メディア4uのSMS配信システムへの不正アクセス｜アカウント管理情報の流出 22,928件を精査 2026

メディア4uの情報漏洩について、株式会社メディア4uは2026年7月14日、同社が提供するSMS配信システムが第三者から不正アクセスを受け、管理コンソールのアカウント管理情報の一覧ファイルが外部に流出したと発表しました。ファイルの総レコード数は95,412件で、そのうち担当者名や個人を識別し得るメールアドレスなど、個人情報に該当し得る情報を含む可能性があるとして精査したレコードは22,928件です。7月17日に第2報が出て、2026年10月30日には第三者専門機関の調査が終わったとする最終報が公表されました。 2026年11月1日時点で分かっていることは、最終報のとおり、漏えいの範囲はこれまでの報告を超えて広がっていないこと、6月24日の封じ込めの後に新たな不正アクセスと二次被害は確認されていないこと、会社が本件は収束したと判断していることです。 SMSの配信先である一般の人の電話番号やSMSの本文は、流出が確認されたファイルに含まれていません。契約企業の担当者がまずすることは、管理コンソールのパスワードの見直しと、メディア4uを名乗る不審なメールやSMSへの注意です。

この記事は、2026年11月1日時点でメディア4uのニュースリリース一覧を開き、第1報、第2報、最終報の3本と、親会社の株式会社ファブリカホールディングスの適時開示を読み直して確かめた内容だけで書いています。報道の数字や推測は入れていません。

メディア4uのSMS配信システムで何が起きたのか

メディア4uは、企業や自治体向けに「オーロラSMS（Aurora SMS）」などの法人向けコミュニケーションの仕組みを提供している会社です。SMS配信システムとは、企業が顧客の携帯電話番号あてに、予約の確認、本人確認の認証コード、料金の案内といった短いメッセージをまとめて送るためのサービスのことです。企業の担当者は、管理コンソールと呼ばれる管理画面にログインして、送信の設定や送信の履歴を扱います。

今回の発表の骨子は次のとおりです。

• 2026年6月24日、SMS配信システムへの外部からのサイバー攻撃（不正アクセス）を確認した
• 外部に流出したことが確認されたのは、管理コンソールに係るアカウント管理情報の一覧ファイル
• ファイルの総レコード数は95,412件、そのうち個人情報に該当し得る情報を含む可能性があるとして精査したのは22,928件
• パスワード、パスワードハッシュ、APIキー、認証トークン、決済・請求に関する情報は含まれていない
• SMSの配信先であるエンドユーザーの電話番号、氏名、SMS送信本文、問い合わせ内容などは、流出が確認されたファイルに含まれていない
• 第三者がシステムを通じて不正にSMSを送信した事実があり、確認された件数は280件

ここで言うエンドユーザーとは、企業から予約確認や認証コードのSMSを受け取る一般の人のことです。今回流出したのは、メディア4uと契約している企業や団体の側の、アカウントを管理するための情報です。一般の人の携帯電話番号の一覧が出回ったという発表ではありません。

親会社のファブリカホールディングスも、2026年7月14日に「サイバー攻撃による不正アクセス及び情報漏洩等に関するお知らせとお詫び」を適時開示しています。適時開示とは、上場会社が投資家に向けて、重要な出来事を証券取引所のルールに沿って速やかに知らせる発表のことです。メディア4uの第1報は、この開示と同じ日に、取引先向けにより詳しく説明するためのものとして出されています。

公表の経緯（第1報・第2報・最終報）

2026年11月1日時点で、メディア4uのニュースリリース一覧に掲載されている本件の発表は3本です。日付と、それぞれで分かったことを並べると次のようになります。

日付	出来事	分かったこと
2026年6月24日	不正アクセスを確認	不正アクセス経路の遮断と緊急メンテナンス、アクセスログの保全、外部専門機関との調査を開始。会社を装った不審なメールへの注意喚起も案内
2026年6月24日から7月13日	予防的な措置と精査	管理用認証情報の全件無効化と再発行、原因となった脆弱性の修正、ログイン監視の強化、流出した情報の内容と件数の特定
2026年7月14日	第1報を公表	流出したのはアカウント管理情報の一覧ファイル。総レコード数95,412件、精査した件数22,928件、不正送信280件
2026年7月17日	第2報を公表	対応の経過と、取引先から多く寄せられた質問への回答を14問の形で整理
2026年10月30日	最終報を公表	第三者専門機関の調査が完了。内部調査の内容と相違なし。漏えい範囲は拡大していない。本件は収束と判断

第1報と同じ日に、親会社の適時開示も出ています。適時開示の時点では、不正送信の内容、送信元として使われたアカウント、受信した人への影響は調査中とされていました。第2報では、不正送信は侵入口となった特定の1社のクライアントアカウントを通じて行われたもので、ほかのクライアントのアカウントから不正送信が行われた事実は確認されていないと説明されています。

最終報の題は「SMS配信システム『Aurora SMS CONSOLE』への不正アクセスに関する調査完了のお知らせ（最終報）」です。第1報と第2報では「SMS配信システム」とだけ書かれていた対象のシステムが、最終報で「Aurora SMS CONSOLE」と名前で示されました。最終報は、本件に関する一連の調査を終えたと説明しており、今後は新たに報告すべき事実が判明した場合に報告するとしています。

検索すると、第1報や第2報だけを取り上げた記事が先に出てくることがあります。今の状況を知りたいときは、メディア4uの最終報を先に読み、そこから第1報と第2報にさかのぼると、話の順番を取り違えずに済みます。

流出が確認された情報と含まれない情報

第1報と第2報では、流出したファイルに含まれる項目と、含まれない項目が分けて書かれています。

区分	項目
流出が確認されたファイルに含まれる主な項目	アカウントID
流出が確認されたファイルに含まれる主な項目	企業名、営業所名
流出が確認されたファイルに含まれる主な項目	担当者名
流出が確認されたファイルに含まれる主な項目	都道府県、郵便番号
流出が確認されたファイルに含まれる主な項目	通知用メールアドレス
含まれていない情報	パスワード、パスワードハッシュ
含まれていない情報	APIキー、認証トークン
含まれていない情報	決済・請求に関する情報
流出が確認されたファイルに含まれていない情報	SMS配信先（エンドユーザー）の電話番号、氏名
流出が確認されたファイルに含まれていない情報	SMS送信本文、問い合わせ内容など

パスワードハッシュとは、パスワードをそのまま保存せず、元に戻しにくい形に変換して保存した値のことです。APIキーと認証トークンは、ほかのシステムからSMS配信システムを呼び出すときに使う合い言葉のようなものです。これらが含まれていないため、流出したファイルだけを使って管理コンソールにすぐログインしたり、外部から送信の機能を呼び出したりすることはできないと、会社は第2報で説明しています。

一方で、アカウントIDが流出したファイルに含まれている点には注意が要ります。アカウントIDはログインのときに入力する識別子です。パスワードが推測されやすいものだったり、ほかのサービスと同じものを使い回していたりすると、アカウントIDと組み合わせて不正にログインされるおそれは否定できません。第2報は、すべての契約でパスワードの変更を勧めています。

第2報では、このファイルが、契約企業の管理コンソールの中のデータではなく、メディア4uが契約企業のアカウントを管理するために自社で持っていた登録情報の一覧だと説明されています。

当該ファイルは、貴社の管理コンソール上のデータではなく、当社がご契約企業様のアカウントを管理するために当社側で保有していた、ご契約企業様およびそのご担当者様の登録情報の一覧です。SMS配信先（エンドユーザー様）の情報は含まれておりません。 出典: media4u.co.jp

95,412件と22,928件の読み方

件数が2つ出てくるので、混同しないように整理しておきます。

95,412件は、流出した一覧ファイルの総レコード数です。レコードとは、表の1行のことです。1つのアカウントや1人の担当者の登録が、1行として記録されていると考えると分かりやすいでしょう。

22,928件は、そのうち担当者名や個人を識別し得るメールアドレスなど、個人情報に該当し得る情報を含む可能性があるレコードとして精査した件数です。会社は、これらの件数はアカウント管理上のレコード数または精査対象件数で、対象となる本人の数とは一致しない場合があると書いています。

なぜ人数と一致しないのかについて、第2報はこう説明しています。担当者名の欄は正式な氏名でなくても登録できる仕様で、氏名やメールアドレスが登録されていないレコードや、識別記号だけが登録されたレコードも多く含まれている、というものです。たとえば担当者名の欄に「営業部」「予約担当」のような部署の呼び名を書いていた場合、それは特定の個人を指すとは限りません。逆に、同じ人が複数のアカウントに担当者として登録されていれば、1人で複数のレコードに出てくることもあります。

第2報の時点では、レコードごとに個人情報に当たるかどうかの整理を、個人情報保護委員会に確認しているとしていました。個人情報保護委員会とは、個人情報の取り扱いについて事業者を監督する国の機関です。最終報は、外部に持ち出されたファイルは特定されており、個人データの漏えい範囲はこれまでの報告を超えて拡大するものではないことを確認したと書いています。レコードごとの該当性の整理がどう決着したかの詳しい数字は、最終報には示されていません。そのため、この記事でも件数は22,928件を精査した件数として書くにとどめます。

題に「22,928件を精査」と書いたのは、この数字が「個人情報が漏れた人の数」ではなく「個人情報に当たり得るとして調べた行の数」だからです。報道などで「2万人分が流出」のように人数として読める書き方を見かけても、公式の発表は件数と人数を分けていることを覚えておいてください。

SMSの配信先の情報はどうなったか

一般の人にとって一番気になるのは、自分の携帯電話番号や、受け取ったSMSの中身が漏れていないかという点だと思います。

第2報の質問2で、会社は、SMS配信先の電話番号、氏名、SMS送信本文、問い合わせ内容などは、今回流出が確認されたファイルには含まれておらず、現時点で流出の事実は確認されていないと答えています。あわせて、同社のサービスには配信先リストを保存するアドレス帳の機能自体がなく、配信先の情報を恒常的に持っていないとも説明しています。

最終報では、第三者専門機関の調査の結果も内部調査と相違なく、漏えいの範囲は拡大していないとされました。2026年11月1日時点の公式発表に沿って言えば、企業からSMSを受け取っていただけの人の電話番号やメッセージの中身が、この件で流出したとは発表されていません。

ただし、次の2点は分けて考えておく必要があります。

• 流出した情報には契約企業の名前が含まれているため、その企業を装った偽のSMSやメールが作られやすくなる可能性はある
• 不正送信された280件のSMSを実際に受け取った人がいる

前者は、流出した情報そのものが一般の人の情報でなくても起こり得ることです。後者については、次の節で詳しく説明します。

不正送信された280件のSMS

今回の件では、情報の流出とは別に、第三者がメディア4uのシステムを通じて不正にSMSを送った事実も確認されています。件数は280件です。

第三者による不正なSMS送信を確認しております。現時点で確認されている不正送信の件数は、第1報にてお知らせのとおり280件です。 現時点の調査では、侵入口となった特定の1社のクライアントアカウントを通じて行われたものであり、その他のクライアント様のアカウントから不正送信が行われた事実は確認されておりません。 出典: media4u.co.jp

不正送信とは、企業になりすました第三者が、本来その企業が送るはずのないメッセージを、正規の配信の仕組みを使って送ったということです。正規の仕組みを通るため、受け取った側のスマートフォンでは、ふだんその企業から届くSMSと同じ送信元として表示されることがあります。

不正送信されたSMSの本文がどのようなものだったか、受け取った人にどのような影響があったかは、公式発表には具体的に書かれていません。侵入口となった企業の名前や攻撃の手法の詳しい内容も、当事者の保護や調査への影響、ほかの顧客の保護の観点から開示を控えるとされています。この記事でも、どの企業の名前で送られたのかは推測しません。

会社は第2報で、これまでにメディア4uから個別の連絡が入っていないクライアントでは、不正送信が行われた事実は確認されていないと書いています。つまり、不正送信の影響を受けたのは特定の1社のアカウントに限られ、その会社には個別に連絡がされているということです。

一般の人ができることは、いつも使っている会社の名前でSMSが届いても、本文のURLをすぐに開かないことです。とくに「お支払いが確認できません」「アカウントを確認してください」のように、ログインやカード番号の入力を急がせる内容は、送信元の表示が正しく見えても、公式アプリや自分でブックマークした公式サイトから確かめるほうが安全です。SMSを使った詐欺の見分け方は、スミッシング詐欺の見分け方｜SMSの本文とURLで判定する手順で手順を追って説明しています。

原因について公表で分かっていること

第2報と親会社の適時開示で示されている原因は、外部からのサイバー攻撃による不正アクセスです。第2報の対応の経過には、原因となった脆弱性を修正したと書かれています。脆弱性とは、システムの設計や作りの中にある弱点のことで、攻撃者はそこを使って本来入れない場所に入り込みます。

ただ、その脆弱性がどの部分のどのような弱点だったのか、侵入口となったクライアントのアカウントがどのように使われたのかといった詳しい内容は公表されていません。第2報の質問13では、侵入口となった企業名や攻撃手法の詳細について、開示を差し控えると明記しています。

最終報では、前回「精査および判断を要する事象」として伝えていた件についても、被害や影響は確認されていないとしています。この「精査および判断を要する事象」が何を指していたのかは、最終報にも具体的な説明はありません。分かっていないことは「公表されていない」として受け止め、推測で埋めないようにしてください。

公表までに3週間ほどかかった点について、第2報の質問12で会社は、影響範囲が分からない段階で不確かな情報を伝えるのは適切ではないと考え、被害範囲の調査と封じ込めを優先したと説明しています。あわせて、インシデントが起きたときの通知の基準と連絡の流れを見直すとしています。インシデントとは、情報の漏えいや不正アクセスのように、安全を損なう出来事のことです。

メディア4uの対応

公式発表に書かれている会社の対応を、すでに済んだものとこれからのものに分けると次のようになります。

区分	内容
実施済み	不正アクセス経路の遮断、緊急メンテナンス
実施済み	アクセスログの保全、外部専門機関と連携した調査
実施済み	原因となった脆弱性の修正
実施済み	管理用認証情報の全件無効化と再発行
実施済み	ログイン監視の強化
実施済み	取引先への個別の回答、該当項目と件数の個別確認と連絡（OEM・販売代理店経由の利用者を含む）
実施済み	不正送信の対象となった顧客への個別対応、関係する監督官庁と第三者機関への報告
実施済み	第三者専門機関による調査の完了（最終報）
これから	恒久対策の推進と監視の継続
これから	パスワードポリシーの強化（第2報で予定と案内）

親会社の適時開示では、再発防止策として、認証基盤の強化、多要素認証の導入、アクセス監視と検知の体制の強化を挙げています。多要素認証とは、パスワードに加えて、スマートフォンに届く確認コードなど別の手段も使ってログインする仕組みのことです。具体的な施策は確定しだい知らせるとしていました。

OEMとは、メディア4uのサービスを、別の会社が自社の名前で販売している形のことです。販売代理店経由も含めて個別確認をしたとされているので、メディア4uと直接契約していない会社でも、仕組みとしてメディア4uのシステムを使っていれば、取引のある会社から連絡が届いている可能性があります。

最終報は、サービスは通常どおり稼働しており、利用にあたって特別な対応は要らないとしています。補償やお詫びの品についての記載は、3本の発表のどこにもありません。発表にないことは、この記事でもあるとは書きません。ほかの事案で補償がどう扱われてきたかは、情報漏洩の補償はもらえるのか｜お詫び金・ポイントの例と利用者が確かめること 2026が参考になります。

自社が対象かを確かめる方法

この件で直接の対象になるのは、メディア4uのSMS配信システムを契約して使っている企業や団体と、その担当者です。第2報の質問7で、会社は、流出が確認されたファイルはすべての顧客のアカウント管理情報を含む一覧であると説明しています。契約中の企業のアカウント情報（企業名、アカウントIDなど）は、このファイルに含まれているということです。

自社が関係するかを確かめる目安は次のとおりです。

• 「オーロラSMS」など、メディア4uのSMS配信サービスを自社で契約している
• 販売代理店やOEMの形で、メディア4uのシステムを使ったSMS配信サービスを契約している
• メディア4uから、該当する項目と件数の個別の連絡を受けている

自社で使っているSMS配信サービスがどの会社の仕組みかが分からない場合は、契約書や請求書の発行元、管理画面のログインページのアドレス、契約時の案内メールを確かめます。分からないときは、契約している販売会社に問い合わせるのが確実です。

第2報の質問8では、会社が伝える件数が、自社で把握しているユーザー数と合わない場合がある理由も説明されています。会社は、流出したファイルのレコードを、会社名とメールアドレスのドメインで判定して抽出しています。そのため、グループ会社や関連会社、協力会社の名義で登録したレコードや、自社と違うドメインのメールアドレスで登録したレコードは、自社の分として数えられていないことがあります。ドメインとは、メールアドレスの「@」より後ろの部分のことです。担当者が個人のフリーメールで登録していた場合も、同じように自社の分として判定されていない可能性があります。

担当者が交代していたり、外部の制作会社や代理店に運用を任せていたりする場合は、過去に誰がどのメールアドレスで登録していたかを洗い出しておくと、件数のずれを理解しやすくなります。

契約企業の担当者がすること

第2報の質問11で、会社は利用者の側で実施する対応を勧めています。その内容に沿って、担当者がすることを順番に整理します。

管理コンソールのパスワードを変える

まず、管理コンソールのパスワードを変えます。会社は予防的な措置として管理用認証情報を全件無効化し再発行していますが、第2報では、すべての契約でパスワードの変更を勧めています。とくに、ログインIDと同じパスワード、推測されやすいパスワード、ほかのサービスと使い回しているパスワードは、すぐに変えるよう求めています。

同じパスワードをほかのサービスでも使っていた場合は、そちらも変えます。パスワードが漏れたかもしれないときに変える順番の考え方は、パスワードが漏洩したらどうなる｜変更の順番と使い回しの見直し方 2026で説明しています。

パスワード強化の機能とIP制限を設定する

第2報によると、管理コンソールにはパスワード強化のオプション機能があり、希望すればサポートに問い合わせて使えます。また、アクセスを許可するIPアドレスを限る設定（IP制限）も勧められています。IPアドレスとは、インターネット上で通信する機器に割り当てられる番号のことで、IP制限をすると、会社のネットワークなど決められた場所からしか管理画面に入れなくなります。

在宅勤務の担当者が自宅から管理画面を使っている場合、IP制限をかけると自宅から入れなくなることがあります。会社のVPN（社外から社内のネットワークに安全につなぐ仕組み）を通して接続する運用にするなど、社内の情報システムの担当と相談して決めてください。

本件に乗じた不審なメールとSMSに注意する

流出したファイルには、担当者名と通知用メールアドレス、企業名が含まれています。そのため、メディア4uやSMS配信サービスの運営会社を名乗り、パスワードの再設定やアカウントの確認を求めるメールが届くことが考えられます。

第2報は、会社からの連絡でメール上でパスワードの入力を求めることは一切ないと明記しています。パスワードの入力を求めるメールが届いたら、それだけで疑ってよい合図です。メールのリンクは開かず、管理コンソールには自分で保存しているブックマークから入ってください。

社内と取引先への説明を準備する

自社がSMSで顧客に案内を送っている場合、顧客から「SMSの会社で漏えいがあったと聞いたが、自分の電話番号は大丈夫か」と問い合わせが来ることがあります。公式発表の範囲で答えられるよう、次の点を社内で共有しておくと対応がそろいます。

• 流出が確認されたのは、SMS配信サービスの契約企業のアカウント管理情報で、SMSを受け取る人の電話番号や本文は含まれていないと発表されていること
• 第三者専門機関の調査も完了し、漏えいの範囲は拡大していないとされたこと
• 自社の名前を使った不審なSMSが届いたときの問い合わせ先

自社の名前で不正送信された可能性がある場合は、メディア4uから個別の連絡が来ているはずです。連絡が来ていないのに不安がある場合は、後で紹介する窓口にメールで確かめます。社員の意識づけとして、偽のメールを使った訓練を取り入れる方法もあります。訓練の進め方は、社員のセキュリティ意識を向上させるフィッシングメール模擬訓練の効果｜2026年最新の従業員教育ガイドで紹介しています。

利用していた自治体の公表

メディア4uのSMS配信システムは、自治体でも使われています。千葉県館山市は、2026年7月27日に最終更新したページ「当市が委託しているSMS配信システム会社への不正アクセス事案の発生について」で、市の状況を説明しています。

市の説明によると、漏えいした可能性があるのは、システムを使っている市の健康課に関する、システムを管理するための情報（ID、部署名、担当者名、市役所の郵便番号、通知用メールアドレス）です。システムのパスワードなどの認証情報は漏えいしていないことが確認されているとしています。また、市民の携帯電話番号やSMSの本文については、流出の事実は確認されていないとの報告を同社から受けているとしています。

市は、市からの連絡を装った心当たりのない不審なSMSやメール、クレジットカード情報の入力を求める連絡に注意するよう呼びかけています。このように、利用している側の団体が独自に説明を出している場合もあります。ふだん自治体や企業からSMSで案内を受け取っている人は、その団体のお知らせも確かめておくと安心です。詳しい内容は館山市のお知らせで読めます。

ほかにどの企業や団体がこのシステムを使っているかは、メディア4uの発表には書かれていません。この記事でも、公式に確かめられた館山市以外の団体の名前は挙げません。

SMSを受け取る側の人が気をつけること

一般の人の電話番号やSMSの本文は流出が確認されていないとはいえ、今回の件をきっかけに、SMSを使った詐欺に気をつける機会にしておくのがよいでしょう。企業から届くSMSを装った詐欺は、今回の件に関係なく日常的に起きています。

気をつけたい点は次のとおりです。

• SMSの本文にあるURLから、ログインやカード番号の入力をしない
• 宅配便、銀行、通信会社、カード会社、自治体を名乗るSMSでも、公式アプリか自分で開いた公式サイトで内容を確かめる
• 身に覚えのない認証コードが届いたときは、そのコードを誰にも教えない
• 不審なSMSは、スマートフォンの迷惑メッセージの報告機能で報告してから削除する

認証コードは、ほかの誰かが自分のアカウントにログインしようとしたときに届くことがあります。電話で「届いたコードを読み上げてください」と言われても、絶対に伝えてはいけません。身に覚えのないコードが続けて届くときは、そのサービスのパスワードを変え、ログインの履歴に心当たりのない端末がないかを確かめます。

すでにSMSのリンクを開いて、IDやパスワード、カード番号を入力してしまった場合は、入力したサービスのパスワードをすぐに変え、カード番号を入れたならカード会社に連絡して利用を止めてもらいます。お金をだまし取られた場合は、警察の相談専用電話「#9110」や、最寄りの警察署に相談します。

問い合わせ窓口

本件の問い合わせ窓口は、最終報に次のとおり書かれています。正確な情報を記録に残る形で回答するため、メールで受け付けるとしています。電話番号は案内されていません。

窓口	連絡先
株式会社メディア4u 情報セキュリティ窓口	[email protected]

親会社の適時開示には、開示の内容についての問い合わせ先として、ファブリカホールディングスの [email protected] も書かれています。メディア4uの取引先からの問い合わせは、上の [email protected] あてとされています。

問い合わせのメールを送るときは、会社名、契約しているサービスの名前、アカウントID、担当者の名前と連絡先を書くと、確認が早く進みます。ただし、パスワードはメールに書かないでください。会社はメールでパスワードを求めることは一切ないと明記しています。

逆に、メディア4uを名乗るメールが届いた場合は、差出人の表示やメールの中のリンクではなく、メディア4uの公式サイトのニュースリリースの一覧から最終報を開き、そこに載っている窓口のアドレスと見比べてください。

在宅で仕事をする人がSMS配信サービスを仕事で使っている場合

在宅で仕事を請け負っている人の中には、取引先の企業からSMS配信サービスの管理画面のアカウントを渡され、予約の確認や案内のメッセージの送信を代わりに行っている人もいます。マーケティングの運用代行や、コールセンターの在宅スタッフ、店舗の予約管理の手伝いなどがその例です。

この場合、次の点に気をつけてください。

• 渡された管理画面のパスワードを、自分のほかのサービスと同じものにしていないかを確かめ、取引先と相談して変える
• 管理画面のログインIDとパスワードを、メモアプリや共有のスプレッドシートにそのまま書いていないかを見直す
• 取引先から「アカウント情報の確認」を求めるメールが届いたら、送り主が本当に取引先かを、ふだん使っているチャットや電話で確かめる
• 自分の作業用のパソコンやスマートフォンに、管理画面の情報が残ったままになっていないかを確かめる

業務で預かる顧客の電話番号や氏名は、取引先にとって大切な個人データです。個人情報保護委員会の「漏えい等の対応とお役立ち資料」のページでは、事業者に漏えい等の報告が義務づけられる場合として、要配慮個人情報が含まれる場合、財産的な被害が生じるおそれがある場合、不正の目的をもって行われたおそれがある場合、本人の数が1,000人を超える場合などが挙げられています。発覚したらまずは速やかに報告するよう求めており、不正な目的で行われたおそれがある場合の報告の期限は、発覚日から60日以内とされています。報告の義務を負うのは基本的に取引先の事業者ですが、預かった側が異変に気づいたらすぐに取引先に伝えることが、報告の出発点になります。詳しくは個人情報保護委員会の漏えい等の対応のページにまとまっています。

事業者や個人が個人情報の取り扱いで分からないことがあるときは、個人情報保護委員会の個人情報保護法相談ダイヤル（03-6457-9849、受付時間は9時30分から17時30分、土日祝日と年末年始を除く）に相談できます。

ログインのときにパスワード以外の確認も求める多要素認証は、預かったアカウントを守るうえで大きな効果があります。取引先が導入していない場合は、提案してみる価値があります。仕組みと製品の違いは、MFA（多要素認証）導入のメリットと製品比較｜2026年の認証セキュリティ決定版で整理しています。

長く在宅の仕事を見てきた立場から

在宅ワークとフリーランスの仲介を2004年から続けてきた運営者として見てきた限りでは、仕事の中で取引先のシステムのアカウントを預かる人は、年々増えています。SMS配信、メール配信、予約管理、顧客管理といった仕組みは、管理画面を外部の人に任せやすい作りになっているためです。

一方で、預かったアカウントのパスワードを自分で管理する決まりがないまま仕事が始まり、契約が終わった後も誰がどのアカウントを使えるのかが分からなくなっている場面も見られます。今回の件のように、仕組みを提供する会社の側で不正アクセスが起きたとき、アカウントを誰が持っていて、どのメールアドレスで登録しているかが整理されていれば、取引先も受け手もすぐに動けます。契約の始めにアカウントの受け渡しの方法を決め、終わるときに返す。その手順を取引先と一緒に決めておくことが、受け手にとっても信頼につながります。

在宅で受けられるセキュリティの仕事の種類と探し方は、@SOHOのAI・マーケティング・セキュリティのお仕事で紹介しています。SMS配信やメール配信の運用を任される仕事を探すときも、アカウントの扱いを契約の段階で確かめられる相手を選ぶと、こうした事案が起きたときにも落ち着いて対応できます。

よくある質問

Q. メディア4uの件で、自分の携帯電話番号は漏れましたか？

メディア4uの第2報と最終報によると、SMSの配信先である一般の人の電話番号、氏名、SMS送信本文、問い合わせ内容は、流出が確認されたファイルに含まれていません。同社のサービスには配信先リストを保存する機能がないとも説明されています。ただし企業名を装った偽のSMSが届くことは考えられるので、本文のURLから入力をしないようにしてください。

Q. 95,412件と22,928件は何が違うのですか？

95,412件は流出した一覧ファイルの総レコード数、22,928件はそのうち担当者名や個人を識別し得るメールアドレスなど、個人情報に該当し得る情報を含む可能性があるとして精査した件数です。会社はどちらも本人の数とは一致しない場合があると説明しています。担当者名の欄に部署名や記号だけが登録されている行も多いためです。

Q. 契約企業はパスワードを変える必要がありますか？

会社は予防的な措置として管理用認証情報を全件無効化し再発行していますが、第2報ではすべての契約でパスワードの変更を勧めています。ログインIDと同じもの、推測されやすいもの、ほかのサービスと使い回しているものは速やかに変えるよう求めています。あわせてIP制限の設定や、パスワード強化の機能の利用も勧められています。

Q. メディア4uへの問い合わせはどこにすればよいですか？

最終報では、株式会社メディア4u 情報セキュリティ窓口のメールアドレス [email protected] で受け付けるとしています。記録に残る形で回答するため、メールでの受付です。電話番号は案内されていません。会社がメールでパスワードの入力を求めることは一切ないと明記されているので、問い合わせのメールにもパスワードは書かないでください。