長崎県佐世保市が導入する地域通貨「させぼeコイン」で、登録メールアドレス3万5,600件余りが漏えいしたことが分かりました。2026年11月13日、NIB長崎国際テレビが佐世保市への取材を基に報じました。原因は、同事業の運営委託先が自動送信メールに利用していたアララ株式会社のメール配信サービス「アララメッセージ」への不正アクセスです。
11月5日時点では最大約10万件に漏えいの可能性があるとされていましたが、今回、漏えいしたメールアドレスのおおよその規模が明らかになりました。なお、3万5,600件余りという数値は11月13日の地元テレビ報道に基づくものです。佐世保市公式サイトの「させぼeコイン」事業ページは同日時点で11月5日更新の内容が掲載されており、対象件数を調査中としています。
させぼeコインの情報漏えいのサマリー
対象：佐世保市が導入する地域通貨「させぼeコイン」の登録メールアドレス
漏えい規模：3万5,600件余り（2026年11月13日、NIB長崎国際テレビ報道）
以前の影響見込み：最大約10万件に漏えいの可能性（11月5日のテレビ長崎報道）
不正アクセスを受けたサービス：アララ株式会社のメール配信サービス「アララメッセージ」
利用経路：「させぼeコイン」の運営委託先が自動送信メールの配信に利用
対象外と報じられた情報：メール本文、および本文に記載された住所・電話番号など
佐世保市の対応：当該メール配信サービスの利用を停止し、別のメール配信システムへ切り替え
地域通貨の利用：市の11月5日公表によると、アプリのチャージ・支払いなどの基本機能は正常稼働
項目
内容
自治体
長崎県佐世保市
対象事業
地域通貨「させぼeコイン」
漏えいした情報
登録メールアドレス
漏えい件数
3万5,600件余り（11月13日付NIB報道。市公式サイトの件数更新は未反映）
侵害された上流サービス
アララメッセージ
メール配信への対応
旧サービスの利用停止、別のメール配信システムへ切り替え
決済機能
市の11月5日公表では正常稼働
11月5日の「最大約10万件の可能性」から漏えい件数が具体化
11月5日、テレビ長崎はアララメッセージへの不正アクセスが「させぼeコイン」にも波及し、登録メールアドレス最大約10万件が漏えいした可能性があると報じました。この段階では、漏えい対象に含まれるかどうかや件数の精査が続いていました。
佐世保市も11月5日更新の公式ページで、利用者・加盟店の登録情報（メールアドレス等）が流出対象に含まれるかは判明していないとして、運営側のシステムベンダーやサービス提供事業者と確認を進めると説明していました。
その後、11月13日12時2分に配信されたNIB長崎国際テレビの報道では、市による説明として、メールアドレス3万5,600件余りの漏えいを伝えています。同日12時7分にはNBC長崎放送も約3万5,000件の漏えいを報じました。約3万5,600件は、11月5日に示されていた最大約10万件という「影響の可能性がある範囲」と区別すべき数値です。
運営委託先がアララの自動送信メールを利用
「させぼeコイン」は佐世保市内で使えるスマートフォン向け地域通貨で、アプリへのチャージや加盟店での支払いに利用されています。今回不正アクセスを受けたのは、市の地域通貨決済基盤そのものではなく、運営委託先が利用する外部のメール配信サービスです。
市の11月5日の案内では、該当する「アララメッセージ」の利用を停止し、別のメール配信システムへ切り替えたため、メール配信は通常どおり行われていると説明しています。アプリのチャージや支払いなどの基本機能も正常に稼働しているとしています。
アララと親会社ペイクラウドホールディングスが11月6日に公表した第3報では、サービス全体で重複を除く8,132万9,467件のメールアドレスについて、外部への持ち出し、または持ち出されたおそれがあると説明しています。今回の「させぼeコイン」の約3万5,600件は、その上流インシデントの影響先として把握された個別の数字です。アララ全体の件数へ単純加算するものではありません。
同じ不正アクセスに関する影響企業・自治体の状況は、アララメッセージ不正アクセスの影響企業・被害内容まとめで整理しています。
セキュリティ対策Lab お役立ち資料
2026年に発生したサイバー攻撃・ランサムウェア事例をまとめて確認
国内外で発生した主要なサイバー攻撃やランサムウェア被害を、攻撃手法や対応状況とあわせて整理した資料です。
2026年の事例集を見る
利用者・加盟店が注意すべき不審メール
漏えいした情報がメールアドレスだけであっても、「させぼeコイン」の利用者を狙い、ポイントの失効、チャージ確認、アカウント認証、キャンペーン当選などを装った偽メールが届くおそれがあります。これは想定される悪用例であり、今回それらの偽メールが実際に送信されたと確認したものではありません。
佐世保市は利用者と加盟店に対し、不審なメールのリンクや添付ファイルを開かないこと、返信しないこと、ID・パスワード・認証コード・暗証番号・個人情報の入力要求に応じないことを呼びかけています。アプリの状況を確認したい場合は、メールに記載されたリンクではなく、普段利用しているアプリや公式サイトから確認してください。
メールアドレスの漏えいだけを理由に、させぼeコインのパスワードまで漏れたと断定することはできません。ただし、身に覚えのないログイン通知や認証要求がある場合には、公式窓口に相談し、アカウントの利用状況を確認してください。
佐世保市の「SpeeCAN RAIDEN」被害とは別事案
佐世保市では、メール配信サービス「SpeeCAN RAIDEN」を運営する株式会社アルカディアへの不正アクセスも別途公表されています。こちらは市の防災情報メールと道路冠水情報メールが対象で、2026年10月11日に不審な挙動が確認され、市は10月13日に把握しました。
一方、「させぼeコイン」の今回の情報漏えいはアララメッセージへの不正アクセスに起因するものです。両者は利用する配信事業者、対象サービス、事案の発生経緯が異なります。また、11月13日に報じられた約3万5,600件を、佐世保市の別事案の対象人数として集計することはできません。
外部サービスを利用する自治体や委託元では、事業ごとのメール配信先・再委託先・保持データの範囲と事故通知経路を一覧化しておくことが、影響調査や住民への案内に役立ちます。委託先・再委託先の確認項目は委託先のセキュリティ管理の実務で解説しています。
出典
この記事をシェアする
メールマガジン
最新のセキュリティ情報やセキュリティ対策に関する情報をお届けします。
Googleアカウントへのログインが必要です
投稿者：三村
セキュリティ製品を手がける上場企業にて、SOC（セキュリティオペレーションセンター）運営およびWebアプリケーション脆弱性診断の営業に8年間従事。その後、システムエンジニアへ転身し、MDMや人事系SaaSの開発に携わる。
8年の実務経験と開発者としての知見を活かし、「セキュリティ対策Lab」ではダークウェブ調査、セキュリティインシデントの分析、および高度なセキュリティ対策解説の執筆・編集を統括しています。
LinkedIn(外部サイト)