【約1,000件】栃木銀行・琉球銀行でメールアドレス流出｜メール配信サービスに不正アクセス

栃木銀行と琉球銀行は2026年11月2日、メール配信サービスへの第三者による不正アクセスで、一部の顧客のメールアドレスが外部に流出したと公表しました。栃木銀行は11月3日の第2報で、流出は約1,000件のメールアドレスで、利用していたのはアララ株式会社のメール配信サーバーだったと明らかにしています。この記事では、両行の発表内容と、利用者が気をつけたい点を整理します。

流出したのはメールアドレスだけ、銀行のシステムは侵入されていない
利用者への影響：銀行を装ったフィッシングメールに注意
取引のある人が今できること
1. 銀行からのメールは、公式アプリやブックマークから確認する
2. 個別の連絡と続報を待ち、不安なら専用窓口へ
考察：委託先経由の漏えいは、利用者側の備えで被害を防げる
まとめ
関連記事

流出したのはメールアドレスだけ、銀行のシステムは侵入されていない

両行とも、不正アクセスを受けたのは外部のメール配信サービスで、銀行自身のシステムではないと説明しています。配信サービスの提供会社（琉球銀行の発表では「委託先」）から11月2日に連絡を受けて判明しました。

項目	栃木銀行	琉球銀行
公表日	11月2日（第1報）、11月3日（第2報）	11月2日
不正アクセスを受けた先	アララ株式会社のメール配信サーバー（第2報で公表）	委託先のメール配信サービス（社名は発表文に記載なし）
流出した情報	メールアドレス約1,000件。10月8日〜29日に同行が送ったメールの一部の宛先	メールアドレスのみ。対象は確認中
流出が確認されていない情報	氏名、住所、口座情報、暗証番号など	（メールアドレスのみと報告を受けている）
メール配信	当該サービスを使った配信を停止。安全が確認されるまで再開しない
対象者への連絡	対象のメールアドレスを特定でき次第、個別に知らせる
専用窓口	0120-29-6043（平日9時〜17時）	0120-19-8689（平日9時〜17時）

琉球銀行の発表は11月3日時点で第1報のみで、委託先の社名や件数は書かれていません。両行の発表は構成や文面がよく似ていますが、琉球銀行が栃木銀行と同じ事業者を使っていたかどうかは、同行の発表からは確認できません。

利用者への影響：銀行を装ったフィッシングメールに注意

メールアドレスだけでは口座から不正に引き出されることはありません。ただ、流出したアドレスは「実際にその銀行と取引している人の連絡先」として悪用されるおそれがあります。両行とも、銀行や関係会社を名乗る不審なメールが届く可能性があるとして注意を呼びかけています。

身に覚えのないメールの本文にあるURLを開かない。添付ファイルも開かない
メールから開いたページで、個人情報・口座情報・暗証番号を入力しない
両行とも、メールで暗証番号などを尋ねることはないとしている

取引のある人が今できること

銀行からのメールは、公式アプリやブックマークから確認する

当面、両行の名前でメールが届いても、本文のリンクは使わないのが安全です。お知らせの中身は、公式アプリや自分で登録したブックマークから銀行のサイトを開いて確かめます。両行は当該サービスでの配信を止めているため、普段と違う経路で届くメールにはなおさら注意が必要です。

個別の連絡と続報を待ち、不安なら専用窓口へ

対象者には銀行から個別に連絡が届く予定です。自分が対象かどうか気になる場合や、不審なメールを受け取った場合は、上の表の専用窓口に電話で問い合わせられます。両行とも、新しい情報がわかり次第ホームページで続報を出すとしています。

考察：委託先経由の漏えいは、利用者側の備えで被害を防げる

アララのメール配信サービスへの不正アクセスは、銀行以外の事業者にも影響が広がっています。銀行のシステムが無事でも、お知らせメールの配信を外部に任せている以上、宛先のアドレスは漏れうるということです。メールアドレスの流出そのものより、その後に届く「本物らしい偽メール」のほうが実害につながりやすいため、リンクを踏まない習慣がいちばんの対策になります。