行が227,216件のメールアドレス漏えいを公表 |
つまり、10月28日の時点では漏えいが確認されていないと説明されていましたが、その後の調査によって対象に含まれていたことが判明したという経緯です。
ただし、なぜ当初の調査で漏えいが確認されなかったのかについて、具体的な判断過程や調査上の問題がすべて明らかになったわけではありません。
三井住友銀行はアララと連携し、不正アクセスの発生時期や発生経緯、影響範囲などについて引き続き確認を進めると説明しています。
アララメッセージの約7700万件流出との関係は？
今回の三井住友銀行のメールアドレス漏えいは、アララ株式会社が提供する「アララメッセージ」への不正アクセスに関連しています。
アララは2026年11月2日の第2報で、契約企業向けサーバー97台に不正アクセスが及び、メールアドレス約7,700万件が持ち出された、または持ち出されたおそれがあると説明しています。
影響を受ける可能性のある契約企業は最大約380社と推計されており、アソビュー、ビックカメラグループ、ソラシドエアなども個別の影響を公表しています。
今回、三井住友銀行もこの一連の不正アクセスによってメールアドレスが流出した企業の一つであることが明らかになりました。
ただし、三井住友銀行の227,216件を、アララが公表した約7,700万件に単純に加算することはできません。
約7,700万件はアララの契約企業向け環境に関する全体規模であり、各企業が個別に発表したメールアドレスが含まれる可能性があります。
また、アララの全体件数は、同じ人が複数のメールアドレスを使っている場合などもあるため、約7,700万人の情報が流出したと確定した数字ではありません。
アララメッセージ全体の被害規模や影響企業、不審メールの内容については、horimemoの関連記事「アララメッセージで約7700万件の情報流出か｜不審メール713万通・対象者とサービス停止」で詳しく整理しています。
アララでは最大713万通の不審メールも送信されていた
アララの11月2日付第2報では、情報流出とは別に、メール配信システムが第三者に不正利用され、クレジットカード会社を装った不審メールが最大約713万通送信されていたことも公表されています。
不審メールは10月28日から30日にかけて送信され、送信元には「news@arara.com」が使用されていました。
件名には「利用内容確認のご依頼」「ご利用明細確認のご依頼」などが使われていたと説明されています。
ただし、アララによると、不審メールの送信先は第三者が外部から持ち込んだメールアドレスでした。
そのため、最大713万通の不審メールが、三井住友銀行から流出した227,216件のメールアドレス宛てに送られたと断定することはできません。
また、最大713万通はメールの送信件数であり、713万人が受信したことや同じ人数が被害に遭ったことを意味するものではありません。
参考：アララ株式会社「アララメッセージへの不正アクセスによる情報流出およびサービス停止について（第2報）」（2026年11月2日・PDF）
三井住友銀行を装う不審メールに注意｜受け取った場合はどうする？
今回、三井住友銀行のメール配信に使用された227,216件のメールアドレスが外部に漏えいしたことで、今後は銀行や関係会社を装った不審なメールへの注意が必要です。
銀行は11月5日の公式発表で、今回の情報漏えいに関連して、同行などを装った不審メールが送信される可能性があると注意を呼びかけています。
例えば、銀行を装ったメールが届き、「口座が停止されました」「本人確認が必要です」「不正利用を確認したためログインしてください」などと案内された場合、慌ててリンクを開かないようにしてください。
こうした内容は一般的なフィッシング詐欺の例であり、今回流出したメールアドレスを使って実際に同じ文面が送られたと確認されたものではありません。
三井住友銀行は、メールでパスワードやクレジットカード情報の入力を求めることはないと説明しています。
また、送信元のメールアドレスが本物らしく見えても、差出人が偽装されている可能性があります。
不審なメールに記載されたURLからログインするのではなく、公式アプリや自分で登録したブックマークから銀行のサービスにアクセスすることが重要です。
不審メールを受け取っただけの場合
不審なメールを受信しただけで、直ちに銀行口座の暗証番号やパスワードが漏えいしたという意味ではありません。
ただし、本文に記載されたURLや添付ファイルは不用意に開かないでください。
三井住友銀行の公式FAQでも、不審なメールを受信した場合はリンクや添付ファイルを開かずに削除するよう案内しています。
また、公式の送信元メールアドレスと同じ文字列が表示されていても、偽装されている場合があるため、メールの内容やURLを確認することが重要です。
参考：三井住友銀行「三井住友銀行から不審なメールが届いた場合の対応方法は？」
偽サイトにID・パスワードを入力してしまった場合
三井住友銀行を装った偽サイトにログインIDやパスワードを入力してしまった場合は、速やかに正規の銀行窓口へ相談してください。
また、公式サイトや公式アプリからログイン情報を変更できる場合には、案内に従って必要な手続きを行うことが重要です。
同じパスワードをほかのサービスでも使用している場合は、そちらについても変更を検討してください。
なお、今回のメールアドレス漏えいについて、インターネットバンキングのログインID・パスワードが外部へ持ち出されたという発表はありません。
ここで説明しているのは、今回の情報漏えいとは別に、利用者自身が偽サイトへログイン情報を入力してしまった場合の対処法です。
暗証番号やカード情報を入力してしまった場合
不審なメールから誘導されたサイトで銀行口座の暗証番号やクレジットカード番号を入力してしまった場合は、速やかに銀行やカード発行会社の公式窓口へ連絡してください。
必要に応じて、口座やカードの利用状況の確認、暗証番号の変更、カードの利用停止や再発行などの案内を受けることができます。
また、身に覚えのない振込や引き落としがないか確認することも重要です。
ただし、今回漏えいしたと公表された情報はメールアドレスです。
今回のメールアドレス漏えいだけを理由に、すべての利用者が口座やカードを停止しなければならないという公式案内はありません。
不審なサイトへ重要な情報を入力してしまった場合と、メールアドレスだけが漏えいした場合とでは、必要な対応が異なります。
対象者には通知が届く？自分のメールアドレスの確認方法
今回の情報漏えいについて、三井住友銀行は11月5日の公式発表で、アララ株式会社と連携して影響範囲などの詳細を確認していると説明しています。
一方、対象となったメールアドレスの一覧や、対象者への個別通知の開始日・通知方法については、同日の発表では具体的に案内されていません。
そのため、個別の通知が届いていないことだけで、自分のメールアドレスが対象外だったと判断することはできません。
また、一般の利用者がメールアドレスを入力するだけで今回の漏えい対象かどうかを確認できる専用ページも、11月5日の公式発表では案内されていません。
対象になっているか心配な場合は、銀行が今回の件について設けた専用問い合わせ窓口を利用できます。
なお、不正アクセスに関連する個別通知を装った偽メールが届く可能性もあるため、メールに記載されたリンクや電話番号をそのまま信用せず、公式サイトで連絡先を確認してください。
三井住友銀行の専用問い合わせ窓口はどこ？11月30日まで受付
三井住友銀行は今回のメールアドレス漏えいについて、専用の問い合わせ窓口を設けています。
電話番号と受付期間は、11月5日の公式発表で次のように案内されています。
| 問い合わせ先 | 三井住友銀行・本件専用窓口 |
| 電話番号 | 0120-917-826 |
| 受付開始日 | 2026年11月5日（木） |
| 受付終了日 | 2026年11月30日（月） |
| 受付時間 | 9:00～17:00 |
| 受付曜日 | 月曜日～金曜日（祝日を除く） |
今回のメールアドレス漏えいについて確認したいことがある場合は、この専用窓口を利用できます。
ただし、受付期間は2026年11月30日までと案内されています。12月以降も同じ番号で問い合わせを受け付けるかどうかについては、今回の発表では明らかになっていません。
受付期間や連絡先に変更がある可能性もあるため、最新の情報は三井住友銀行の公式サイトで確認してください。
また、今回の情報漏えいとは関係のない通常の口座手続きやインターネットバンキングの問い合わせについては、それぞれの公式窓口を利用してください。
公式資料：三井住友銀行「メール配信委託先への不正アクセスによる情報漏えいについて」（2026年11月5日・PDF）
まとめ｜三井住友銀行の22万7216件は主に法人向けメールの宛先情報
2026年11月5日、三井住友銀行は、メール配信委託先のアララ株式会社への不正アクセスによって、メールアドレス227,216件が外部に漏えいしたと発表しました。
対象となったのは、同行がアララメッセージを利用して配信したメールの宛先情報です。
同サービスは主に法人顧客向けのメール配信に使用されており、一部の個人事業主向けにも利用されていました。
今回の対象となる配信期間は、2026年7月1日から10月31日までです。
一方、銀行口座番号、預金残高、暗証番号、インターネットバンキングのログインID・パスワードなどは漏えい情報に含まれていないと説明されています。
そのため、今回の発表をもって、三井住友銀行の個人口座を持つすべての人の情報が漏えいしたと判断することはできません。
今回の経緯では、10月28日にアララから不正アクセスの連絡があったものの、当初は情報漏えいが確認されていないとの報告を受けていました。
その後の調査で、11月2日に同行が利用したメールアドレスの外部流出が判明し、11月5日に227,216件という対象規模が公表されました。
三井住友銀行は、アララと連携して不正アクセスの発生時期や経緯、影響範囲などの確認を続けています。
また、メールアドレスの漏えいによって、銀行や関係会社を装った不審メールが送られる可能性があるため、身に覚えのないメールのリンクや添付ファイルには注意が必要です。
今回の件については、0120-917-826が専用問い合わせ窓口として案内されています。受付期間は2026年11月5日から30日まで、受付時間は平日9時から17時までです。
今後は、対象者への個別連絡の方法や、アララ株式会社の追加調査による影響範囲の確定などが重要な確認事項になります。
引き続き、三井住友銀行とアララ株式会社の公式発表を確認することが重要です。
主な参考資料と確認日
情報確認日：2026年11月5日（日本時間）。三井住友銀行が11月5日に公表した「メール配信委託先への不正アクセスによる情報漏えいについて」を最優先に、アララ株式会社の11月2日付第2報、三井住友銀行の公式FAQ、共同通信などの報道を確認しました。
三井住友銀行の公式発表によると、漏えいが確認された情報はメールアドレス227,216件です。対象は、主に法人の顧客向け、一部の個人事業主向けに利用したメール配信の宛先情報で、対象となる配信期間は2026年7月1日から10月31日までとされています。
銀行口座番号、預金残高、暗証番号、インターネットバンキングのログインID・パスワードなどは漏えい情報に含まれていないと説明されています。また、今回の発表は、一般の個人口座保有者全員が漏えい対象になったというものではありません。
227,216件はメールアドレスの件数であり、同じ人数の個人情報が漏えいしたと確定した数字ではありません。具体的な対象となる法人や個人事業主の一覧、個別通知の開始日・方法、対象者全員への連絡完了時期などについては、11月5日時点の公式発表では明らかになっていません。
三井住友銀行は、10月28日にアララから不正アクセスの発生と情報漏えいが確認されていない旨の報告を受けましたが、その後の調査によって11月2日に同行のメールアドレスの外部流出が確認されたと説明しています。現在も、不正アクセスの発生時期や経緯、影響範囲の詳細について確認を進めています。
今回の約22万7千件は、アララメッセージへの不正アクセスによる一連の影響に関連するものであり、アララが公表した約7,700万件に単純に加算できるものではありません。また、アララが公表した最大約713万通の不審メールについて、その送信先が今回の三井住友銀行の流出対象メールアドレスと一致することは確認されていません。
三井住友銀行の専用問い合わせ窓口は0120-917-826で、受付期間は2026年11月5日から11月30日まで、受付時間は月曜日から金曜日（祝日を除く）の9時から17時までです。今後、受付期間や対応内容が変更される可能性があるため、最新の案内は公式サイトで確認してください。
コメント