フラウ・インターナショナル、メール問い合わせ管理の委託先が不正アクセス被害、顧客情報漏えいの可能性

項目	内容
発生日	2026年6月30日に不正アクセスを確認
対象組織・業界	フラウ・インターナショナル（韓流エンタメ関連）
攻撃手法	業務委託先（メール問い合わせ対応管理サービス運営会社）への不正アクセス
情報源	サイバーセキュリティ.com（2026年7月7日）

概要

顧客からの問い合わせ対応を外部SaaSに任せる企業は今や珍しくありませんが、そのSaaS事業者が侵害されたとき、被害を受けるのはサービス事業者ではなく、そのサービスに顧客データを預けていた企業です。

2026年7月7日、フラウ・インターナショナルは、同社がメールでの問い合わせ対応管理に利用している外部サービスの運営会社で第三者による不正アクセスが確認され、顧客の氏名・メールアドレス・電話番号が漏えいした可能性があると公表しました。

経緯

• 2026年6月30日: 委託先で不正アクセス確認
• その後: 委託先および外部専門家と連携し調査を開始
• 2026年7月7日: 公表

漏えい件数、侵入経路の詳細、対象顧客の範囲は本記事公開時点で調査中です。

原因

侵入経路の詳細は公表されていません。

考えられる原因（推測）: 顧客対応管理サービスのようなSaaSプラットフォームへの侵害は、(a) SaaS事業者の認証基盤（管理者アカウント）への攻撃、(b) SaaS事業者の内部ネットワーク・データベースへの侵入、(c) API連携やインテグレーション経由の侵害、といったパターンが典型です。利用企業側では防ぎようがない局面が多く、事後の影響範囲把握と顧客対応の速度が問われます。

対策

組織が学ぶべきこと

1. SaaS利用は「委託先の脆弱性が自社の脆弱性」

自社の情報システム部門がどれだけ堅牢にしても、業務データを預けているSaaSが侵害されれば漏えいは発生します。SaaS選定・契約時に「侵害時の通知期限」「証跡提供の範囲」「原因報告の粒度」を契約要件として明示していないと、事後対応が全て後手になります。

2. 委託先の設定と、自社の設定は別

SaaS側の基盤が侵害されるのとは別に、「自社が委託先ツール上で有効化している設定」も攻撃面になります。MFA設定、IP制限、API連携のスコープ、退職者アカウントの棚卸し——これらは委託先の責任ではなく、自社の責任です。

3. 「連絡先データが流出した後」の二次攻撃対策

氏名・メール・電話が漏えいすると、その情報を使ったなりすまし攻撃が数週間〜数カ月後に顧客に届きます。流出公表と同時に、顧客への注意喚起（「弊社を装う不審な連絡に注意」）を出せるかが、二次被害の連鎖を断つ鍵です。

ヤグラの視点 — 二次攻撃を想定した「連絡先流出の後始末」

連絡先データの流出は、単発の情報漏えいとして終わりません。流出情報をリストとして使う攻撃が、数日から数カ月にわたって続きます。フィッシングメール・SMS・電話——顧客に「あなたの情報が漏えいした企業」を装った連絡が届き、そこから二次被害が始まります。

対応の重心は「流出を止める」から「連鎖を断つ」に移ります。自社ドメインを騙るフィッシングサイトの継続監視、DMARCによる送信元検証、顧客向け注意喚起の平時からの準備。ヤグラの PhishAI はメール・SMS・電話等複数チャネルの不審報告を受け付け、AIが数分で影響範囲を分析します。連絡先の流出後は、「同じ攻撃が別の顧客にも届いていないか」を即座に把握できる体制が二次被害の規模を左右します。

今後の対応

同社は委託先および外部専門家と連携して調査を進めており、影響範囲・対象顧客・漏えい情報の詳細を確定次第、対象顧客への個別案内と再発防止策を公表するとしています。

更新履歴

日時	内容
2026-07-28	過去アーカイブとして記事化（キュレーション）