める配くんにログインできない・エラーが出るのはなぜ？ 不正アクセスの経過と対象になった企業・団体

める配くんにログインできない、エラーが出る、という状態には心当たりのある原因があります。2026年6月に不正アクセスを受けたサーバーは閉鎖され、そこにあったデータは別のサーバーへ移されました。運営元の株式会社ディライトフルは、7月30日のお知らせにこう書いています。

つまり入れない人がいることを運営元も把握していて、連絡先を出しています。IDやパスワードを何度も打ち直す前に、まずここへメールするのが早道です。

サービス全体が止まっているわけではありません。ログイン画面（meruhaikun.com/login.html）は普通に表示され、8月14日の発表でも「現在は安全性の確認およびセキュリティ対策を完了し、通常通りサービスを提供しております」とされています。ただしログイン画面には障害や移行のお知らせが一切出ていません（8月17日確認）。だから入れない人ほど自分の入力ミスを疑ってしまう作りになっています。

以下、漏れた情報の中身、自分が対象かどうかの確かめ方、影響を公表した企業・団体、そして何が起きたのかを順に書きます。

ログインできない・エラーが出るときにやること

める配くんを契約している側（メールを送る事業者）の担当者向けです。

「24時間以内に5回ログインに失敗すると、一時的にアクセスを自動ロックする」仕組みは、今回の対策として新しく入ったものです。以前と同じ感覚で試行を繰り返すと、原因が移行だったのかロックだったのか分からなくなります。心当たりのあるパスワードを2〜3回試して駄目なら、そこで止めて問い合わせるほうが確実です。

自分のメールアドレスが漏れたか確かめる方法

メールマガジンを受け取っている側（配信先）向けです。める配くんは会社や自治体がメルマガを送るために使っている裏方のサービスなので、受け取っている本人は「める配くん」という名前を知らないまま対象になっていることがあります。

運営元は8月14日の発表で、確かめ方を2つ挙げています。

「すべてのお客様の情報が漏えいしたわけではなく、調査により影響が確認されたのはご利用いただいているお客様の一部」というのが運営元の説明です。契約している事業者ごとに、漏えいが確認された・確認されなかったの連絡が個別に行っています。だから配信元に聞けば、その組織が対象かどうかは分かります。

漏れたのはメールアドレスだけとは限らない

運営元の発表は「配信先情報（メールアドレス等）」という書き方です。この「等」が組織によって中身が違います。メール配信システムには、宛名を差し込むための項目を組織が自由に登録できるからです。

一番下の例では電話番号まで出ています。「メールアドレスだけだから大したことはない」と一律に考えないほうがいいのは、この差があるからです。自分がどれに当たるかは、配信元の発表を読むしかありません。

一方で、クレジットカード情報と暗号化されていないパスワードは、そもそもこのシステムに保存されていないと複数の組織が説明しています。カードの再発行は要りません。

具体的な規模がひとつだけ出ています。佐渡市の発表では、佐渡トキファンクラブの会員約9千人のうち4,111人分のメールアドレスが漏えいした恐れがあるとされました。一組織でこの数です。

影響を公表した企業・団体

以下は、セキュリティ対策Lab が2026年8月17日時点で集計した35の企業・団体です。同誌の一覧記事から引いています。このうち一次発表を直接確認できたものにはリンクを付けました。区分は各組織が公表した時点のもので、その後の調査で変わっている場合があります。

名前の並びを見ると、食品メーカー、教科書会社、IT企業、自治体、法律事務所、劇団、同窓会まで入っています。業種でも規模でも絞り込めません。メルマガを出しているところなら、どこでも当たり得ます。

そしてここが押さえどころですが、この35という数字は「自分から公表した組織の数」であって、影響を受けた組織の数ではありません。める配くんは公式サイトで導入2,500社を掲げているサービスです。運営元は影響を受けた契約者の総数も、配信先の総件数も公表していません。名前の載っていない組織が対象外だという意味にはなりません。

何が起きたのか

運営元の発表を時系列に並べます。

2026年6月15日、める配くんのサーバーログを監視していたところ、一部のサーバーに異常なアクセスを検知しました。調べたところ、第三者による不正アクセスと情報漏洩と考えられる痕跡が見つかり、サーバーを停止。疑いのあるサーバーはネットワークから切り離しました。この日、公式サイトに第一報が出ています。

6月17日までに、外部との通信を遮断する応急措置が完了。以降、同じ不正通信は確認されていないとされています。侵入から遮断までは数日です。

7月30日、対策の報告。攻撃者が仕込んだプログラムと不正利用されていたアカウントを削除し、侵入に使われたソフトウェアの弱点を解消したとしています。あわせて、ログイン失敗の自動ロック、管理者パスワードの一斉変更、SMS送信管理画面のIP制限、WAF（Webへの攻撃パターンを見張って遮断する仕組み）、IDS/IPS（ネットワーク上の不審な通信を見張る仕組み）などを導入しました。

8月14日、外部の専門調査機関による調査が完了。サーバーに保管していた配信先情報の一部が、外部に漏えい（取得）されていた事実が確認されたと発表されました。6月の時点では「漏洩と考えられる痕跡」でしたが、ここで持ち出しが確定しています。個人情報保護委員会と総務省への報告も済ませたとしています。

侵入経路については「システム内の脆弱性の解消」という書き方に留まり、どのソフトウェアのどの弱点だったのかは公表されていません。CVE番号（世界共通で脆弱性に振られる管理番号）も出ていません。同じソフトを使っている他社が自衛できる形にはなっていません。

構図としては、攻撃されたのはディライトフル1社なのに、困っているのはメルマガを受け取っていた全国の人たちです。ニチレイが攻撃されてケンタッキーの店頭から食材が消えた件と同じで、外部に任せている部分が止まると、任せた側の顧客まで巻き込まれます。メール配信のように「ついでに外注しているもの」ほど、そこに顧客名簿が丸ごと置いてあることを忘れがちです。

これから来る「それらしいメール」に注意

運営元は「現時点において本件に起因する二次被害等は確認されておりません」としています。ただ、メールアドレスと、その人がどこのメルマガを取っているかの組み合わせが外に出ています。これは詐欺メールを本物らしく見せるのに使える情報です。

たとえば佐渡トキファンクラブの会員宛に、佐渡トキファンクラブを名乗るメールが届けば、多くの人は疑いません。名簿が出た事案でこの手の勧誘や詐欺が後から来るのは、そのためです。

パスワードについては、このシステムに暗号化されていないパスワードは保存されていなかったと説明されています。KDDIで1223万件のメール情報が漏れて強制的にパスワードが変えられた件のような、使い回しへの即時対応は今回は求められていません。

続報の追い方

影響を公表する組織は8月に入ってからも増えています。6月に「漏えいの可能性」と発表した組織が、8月の最終調査を受けて「確認された」に切り替える動きも続いています。自分が受け取っているメルマガの発行元のサイトを、いま一度見ておくのが確実です。

この記事は公式発表を追いながら更新します。最終確認は2026年8月17日です。影響を受けた契約者の総数、配信先の総件数、侵入に使われた脆弱性について続報が出たら、ここに書き足します。

同じように止まった他のサービス

外部のサービスが攻撃されて、使っていた側の客が困る形は今年に入って続いています。

参照元

• ▸ 株式会社ディライトフル - 不正アクセスに関する調査結果および関係機関への報告について（2026年8月14日）
• ▸ める配くん - システムセキュリティ強化に関するご報告とお詫び（2026年7月30日）
• ▸ める配くん - 一部サーバーへの第三者による不正アクセスによるシステム障害及び情報漏洩についてのお知らせ（2026年6月15日）
• ▸ 佐渡トキファンクラブ - メールマガジンの読者のメールアドレス情報の漏洩と再発防止対策について
• ▸ 新潟日報 - 佐渡市の「トキファンクラブ」に不正アクセス、会員約4100人のメールアドレス漏えいか
• ▸ 株式会社ユニリタ - 外部サービスへの不正アクセスによる個人情報漏えいの可能性に関するお詫びとお知らせ
• ▸ Bizプリカ - （初報）当社が利用するクラウドサービス「める配くん」に対する不正アクセスの発生および個人情報流出の可能性について（2026年6月19日）
• ▸ 東京書籍 - 「める配くん」の一部サーバーにおける外部からの不正アクセス発生について（2026年6月23日）
• ▸ セキュリティ対策Lab - める配くんへの不正アクセスによるサイバー攻撃で配信先の一部情報漏洩を確認 影響を公表した35企業・団体を一覧化
• ▸ ScanNetSecurity - メール配信システム「める配くん」の一部サーバに不正アクセス、情報漏えいと考えられる痕跡を確認