佐世保市「させぼeコイン」のメール配信情報漏えいの可能性｜アララメッセージ経由範囲・件数は調査中 2026

2026年11月7日

＠SOHO編集部

この記事のポイント

✓佐世保市の情報漏洩の可能性について
✓2026年11月5日更新の市のページをもとに整理
✓地域通貨「させぼeコイン」の自動送信メールに使っていたアララメッセージへの不正アクセスの件で

佐世保市の情報漏洩の可能性について、佐世保市は2026年11月5日、地域通貨「させぼeコイン」の自動送信メールに利用していた外部メール配信サービス「アララメッセージ」（アララ株式会社）で、第三者による不正アクセスが発生したことが公表されたと、市のページで知らせました。させぼeコインの利用者と加盟店の登録情報（メールアドレス等）が流出の対象に含まれているかどうかは、2026年11月6日時点で判明しておらず、範囲と件数は調査中です。チャージや支払いなどの基本機能は正常に動いています。させぼeコインを使っている人と加盟店がまずすることは、させぼeコインを装った身に覚えのないメールのURLを開かないこと、そしてIDやパスワード、認証コード、暗証番号を求められても入力しないことです。

この記事は、2026年11月6日時点で佐世保市のページ「地域通貨「させぼeコイン」発行事業」（更新日 2026年11月5日）の冒頭にある「させぼeコインのメール配信システムへの不正アクセスによる情報漏えいの可能性について」を開き直し、その記載をもとに書いています。背景として、アララ株式会社の公式の発表も確かめました。報道にしか出ていない数字は書いていません。

佐世保市の発表で分かっていること

佐世保市のお知らせは、独立した報道発表のページではなく、させぼeコインの事業のページの冒頭に追記された形で出ています。中身の骨子を先に整理します。

させぼeコインの自動送信メールには、外部のメール配信サービス「アララメッセージ」（アララ株式会社）を利用していた
アララメッセージで、第三者による不正アクセスが発生したことが公表された
させぼeコインの利用者と加盟店の登録情報（メールアドレス等）が流出の対象に含まれているかどうかは、現時点で判明していない
市は、システムベンダーとサービス提供事業者と連携して、影響範囲などの確認を進めている
想定される影響範囲は、させぼeコインアプリで利用しているメール配信サービスで、範囲と件数などは調査中
当該のメール配信システムの利用は停止し、ほかのメール配信システムへ切り替えた
チャージや支払い（決済機能）などの基本機能は正常に稼働している

ここで押さえておきたいのは、利用者や加盟店の情報が流出したと、市が言い切っているわけではないという点です。お知らせの題も「情報漏えいの可能性について」で、含まれているかどうか自体が、まだ分かっていません。

なお、佐世保市のサイトには、ふるさと納税の「ふるさとチョイス」の不正アクセスに伴う注意喚起も別に出ています。こちらは別のサービスの別の件です。この記事は、させぼeコインのメール配信の件だけを扱います。

させぼeコインとは

させぼeコインとは、佐世保市が導入している電子の地域通貨で、市内で使えるスマートフォン専用の支払いの手段です。市のページによると、利用者は専用のアプリにチャージした「させぼeコイン」や、チャージした金額に付く「させぼeポイント」を使って、市内の加盟店で買い物ができます。佐世保市の外に住む人も利用できます。

チャージの方法として、市のページには次のものが挙がっています。

チャージの方法	市のページの記載
十八親和銀行の口座	アプリから口座を登録してチャージ。曜日ごとに利用できる時間が決まっている
セブン銀行のATM	全国のATMで24時間チャージできる
チャージ機	市役所本庁10階の商工労働課に常設

アプリには、ほかの利用者に送金する機能、毎月決まった日に決まった金額をチャージする「定期チャージ」、佐世保市へのふるさと納税（佐世保市外の人に限る）の機能もあります。

この仕組みを押さえておくと、今回の件で気をつけたい点が見えてきます。させぼeコインは、銀行口座やお金のやりとりにつながるアプリです。メールアドレスだけが外に出た場合でも、させぼeコインを装って口座の情報や暗証番号を聞き出そうとする偽の連絡が送られるおそれがあります。

公表までの経緯

佐世保市のお知らせには、日付つきの経緯は書かれていません。アララの公式の発表と合わせて、日付順に並べます。

日付	出来事	出典
2026年10月28日から30日	アララのサービスの一部が不正に利用され、送信元「[email protected]」から不審なメールが送られた	アララの第２報
2026年10月31日	アララがサービスの提供をすべて停止	アララの第２報
2026年11月2日	アララが第２報を公表	アララの第２報
2026年11月5日	佐世保市がさせぼeコインのページを更新し、お知らせを掲載	佐世保市のページ

お知らせには「第何報」という表記がありません。2026年11月6日時点で、ページの更新日は11月5日のままで、これが最新です。

市がアララのメール配信サービスの利用を止め、ほかのメール配信システムへ切り替えた日付は、お知らせに書かれていません。分かっているのは、11月5日の時点で切り替えが済み、させぼeコインのメールは通常どおり配信されている、ということです。

漏えいの可能性がある情報と、まだ分かっていないこと

佐世保市のお知らせに書かれている項目を、分かっていることと、まだ分かっていないことに分けて整理します。

区分	内容
流出の対象に含まれているか確認している情報	させぼeコインの利用者と加盟店の登録情報（メールアドレス等）
含まれているかどうか	現時点で判明していない
範囲と件数	調査中
想定される影響範囲	させぼeコインアプリで利用しているメール配信サービス
含まれないとされた項目	記載なし

お知らせは「メールアドレス等」と書いていて、メールアドレスのほかにどの項目が含まれうるのかは書いていません。氏名や電話番号、口座の情報が含まれるかどうかについても、含まれる、含まれないのどちらの記載もありません。この記事でも、推測して書くことはしません。

件数についても、市は「範囲・件数等は調査中」としています。報道ではさまざまな件数が伝えられていますが、佐世保市の公式のページには件数の記載がありません。自分が対象かどうか、何件が対象になるのかは、市の続報で確かめてください。

覚えておきたいのは、メール配信サービスが受け持っていたのは、アプリからの自動送信のメールだという点です。チャージや支払いの仕組みそのものが不正アクセスを受けたとは、お知らせに書かれていません。市は、決済の機能などの基本機能は正常に動いているとしています。

原因はアララメッセージへの不正アクセス

佐世保市のお知らせに書かれている原因は、外部のメール配信サービス「アララメッセージ」で、第三者による不正アクセスが発生したことまでです。侵入の手口は書かれていません。

アララ株式会社は2026年11月2日に第２報（PDF）を出しています。背景として要点を整理します。ここに出てくる数字はアララのサービス全体のもので、させぼeコインの件数ではありません。

2026年10月28日から31日にかけて、アララのサービスを経由した不正アクセスで、契約企業の環境のサーバー97台（最大約380社、精査中）から、メールアドレスと会員情報が外部に持ち出された（持ち出された恐れのあるものを含む）
持ち出されたメールアドレスは約77百万件（精査中）。最終的な利用者の数を示すものではない
持ち出された情報は、メールアドレスのほか、契約企業が登録した項目（氏名、性別、生年月日、電話番号、会員番号、住所等。契約企業により異なる）と配信の宛先等の記録
原因として、Webサーバーの脆弱性に加え、システム環境における問題も関係していた
2026年10月31日にサービスの提供をすべて停止。再開の時期は未定
アララのサービスでは、クレジットカード番号は一切保有していない

脆弱性とは、ソフトウェアの作りや設定に残った、外から悪用されうる弱点のことです。アララの発表のとおり、持ち出された項目は契約企業ごとに違います。させぼeコインの分にどの項目があったのかは、佐世保市の確認の結果を待つ必要があります。

アララメッセージへの不正アクセスの全体像と、公表した企業や自治体の一覧は、アララの情報漏洩の記事で整理しています。件数や項目は組織ごとに違うので、させぼeコインの件は佐世保市の発表で確かめてください。

させぼeコインの使い方への影響

利用者がいちばん気になるのは、させぼeコインを今までどおり使えるかどうかでしょう。佐世保市のお知らせは、現状を次のように書いています。

当該メール配信システムサービスの利用を停止しております。またアプリでのチャージやお支払い(決済機能)等の基本機能は、正常に稼働しております。出典: 佐世保市「地域通貨「させぼeコイン」発行事業」

つまり、チャージも支払いもこれまでどおりできます。お知らせは続けて、ほかのメール配信システムへ切り替えたため、させぼeコインのメールは現在通常どおり配信されているとも書いています。アプリからのメールは、別の仕組みから届いているということです。

ここで1つ注意したいのは、メールが通常どおり届いているということは、させぼeコインの名前のメールが今も受信箱に届く、ということです。本物のメールと偽のメールが、同じ受信箱に並ぶことになります。メールが止まっている自治体のシステムなら「今は届かないはずだから偽物」と判断できますが、させぼeコインではその見分け方が使えません。

そのため、メールの中身で判断するのではなく、行動の決まりを先に作っておくのが安全です。

場面	すること
させぼeコインの名前でメールが届いた	本文のリンクは押さず、自分でアプリを開いて残高や取引の履歴を確かめる
ログインや認証コードの入力を求められた	メールからは進まず、アプリを直接開いて操作する
銀行口座の再登録を求められた	応じず、アプリと市のページで案内が出ているかを確かめる
心当たりのない送金や支払いの知らせが届いた	アプリの取引の履歴を見て、身に覚えがなければ事務局に問い合わせる

ポイントやキャンペーンを装う連絡に注意

させぼeコインでは、支払いの金額に応じてポイントが還元されるキャンペーンが行われています。市のページによると、2026年11月も最大15％を還元する「地元のお店応援キャンペーン」が実施されていて、上限は1アカウントあたり8,000ポイントです。

こうしたキャンペーンは、偽の連絡の題材として使われやすいものです。「ポイントの受け取り手続きが必要です」「キャンペーンの当選のお知らせ」といった文面で、偽の画面に誘う手口が考えられます。

見分ける手がかりになるのが、市のページにあるポイントの付き方の説明です。

ポイントは決済日の2日後に自動付与されます。ポイントを獲得するために操作いただく必要はございません。出典: 佐世保市「地域通貨「させぼeコイン」発行事業」

ポイントは自動で付くので、受け取るために何かを入力する必要はありません。ポイントの受け取りのためにIDやパスワード、口座の情報を求める連絡が届いたら、偽物を疑ってください。

市のページには、キャンペーンは実施する月の前の月の末日に知らせるとも書かれています。キャンペーンの中身を確かめたいときは、メールのリンクからではなく、自分で開いた佐世保市のページか、アプリの中の案内で確かめるのが確実です。

自分が対象かを確かめる方法

佐世保市のお知らせによると、流出の対象に含まれているかを確かめているのは、させぼeコインの利用者と加盟店の登録情報（メールアドレス等）です。2026年11月6日時点で、市から対象者に個別に知らせるかどうか、知らせるならどの方法かは、お知らせに書かれていません。

次のどれかに当てはまる人は、関係がある前提で備えておくのが安全です。

させぼeコインのアプリに、メールアドレスを登録して利用している
させぼeコインのアプリから、自動送信のメールを受け取ったことがある
させぼeコインの加盟店として登録している
家族のスマートフォンにアプリを入れて、自分のメールアドレスで登録した

させぼeコインは佐世保市の外に住む人も利用でき、アプリの中から佐世保市へのふるさと納税もできます。観光や出張で佐世保市を訪れたときにアプリを入れた人、ふるさと納税のために登録した人も、佐世保市に住んでいないから関係ないとは考えず、同じように備えておいてください。しばらくアプリを開いていない人は、この機会に登録したメールアドレスと残高を確かめておくと、偽の連絡が届いたときに判断しやすくなります。

いつ登録した人が対象になるのかも、今の時点では分かりません。そもそも利用者や加盟店の情報が含まれるかどうかが分かっていないので、範囲は市の続報で示されることになります。

登録に使ったアドレスが思い出せない人は、受信箱で「させぼeコイン」と検索してみてください。過去に届いたメールが残っていれば、どのアドレスで登録したかが分かります。複数のアドレスを使い分けている人は、それぞれで確かめておくと、偽のメールが届いたときに「このアドレスでは登録していない」と見分ける手がかりになります。

メールアドレスが漏れた場合に起こりやすいこと

させぼeコインの件では、まだ流出の対象に含まれるかどうかも分かっていません。それでも、もし含まれていた場合に起こりやすいことを知っておくと、早めに備えられます。

1つ目は、偽のメールが届くことです。漏れたアドレスの一覧は、偽のメールを送る相手の名簿として使われることがあります。今回は「させぼeコインを使っている人」という性格があるため、させぼeコインや佐世保市、チャージに使う銀行をまねた文面が使われるおそれがあります。

2つ目は、迷惑メールが増えることです。宣伝や架空の請求のメールが増えることがあります。心当たりのない請求には応じず、返信もしないでください。返信すると、そのアドレスが実際に使われていると相手に知らせることになります。

3つ目は、ほかのサービスへのログインを試されることです。メールアドレスをIDとして使うサービスは多く、漏れたアドレスと、よく使われるパスワードを組み合わせてログインを試す手口があります。同じパスワードをいくつものサービスで使い回しているなら、お金を扱うサービスから順に別のパスワードに変えてください。変える順番の考え方はパスワードが漏洩したときの記事で解説しています。

メールアドレスそのものをすぐに変える必要はありません。アドレスを変えても、すでに外に出た古いアドレスに偽のメールが届くことは止まらないからです。迷惑メールが目に見えて増え、大事なメールが埋もれるようになったら、別のアドレスを用意することを考えれば十分です。その場合は、させぼeコインのアプリに登録しているアドレスも忘れずに変えてください。

不審なメールへの備え

佐世保市のお知らせは、身に覚えのない不審なメールや、させぼeコインを装ったメールを受け取った場合に、次の点に注意するよう求めています。

メール本文に書かれたURLやリンクにアクセスしない
添付ファイルを開いたり、メールに返信したりしない
ID、パスワード、認証コード、暗証番号、個人情報などの入力を求められても入力しない
不審なメールは速やかに削除する

フィッシングとは、本物の役所や会社を装ったメールやSMSで偽の画面に誘い、パスワードやカード番号を入力させて盗む手口のことです。させぼeコインの場合は、アプリのログインのパスワードや取引の暗証番号、チャージに使う銀行口座の情報が狙われるおそれがあります。

アララの第２報には、アララのサービスの一部が第三者に不正に利用され、2026年10月28日から30日にかけて、送信元「[email protected]」から「利用内容確認のご依頼」「ご利用明細確認のご依頼」などの件名で、不審なメールが最大約713万通送られたことも書かれています。受信箱に残っていたら、本文のURLを開かずに削除してください。

見分けるときに意識したい点は次のとおりです。

送信元の表示名は簡単に偽れる。「させぼeコイン」「佐世保市」と表示されていても、それだけで本物と判断しない
「至急」「本日中に」「残高が失効します」など、急がせる言葉があるときほど手を止める
アプリでできる操作をメールのリンクから求めてくるものは、まず疑う
SMSの短いURLは行き先が分かりにくい。押さずに削除してよい

偽のメールの典型的な文面と見分け方はフィッシング詐欺メールの見分け方の記事に、偽のSMSの手口はスミッシングの記事に整理しています。

アプリのパスワードと取引暗証番号を見直す

今回の件で流出の対象として確認されているのは、メールアドレス等の登録情報です。アプリのパスワードや取引の暗証番号が漏れたとは、お知らせに書かれていません。それでも、させぼeコインを装った偽の連絡でいちばん狙われやすいのは、このパスワードと暗証番号です。この機会に扱いを見直しておくと安心です。

市のページの注意事項には、もともと次のように書かれています。

ログインのパスワードと取引の暗証番号は、同じものを使い回したり、長い間同じものを使い続けたりしない
生年月日や電話番号など、他人に推測されやすい番号を避け、他人に知られないように厳しく管理する

取引の暗証番号とは、支払いや送金のときに入力する番号のことです。ログインのパスワードと同じものにしていると、片方を知られただけで両方が使われてしまいます。別々のものにしておくことが大切です。

ほかのサービスと同じパスワードを使っている人は、させぼeコインのパスワードを変えておくと安心です。変えるときは、メールのリンクからではなく、アプリを直接開いて操作してください。

偽のメールに入力してしまったとき

偽のメールのリンクを開いて、情報を入力してしまった場合は、入力した情報の種類によってすることが変わります。慌てて次の操作をする前に、何を入力したかを書き出してください。

入力してしまった情報	すること
させぼeコインのパスワードや取引の暗証番号	アプリを直接開いてパスワードを変え、取引の履歴を確かめる。事務局に問い合わせる
銀行口座の情報やネットバンキングの情報	取引している銀行の窓口にすぐ連絡する
クレジットカード番号	カードの裏面に書かれた発行会社にすぐ連絡する
ほかのサービスのパスワード	そのパスワードを使っているサービスのパスワードをすぐ変える

アララの第２報も、万一リンク先でクレジットカード情報などを入力した場合は、速やかにカード発行会社に連絡するよう求めています。入力したあとにすることの全体の流れはフィッシングで情報を入力してしまったときの記事にまとめています。

金銭の被害が出た場合や、不正利用の疑いがある場合は、警察の相談窓口や消費生活センターに相談することもできます。リンクを開いただけで何も入力していないなら、大きく心配する必要はありませんが、同じ送信元からのメールは開かずに削除してください。

送金や定期チャージを使っている人が確かめること

させぼeコインのアプリには、ほかの利用者に送金する機能と、毎月決まった日に決まった金額を銀行口座からチャージする「定期チャージ」の機能があります。こうした機能を使っている人は、ふだんよりも少し丁寧に、アプリの中の記録を見ておくと安心です。

送金の機能を使っている人は、割り勘やお小遣いなどで、知り合いとやりとりすることが多いはずです。偽の連絡の中には、「送金に失敗したので再度手続きを」「受け取りの確認が必要です」といった文面で、偽の画面に誘うものが考えられます。送金のやりとりは、メールではなく、アプリの取引の履歴で確かめる習慣をつけてください。相手に送ったか、相手から届いたかは、アプリを開けば分かります。

定期チャージを設定している人は、設定した日と金額を覚えておくと、心当たりのない連絡を見分けやすくなります。「定期チャージの設定に問題があります」「口座の確認ができませんでした」といったメールが届いても、リンクからは進まず、アプリのチャージの画面で設定がそのままになっているかを確かめてください。

銀行口座からのチャージを使っている人は、銀行の側の取引の履歴もあわせて見ておくと安心です。させぼeコインへのチャージとして身に覚えのない引き落としがあれば、銀行と事務局の両方に問い合わせてください。

させぼeコインからの本物の知らせを確かめる手順

不審なメールを避けるだけでなく、本物の知らせを取りこぼさないことも大切です。利用者や加盟店の情報が含まれていたと分かったとき、市や事務局から知らせが届くこともありえます。そのときに慌てないよう、本物かどうかを確かめる手順を決めておきます。

届いたメールやSMSのリンクは押さず、まず件名と送信元を控える
ブラウザで佐世保市の公式サイトを自分で開き、させぼeコインのページに同じ内容の知らせが出ているかを見る
アプリを直接開き、アプリの中にも同じ案内が出ているかを確かめる
どちらにも見当たらないときは、自分で開いた市のページから事務局のお問い合わせフォームで聞く

ポイントは、メールの中のリンクや電話番号を使わず、自分で調べた入り口から確かめることです。偽のメールは、本物そっくりのページへのリンクや、偽の問い合わせ先を載せていることがあります。自分で開いた公式サイトやアプリを起点にすれば、こうした仕掛けを避けられます。

問い合わせ窓口

この件について、佐世保市のお知らせが案内している問い合わせ先は、させぼeコイン事務局のお問い合わせフォームです。お知らせの中に、本件の問い合わせのための電話番号は書かれていません。

市のページには、利用者向けと加盟店向けのお問い合わせフォームが分かれて載っています。利用者は利用者向けのフォーム、加盟店は加盟店向けのフォームから問い合わせるのが確実です。フォームは、メールのリンクからではなく、自分で開いた佐世保市のページからたどってください。

アララの第２報にも電話番号が載っていますが、契約企業向けのサポート窓口とされています。個人の利用者向けの窓口ではないため、させぼeコインの利用者や加盟店が問い合わせる先は、させぼeコイン事務局です。

問い合わせる前に、登録に使ったメールアドレス、利用者か加盟店かの区別、困っていること（不審なメールが届いた、心当たりのない取引がある、など）を書き出しておくと、やりとりが早く進みます。不審なメールが届いている場合は、URLを押さずに画面の写しを保存しておくと説明しやすくなります。

加盟店と、在宅で仕事をする人が気をつけること

させぼeコインの加盟店は、市内に店舗がある事業者です。加盟店として登録したメールアドレスは、仕事の連絡にも使っているものが多いはずです。その場合、させぼeコインや市をまねた偽のメールが、取引先や客からの連絡と同じ受信箱に届くことになります。忙しいときほど見分けにくくなります。

加盟店が特に気をつけたいのは、換金や入金の手続きをまねた連絡です。「換金の口座の確認が必要です」「加盟店の登録の更新をお願いします」といった文面で、口座の情報やログインの情報を求める連絡が届いたら、リンクからは進まず、加盟店向けのお問い合わせフォームで確かめてください。

在宅で仕事をする人も、仕事の連絡と生活の連絡を同じメールアドレスで受けていることが少なくありません。取引先から顧客の情報を預かって作業している人は、自分のアカウントの管理が、そのまま取引先の情報を守ることにつながります。偽のメールでパスワードを盗まれれば、預かっている情報まで見られてしまうおそれがあるからです。

個人情報保護委員会は、個人情報の漏えいが起きたときに事業者が取るべき対応や報告の決まりを公表しています。今回のように、委託した先で起きたことでも、自治体や事業者が対応を求められる場面があります。どこまでが自分の責任になるかは、契約の内容や事情で変わるので、ここでは断定できません。迷ったときは、個人情報保護委員会の案内を確かめてください。

日々の作業で気をつけたいのは次の点です。

仕事のメールアドレスと、個人の買い物や地域通貨に使うメールアドレスを分ける
取引先から預かったアカウントの情報は、パスワード管理の仕組みで管理し、使い回さない
使っているサービスに障害や不正アクセスの知らせが出たら、取引先に早めに伝える
取引先の名前で届いたメールでも、URLやパスワードの入力を求めるものは、電話などで確かめる

小さな店や事業者がどこから守りを固めればよいかは、中小企業のサイバーセキュリティ対策の記事で整理しています。セキュリティに関わる仕事を在宅で受けたい人は、自分のアカウントの管理を整え、自治体や企業の発表を正確に読む習慣をつけるところから始められます。@SOHOのAI・マーケティング・セキュリティのお仕事では、在宅で受けられるセキュリティ関連の仕事の種類と探し方を紹介しています。

パスワードに頼りすぎない守り方

メールアドレスが外に出たときに心配なのは、そのアドレスでログインしているほかのサービスです。パスワードを変えるのに加えて、ログインの守りを一段固めておくと、偽のメールでパスワードを盗まれたときの被害を小さくできます。

その方法が、多要素認証です。多要素認証とは、ログインのときにパスワードに加えて、スマートフォンに届く確認コードや指紋などを求める仕組みのことです。パスワードが知られても、それだけではログインできなくなります。仕組みと製品の選び方はMFA（多要素認証）導入のメリットと製品比較の記事で詳しく取り上げています。

設定しておきたい順番の目安は次のとおりです。

ネットバンキングやクレジットカード、させぼeコインのような決済のアプリなど、お金を扱うサービス
普段使っているメールのアカウント（ほかのサービスのパスワードの再設定がここに届くため）
買い物のサイトや、仕事で使っているサービス

メールのアカウントを2番目に挙げたのは、ほかのサービスのパスワードを忘れたときの再設定のメールが、そこに届くからです。メールのアカウントを乗っ取られると、ほかのサービスのパスワードまで次々に変えられてしまうおそれがあります。

させぼeコインのアプリにどのような認証の設定があるかは、市のページやアプリの案内で確かめてください。設定のときに表示される予備のコードがあれば、スマートフォンをなくしたときに必要になるので、紙に書いて保管しておくと安心です。

続報を待つ間に整理しておきたいこと

佐世保市のお知らせは、2026年11月6日時点で11月5日の更新が最新です。利用者や加盟店の情報が含まれるかどうか、含まれるなら何件か、どの項目かは、今後の続報で示されることになります。市は、引き続き状況の確認を進めるとしています。続報を待つ間に、次のことを整理しておくと、知らせが出たときにすぐ動けます。