オープンドア（トラベルコ）の不正アクセス｜公表と続報のまとめ

何が起きたか

メールマガジンの配信委託先（アララ）への不正アクセス

2026年11月4日、オープンドアは、トラベルコのメールマガジンの配信を委託していたアララのメール配信システムが不正アクセスを受け、メルマガ登録者のメールアドレス318,495件が流出したと公表しました。流出したのはメールアドレスだけで、氏名などは含まれないとしています（オープンドアの2026年11月4日の発表）。11月3日にアララから報告を受けたとしています。

トラベルコのサイトへの不正アクセス

2026年11月9日、オープンドアは自社のサイトと適時開示で、トラベルコのサイトが第三者の不正アクセスを受け、メルマガ登録者のメールアドレス381,926件が流出したと公表しました（オープンドアの2026年11月9日の発表）。

• 11月6日に不正アクセスを確認しました
• 381,926件のうち152,655件は登録した都道府県、616件は郵便番号も含まれます。氏名・住所・電話番号・パスワード・カードの情報は流出していないとしています
• 11月4日に公表した委託先の件とは別の事案ですが、どちらもメルマガの登録者のメールアドレスで、ほとんどが重複しているとしています
• 侵入の経路は公表されていません。11月9日の時点で、流出した情報が公開されたり悪用されたりした事実は確認されていないとしています

会社の対応

• 侵入の経路を遮断し、安全対策を終えたとしています。メールマガジンの配信は止めており、ほかのサービスは使えるとしています
• 警察に相談し、個人情報保護委員会などに報告しています
• 対象の人にはメールで順に知らせるとしています。委託先の件では、委託先の管理体制をあらためて確かめるとしています
• 監視の強化と個人情報へのアクセス管理を厳しくし、再発を防ぐとしています

この事例から中小企業が学べること

• メールマガジンの登録者のリストが、自社のサイトと配信の委託先の両方にあることを把握し、両方の守りを確かめる
• メールアドレスだけの流出でも、自社を装ったフィッシングに使われます。顧客に「メールでパスワードやカード番号を聞かない」と伝えておく
• 使っていない登録者のデータを定期的に消し、持つ件数を減らす
• 委託先から事故の報告を受けたときの、公表・顧客への連絡の手順を決めておく