漏えいは、自社ではなく「委託先」で起きた

大阪ガスが展開する惣菜の定期便サービスで、利用者のメールアドレスが3万件超流出しました。原因は大阪ガス自身のシステムではなく、メール配信を任せていた外部の委託先です。「自社の外」で起きた事故に、なぜ自社が対応と説明を迫られるのかを読み解きます。お客さまのデータを預かる、小売の話です。

① いま、何が起きているのか

大阪ガスは2026年11月2日、同社が運営する惣菜の定期便サービス「FitDish」において、メール配信業務を委託しているアララ株式会社のメール配信サービスが第三者による不正アクセスを受け、利用者のメールアドレスが流出したと発表しました。

出典：大阪ガス「当社委託先のメール配信サービスへの不正アクセスによるお客さま情報の流出について」（2026年11月2日）

流出件数は34,489件で、対象は2026年10月8日から29日までの間にFitDishから配信されたメールの宛先アドレスです。大阪ガスは、氏名・住所・電話番号・クレジットカード情報・購買データは今回の流出対象に含まれないとしています。流出したアドレス宛てに、FitDishを装った不審なメール（なりすましメールやフィッシングメール）が届く可能性があるとして、心当たりのないメール内のリンクを開かないことや、不審な連絡があった場合は問い合わせ窓口へ相談することを利用者に呼びかけています。

② なぜ、これが重要なのか

このニュースの要点は、事故の発生場所と、責任を問われる場所がずれていることです。システムの脆弱性があったのはアララ社のメール配信サービスであり、大阪ガス自身のシステムではありません。それでも発表の主体は大阪ガスであり、利用者への呼びかけや問い合わせ対応も大阪ガスが担っています。総合エネルギー化の解説章が示すように、ガス会社は料金収入だけに頼らず、宅配や会員サービスのような非ガス事業を広げています。こうした事業の多くは、メール配信・決済・顧客管理といった機能を外部のSaaS事業者に委ねて成り立っており、そこにガス事業にはなかった種類のリスク(個人情報の取り扱い・サイバーセキュリティ)が入り込みます。

③ だとすると、業界はこう動く

同じ構図は、FitDishのような会員制サービスを持つ他のガス会社にも当てはまります。メール配信、問い合わせフォーム、会員サイトのログインなど、顧客と直接つながる仕組みの多くは外部ベンダーのシステムの上に成り立っています。今回のように委託先のシステムで事故が起きた場合でも、利用者から見た「相手」は委託した会社であり、信頼への影響はそちらに及びます。業界各社は、委託先が個人情報をどう扱っているか、事故が起きたときにどれだけ早く連絡が来る契約になっているかを、あらためて確認する動きが広がると見られます。大阪ガスは、流出していない情報(氏名・住所・電話番号・カード情報)も発表の中で明示しています。

④ 自分の仕事では、どう考えるか

マーケティングや会員サービス、カスタマー対応に関わる仕事なら、自分が使っているメール配信・会員管理の仕組みが、どの外部サービスの上で動いているかを一度確認してみてください。IT・情報システムの仕事なら、委託先で事故が起きたときに、自社に何がどのタイミングで連絡される契約になっているかを把握しているでしょうか。直接の担当でなくても、社内のメルマガやアンケートで外部の配信サービスを使う場面があれば、そこに流している情報が何かを思い出してみる価値があります。「自社のシステムは安全」だけでは、委託先を経由したリスクは見えません。

料金・市場の解説章が触れているとおり、小売の競争が進むほど、会社は顧客との接点を増やすために様々な外部サービスを組み合わせるようになります。その接点の数だけ、情報が通る経路も増えていきます。

まとめ（3行）

• 大阪ガスは2026年11月2日、惣菜の定期便「FitDish」で委託先アララ社のメール配信サービスが不正アクセスを受け、メールアドレス34,489件(10月8日〜29日配信分)が流出したと発表
• 氏名・住所・電話番号・クレジットカード情報・購買データは対象外。なりすましメールへの注意を呼びかけている
• 事故は委託先のシステムで起きたが、説明と対応の責任は委託した会社に残る。委託先の情報管理は、自社のそれと同じ重みで確認する必要がある