セガ219万件の情報流出は誰が対象？メール11件一覧とSEGA Accountへの影響

セガの情報流出219万件は誰が対象？メルマガ11件・パスワードへの影響

2026年11月9日、セガが約219万件のメールアドレス流出を発表しました。セガとグループ会社のセガ フェイブが利用していた外部のメール配信システムが不正アクセスを受け、利用者の情報が外部に持ち出されたことが判明したものです。

対象となったのは、セガ ラッキーくじオンラインの発売情報や、アーケードゲーム『CHUNITHM』『オンゲキ』『maimai』の稼働情報など、2026年7月から10月にかけて配信された11件のメールマガジンです。

気になるのは、自分のメールアドレスも流出したのか、ゲームのアカウントやパスワードまで危険にさらされているのか、という点でしょう。

セガの公式発表では、ログインパスワードやクレジットカード情報、氏名、住所などは今回の流出情報に含まれていません。また、「SEGA Account」に登録したメールアドレスは、別の配信システムを使っているため、今回の流出対象外とされています。

ただし、SEGA Accountと同じメールアドレスを対象のメールマガジンにも登録していた場合、そのアドレスが流出している可能性はあります。

さらに、同じ時期に発生したALL.Net・Aimeへの不正アクセスとは別の事件であることも重要です。

この記事では、11月9日のセガ公式発表と、委託先アララの調査報告をもとに、対象者の確認方法、流出した情報、今後の連絡、必要な対処法まで整理します。

※情報は2026年11月9日時点。流出した情報の一部や影響範囲については、引き続き調査が行われています。

セガの情報流出219万件は誰が対象？

今回の対象は、セガとセガ フェイブの製品・サービスに関する一部メールマガジンの配信先として登録されていたメールアドレスです。

セガが11月9日に公表した件数は2,196,044件。このうち92,273件には、メールアドレス以外に配信に付随する情報も含まれていました。

重要なのは、セガの製品を購入した人や、ゲームをプレイした人がすべて対象になるわけではないことです。

例えば、過去に『龍が如く』や『ソニック』を購入したことがあるというだけでは、今回の流出対象に含まれているとは判断できません。反対に、アーケードゲームをほとんど遊ばない人でも、セガ ラッキーくじの発売案内などを受信していた場合は、対象となった配信先に含まれている可能性があります。

どのサービスを利用していたかという大まかな区分だけでなく、今回公表されたメールマガジンの配信先になっていたかどうかが確認の手がかりになります。

対象となったメールマガジン11件一覧

セガが公式に公表した対象メールマガジンは、次の11件です。

一覧を見ると、対象は特定のゲームタイトルだけではありません。セガ ラッキーくじの案内が複数回含まれ、東京ゲームショウ2026の出展情報も対象になっています。

そのため、『CHUNITHM』や『maimai』のプレイヤーだけに関係する事件だと考えるのは正確ではありません。ゲームイベントやキャラクターグッズの情報を受け取っていた人も、確認しておきたい内容です。

自分のメールアドレスが対象か確認する方法

まずは、普段使っているメールサービスの受信履歴を確認してみてください。

メールの検索欄に「セガ ラッキーくじ」「CHUNITHM」「オンゲキ」「maimai」「東京ゲームショウ」などを入力し、上記の日付付近に該当する案内が届いていないかを調べると、手がかりになります。

Gmailなどで複数のメールアドレスを使っている場合は、セガ関連の案内を受信していたアドレスを確認することも大切です。

ただし、一覧に記載されているのはセガが公表した配信内容であり、実際のメール件名が一字一句同じだったと保証されたものではありません。

該当するメールが見つかっても、それだけで個別のアドレスの流出を確定できるわけではありません。また、メールが見つからない場合でも、削除済みや振り分け済みという可能性があるため、対象外とは断定できません。

セガは流出情報の詳細を確認したうえで、対象となる利用者に個別に連絡する予定です。最終的には、その案内や今後の公式発表を確認する必要があります。

流出した情報は何？パスワードやクレジットカード情報は大丈夫？

今回の事故で、セガが流出を確認した情報と、流出していないことを確認した情報は明確に分かれています。

11月9日時点の公式発表を整理すると、次のとおりです。

ここで注目したいのは、流出したメールアドレスの件数が大きくても、それがログインに必要な情報一式の流出を意味するわけではないことです。

メールアドレスはログインIDとして使われることもありますが、アドレスだけで通常のパスワード認証を突破できるわけではありません。今回の流出情報にはログインパスワードが含まれないとセガは発表しています。

一方で、メールアドレスが第三者に知られると、そのアドレスを宛先にしたフィッシングメールや、実在する企業を装う連絡に悪用されるおそれがあります。

パスワードが流出していないから何も注意する必要がない、という話でもありません。

92,273件の「配信に付随する情報」とは何なのか

セガが発表した2,196,044件のうち、92,273件についてはメールアドレス以外にも配信に付随する情報が含まれていました。

この92,273件は219万件とは別に流出したものではなく、2,196,044件の内数です。両者を足して約228万件とするのは誤りになります。

ただし、付随する情報が具体的に何を指しているのかは、11月9日時点では公表されていません。セガは委託先のアララと連携して調査を続けています。

メール配信システムでは、一般に配信先の管理や送信状況など、メールアドレス以外の情報が扱われることもあります。しかし、それらが今回の92,273件に含まれていたと確認されたわけではありません。

さらに、アララ全体の不正アクセスでは、別の契約企業が登録した氏名や住所なども流出対象に含まれていましたが、セガの今回の公表範囲とは分けて考える必要があります。

セガは、氏名、生年月日、性別、住所、電話番号、クレジットカード情報、ログインパスワードが今回の流出情報に含まれていないと明示しています。

219万件は219万人の被害という意味ではない

今回の2,196,044件は、セガが公表したメールアドレスの件数です。219万人という実人数を発表したわけではありません。

一人が複数のメールアドレスを使用している場合もありますし、複数のメールマガジンに登録している場合もあります。セガの発表からは、どのような条件で重複を整理した件数なのか、詳細な集計方法までは確認できません。

したがって、今回の流出件数をそのまま被害者219万人と読み替えるのは正確ではありません。報道などで数字を見る際にも、メールアドレスの件数なのか、利用者の人数なのかを区別することが大切です。

SEGA Accountは流出対象外？ゲームデータへの影響は

セガのゲームを利用している人にとって、メールマガジン以上に気になるのがSEGA Accountへの影響でしょう。

この点について、セガは11月9日の発表で、SEGA Accountに登録されたメールアドレスは、別の配信システムを利用しているため今回の流出対象外であると明確に説明しています。

今回攻撃されたのは、セガが一部メールマガジンの配信に利用していたアララのシステムです。SEGA Accountの登録メールアドレスについては、同じ配信システムを使用していなかったというのがセガの説明です。

つまり、SEGA Accountを持っているという理由だけで、今回の219万件に含まれるわけではありません。

SEGA Accountとメルマガで同じアドレスを使っている場合は？

ここは少し注意が必要です。

例えば、ある人がSEGA Accountにメールアドレスを登録し、同じアドレスでセガ ラッキーくじなどの対象メールマガジンも受信していたとします。

この場合、SEGA Accountの登録情報を管理するシステムが今回の流出対象外だったとしても、メールマガジンの配信先として登録されていたアドレスが流出対象に含まれる可能性はあります。

「SEGA Accountの登録情報は今回の流出対象外」という説明と、「同じメールアドレスが別の経路から流出していない」という説明は同じではありません。

反対に、SEGA Accountしか登録しておらず、今回対象となったメールマガジンとの接点がなかった人については、そのアカウント登録だけを理由に今回の流出対象と判断する根拠はありません。

ゲームのセーブデータや購入履歴は流出した？

今回の発表はメールマガジン配信先の情報流出に関するものであり、ゲームのセーブデータや購入履歴、ゲーム内アイテムなどが今回のアララ経由の不正アクセスで流出したという発表はありません。

ただし、セガ関連では別途、アーケードゲームネットワークサービスへの不正アクセスも発生しています。こちらは引き続き調査が行われており、すべての調査が完了したという状況ではありません。

今回の219万件の流出だけを根拠に、ゲームデータが失われた、アカウントが乗っ取られたと判断することはできません。二つの事件を区別して、今後の公式発表を確認する必要があります。

セガの利用者はパスワードを変更するべき？今できる対策

今回の流出が発表されたことで、すぐにパスワードを変更した方がよいのか迷う人もいるでしょう。

セガの11月9日の発表では、ログインパスワードは今回の流出情報に含まれていません。そのため、今回のニュースだけを理由に、すべての利用者へ一律にパスワード変更が必要だとはいえません。

ただし、不審なメールに反応してしまった場合や、普段とは異なるログインの通知が届いた場合などは別です。自分の状況に応じた対応が必要になります。

不審メールが届いた場合はリンクを開かない

セガは今回の流出情報が悪用され、セガやセガ フェイブ、両社のゲーム・サービスを装った不審なメールが送られる可能性があるとして注意を呼びかけています。

例えば、セガのアカウント確認やセキュリティ更新、ゲームの特典受け取りなどを装い、メール内のリンクから偽サイトへ誘導する手口が考えられます。ただし、これらは注意すべき詐欺の例であり、今回の流出情報を使った同様のメールが実際に確認されたと断定するものではありません。

セガは、今回の流出情報の悪用について11月9日時点で確認されていないと説明しています。

また、セガとセガ フェイブは、メールで利用者にパスワードやクレジットカード情報を尋ねることはないと明言しています。そのような内容のメールが届いた場合は、記載されたリンクにアクセスせず、返信もしないでください。

送信者名が「SEGA」になっていても、それだけで本物とは判断できません。送信者の表示名は偽装できるためです。確認が必要な場合は、メール本文のリンクではなく、自分で開いた公式サイトから情報を調べる方が安全です。

すでにメール内のリンクを開いてしまった場合

リンクを開いた場合でも、その後に何をしたかによって必要な対処は異なります。

• リンクを開いただけの場合：それだけで必ず情報が盗まれたとは限りません。何も入力せず、ダウンロードもしていないのであれば、まずはページを閉じ、端末に不審な動作がないか確認してください。
• ログインIDやパスワードを入力した場合：正規の公式サイトを自分で開いてパスワードを変更し、同じパスワードを使用している他のサービスも確認してください。
• クレジットカード情報を入力した場合：カード発行会社へ速やかに連絡し、利用状況や必要な停止措置について相談してください。
• 添付ファイルを開いたり、不審なソフトを実行した場合：セキュリティソフトで端末を確認し、不審な挙動があれば端末やアカウントの安全確認を優先してください。

今回のセガの事故そのものでパスワードやカード情報の流出が確認されたわけではありませんが、偽サイトに自分で入力してしまった場合は、別の経路で情報を盗まれるおそれがあります。

情報漏えいのニュースでは、流出した項目によって必要な対処が変わります。例えば、2026年10月に発生したSo-netの情報漏えいでは、一部メールサービスの送受信用パスワードの流出も確認され、対象者には再設定が必要になりました。

一方、今回のセガの発表ではログインパスワードは流出情報に含まれていません。同じ「情報流出」でも、何が外部に出たのかを確認せずに対策を一律に決めるのは適切ではありません。

なぜセガの情報が流出した？委託先アララへの不正アクセスが原因

今回の情報流出は、セガのゲームサービス全体に直接侵入されたことによって発生したものではありません。

原因となったのは、セガとセガ フェイブが一部メールマガジンの配信に利用していた、アララ株式会社のメール配信サービス「アララメッセージ」への不正アクセスです。

アララメッセージは、企業などが大量のメールを配信するためのサービスです。企業が自社でメール配信システムをすべて運用する代わりに、外部の専門サービスを利用すること自体は珍しくありません。

今回問題になったのは、その委託先のシステムに第三者が不正にアクセスし、企業がメール配信のために登録していた利用者情報が外部に持ち出されたことです。

委託先のシステムに保存された情報であっても、利用者から見ればセガの案内を受け取るために登録した情報です。そのため、セガはアララと連携して影響範囲の調査や対象者への連絡を進めています。

発覚から11月9日の公表まで何があった？

不正アクセスが確認されてからセガが流出件数を公表するまでには、委託先による影響範囲の調査と、発表内容の修正が繰り返されていました。

セガの説明によると、10月29日の段階では、今回のメールマガジンに利用した情報について流出は確認されていないという報告をアララから受けていました。

その後、11月3日に外部流出が確認されたとの通知が届き、セガは追加説明を要請。11月5日から8日にかけて改めて確認し、11月9日の公表に至っています。

委託先の初期調査で把握できなかった範囲が、後から判明したことも影響しています。

ただし、公式発表から確認できるのは、このような調査と報告の経緯までです。公表が遅れた理由を、意図的な隠蔽などと断定できる根拠はありません。

委託先アララでは約8,133万件の流出も判明

今回のセガの219万件は、アララ全体で発生した大規模な不正アクセスの一部に関係するものです。

アララが11月6日に公表した第3報によると、サービス全体では、区分間の重複を除いた81,329,467件のメールアドレスが外部に持ち出された、または持ち出されたおそれがあるとされています。

約8,133万件という非常に大きな数字ですが、これはセガ単独の流出件数ではありません。アララのメール配信サービスを利用していた複数の契約企業の情報を含み、影響を受けた企業は最大約380社と推計されています。

また、約8,133万件もメールアドレスの件数であり、8,133万人という実人数を表すものではないとアララは説明しています。

アララは当初、約301万件のメールアドレス流出を公表していました。しかし調査が進むにつれて別のサーバー環境への侵入が判明し、対象範囲が大幅に拡大しました。

11月6日の第3報では、当初の調査に含まれていなかった別のクラウド環境からも3,249,492件が持ち出されていたと発表されています。この分は過去に発生していた一連の不正アクセスによるもので、新たな攻撃が発生したという意味ではありません。

さらに、アララは一部契約企業に伝えた情報持ち出しの期間についても訂正しています。最新の説明では、10月28日から31日のサービス停止まで、複数のサーバーから継続してデータが持ち出されていたとされています。

事件全体の数字や経緯は、11月6日のアララ第3報（PDF）で確認できます。

一方、セガに関する対象件数や流出項目については、セガ自身が11月9日に公表した内容を基準にするのが適切です。アララ全体で氏名や住所などが流出した企業があるからといって、セガの流出情報にもそれらが含まれていたと判断することはできません。

不正アクセスの侵入経路は判明している？

アララの調査では、Webサーバーの脆弱性やシステム環境の問題が今回の不正アクセスに関係していたことが説明されています。

また、第三者が不正に認証情報を使用し、複数のサーバーへアクセスしてデータを持ち出したことも明らかになっています。

ただし、侵入経路の全容や、攻撃に利用された具体的な脆弱性の識別番号などは確定していません。アララは外部の専門機関と連携して調査を続けており、システムの安全性の見直し、異常検知体制の整備、管理体制の強化を進める方針です。

特定の攻撃グループが関与した、あるいはランサムウェアによる犯行だったといった情報も、今回確認した公式資料では裏付けられていません。

アララから約713万通の不審メールが送信｜セガの情報が悪用された？

今回の事件には、個人情報の流出とは別に、メール配信サービスそのものが不正利用された問題もあります。

アララの発表によると、2026年10月28日から30日にかけて、第三者が同社のメール配信システムを悪用し、クレジットカード会社などを装った不審メールを最大約713万通送信しました。

送信元として使われたのは「news@arara.com」で、件名には「利用内容確認のご依頼」「ご利用明細確認のご依頼」などがあったとされています。

ここで注意したいのは、この713万通が、今回流出したセガのメールアドレスに送信されたと確認されているわけではないことです。

アララの11月2日付第2報では、不審メールの送信先は第三者が外部から持ち込んだメールアドレスだったと説明されています。

つまり、アララのシステムが不正に利用されて大量のメールが送られた事実と、セガの219万件のメールアドレスが流出した事実は、関連する事件ではあっても同じ被害内容ではありません。

セガは11月9日時点で、今回流出した情報の悪用は確認されていないとしています。今後、流出した情報を悪用した不審メールが届く可能性はありますが、現時点で確認済みの約713万通をセガの情報流出による二次被害と説明するのは不正確です。

なお、アララは最大約713万通の不審メールについて、10月30日13時32分を最後に新たな送信は確認していないと説明しています。

約8,133万件は持ち出されたメールアドレスの数、最大約713万通は不審メールの送信通数です。両者は単位も対象も異なるため、合算して被害人数を出すことはできません。

ALL.Net・Aimeへの不正アクセスとは別の事件？

今回のセガの情報流出を調べていると、同時期に発生したALL.Net・Aimeのサービス停止に関するニュースも見つかります。

セガの公式発表によると、アララのメール配信システムへの不正アクセスと、ALL.Net・Aimeに関係するサーバーへの不正アクセスは別事案です。

セガ フェイブは11月2日、アーケードゲームネットワークサービスのALL.NetおよびAimeに関係するサーバーの一部が、第三者による不正アクセスを受けたと発表しました。

この問題では、11月1日15時からALL.NetおよびAimeに関係する各種サービスが停止されました。対象には対応アーケードゲームのオンライン環境や、Aimeを利用したプレイ、関連する会員向けサービスなどが含まれます。

初期調査時点では、利用者や取引先に関するデータの流出は確認されていないと説明されています。ただし、影響範囲については調査が続けられており、この別事案の情報流出の有無が最終確定したわけではありません。

詳しい停止対象は、セガ フェイブの11月2日付公式発表で確認できます。

セガ ラッキーくじオンラインが使えないのも同じ原因？

少し分かりにくいのが、セガ ラッキーくじオンラインの扱いです。

今回流出したメールアドレスには、セガ ラッキーくじオンラインの発売情報を受信していた配信先が含まれています。

一方、セガ ラッキーくじオンラインがメンテナンスに入り、ログインやくじ製品の購入ができない状態となっている理由については、セガが別の説明をしています。

11月9日の公式発表では、セガ ラッキーくじオンラインのメンテナンスは、セガ フェイブのアーケードゲームネットワークサービスに関係するサーバーへの不正アクセスを受けた、安全確認の一環だと明記されています。

つまり、ラッキーくじオンラインには、今回のメールマガジン情報流出と、別件のサービス停止という二つの話題が重なっていることになります。

メールアドレス流出のニュースと、オンラインサービスが利用できないニュースを、一つの攻撃によって起きた同じ障害として説明してはいけません。

セガから個別通知はいつ届く？流出対象者への今後の対応

自分のメールアドレスが流出したかもしれない人にとって、次に気になるのはセガからの連絡です。

セガは11月9日の発表で、委託先アララと連携して流出情報の詳細や影響範囲の確認を進め、確認ができ次第、対象となる利用者へ個別に連絡する予定だと説明しています。

ただし、個別通知の開始日や、すべての対象者への通知完了予定日は公表されていません。

また、現時点の公式案内には、利用者がメールアドレスを入力して流出の有無を即時に確認する専用の判定ページも記載されていません。

そのため、セガを名乗るメールで「流出対象か確認するため、こちらのページでパスワードを入力してください」と案内された場合は、特に注意が必要です。

公式の個別連絡が始まった場合でも、連絡内容を無条件に信用するのではなく、セガの公式サイトに掲載された説明と照らし合わせて確認するとよいでしょう。

問い合わせ先はどこ？

今回の情報流出に関する問い合わせ先として、セガはカスタマーサポートを案内しています。

セガ カスタマーサポート
電話番号：0570-000-353
受付時間：10時～17時

オンラインでの問い合わせは、セガ公式お問い合わせ受付フォームから行えます。

ただし、問い合わせをしただけで、すべてのケースについて個別の流出状況をその場で回答してもらえるとは限りません。セガは現在も流出情報の詳細を確認している段階です。

問い合わせが集中する可能性もあるため、まずは公式発表で案内されている内容を確認し、個別の事情がある場合に相談するのがよいでしょう。

補償や見舞金の発表はある？

11月9日のセガの公式発表では、対象者への個別連絡や、個人情報保護委員会への報告予定などは説明されていますが、補償金や見舞金についての具体的な案内はありません。

そのため、補償が行われるのか、対象者全員に何らかの金銭的な対応があるのかについては、現時点で判断できません。

流出件数が大きいからといって、必ず一定額の補償が行われるとは限りません。反対に、現時点で案内がないことをもって、今後一切の補償が行われないと断定することもできません。

今後の調査結果や会社側の判断によって、追加の説明が行われる可能性があります。

アララメッセージはいつ復旧する？セガのメール配信はどうなる

今回、不正アクセスを受けたアララのメール配信サービスは、2026年10月31日から停止しています。

アララの案内では、サービス停止期間は10月31日14時50分からとなっています。第2報では、サービスの停止処理が同日19時53分に完了したことも説明されています。

11月9日15時更新のアララメッセージ公式障害情報では、サービス停止が継続しており、再開時期は未定とされていました。

再開に向けては、侵入経路への対策、認証情報の変更、外部専門機関による安全性の確認などが必要とされています。

アララは、停止期間中に管理画面やAPIを使えないことに加え、予約済みのメール配信も実行されないと案内しています。

また、セガは今回流出した情報の確認が完了し、安全性を確認できるまで、アララの配信システムを使ったメールマガジンの配信を見合わせる方針です。

そのため、普段受信していたセガの案内メールが届かなくなったとしても、それだけで登録が解除された、あるいはメールアカウントが停止されたと判断することはできません。

アララメッセージの停止は、同システムを使ったメール配信に関する問題です。セガのあらゆるメールが一律に停止していると発表されたわけではありません。

なお、ALL.Net・Aimeやセガ ラッキーくじオンラインなどの別事案に伴うサービス停止については、それぞれの運営元による復旧案内を確認する必要があります。アララメッセージの復旧が、そのままアーケード関連サービスの復旧を意味するわけではありません。

セガの情報流出で今後確認しておきたいこと

今回の情報流出は、11月9日にセガが対象件数を公表したことで、一定の被害範囲が明らかになりました。しかし、調査がすべて終わったわけではありません。

今後、特に重要になるのは、92,273件に含まれる配信付随情報の具体的な内容と、対象となった利用者への個別通知です。

付随情報の内容が確定すれば、メールアドレス以外にどのような情報が流出したのか、より具体的に判断できるようになります。また、個別通知が始まれば、自分のメールアドレスが対象になっていたかを確認できる人も増えるでしょう。

そのほか、委託先アララの侵入経路の特定、流出件数の追加訂正、メール配信サービスの再開時期なども、今後の調査結果に左右されます。

セガは新たに公表すべき事実が判明した場合、11月9日付の公式告知で知らせると説明しています。

今後の更新を確認する際は、古い速報の内容をそのまま信じるのではなく、発表日と更新日を見ることが大切です。今回のアララの事故では、調査が進むにつれて対象範囲や件数が大幅に変更された経緯があります。

なお、セガは個人情報保護委員会への報告について、アララからの連名報告を予定していると説明しています。委託先のアララはすでに個人情報保護委員会などへの報告を進めていますが、それとセガの連名報告が完了したことは同じではありません。

利用者としては、追加発表を確認しながら、不審なメールや偽サイトに注意することが当面の重要な対策となります。

まとめ｜セガ219万件の流出で確認したいのは対象メールと個別通知

2026年11月9日にセガが公表した情報流出では、セガとセガ フェイブが一部のメールマガジン配信に利用したメールアドレス2,196,044件が外部に流出しました。

対象となった配信は、2026年7月から10月の11件。『CHUNITHM』『オンゲキ』『maimai』の稼働案内、セガ ラッキーくじオンラインの発売情報、東京ゲームショウ2026の出展案内などが含まれています。

このうち92,273件には配信に付随する情報も含まれていますが、具体的な内容は調査中です。一方、氏名、住所、電話番号、ログインパスワード、クレジットカード情報などは今回の流出情報に含まれていないと発表されています。

SEGA Accountに登録されたメールアドレスは別の配信システムを利用しており、今回の流出対象外です。ただし、同じアドレスを対象メルマガにも登録していた場合まで、影響がないと一律に判断することはできません。

また、11月初旬に発生したALL.Net・Aimeの不正アクセスは別事案です。セガ ラッキーくじオンラインのサービス停止についても、今回のメールアドレス流出とは分けて理解する必要があります。

セガは、流出情報の詳細を確認したうえで対象者へ個別に連絡する予定ですが、通知開始日はまだ発表されていません。

現時点では、対象メールマガジンの受信履歴を確認し、不審なメールに記載されたリンクや添付ファイルを開かないことが大切です。今回の事故だけを理由に、セガのすべての利用者がパスワードを変更しなければならないという発表はありません。

今後は、配信付随情報の内容と個別通知の開始状況が、利用者にとって特に重要な追加情報となりそうです。