クラシエの漢方サイトでアドレス流出！原因と利用者向け対策とは
はじめに
日々の体調管理や健康維持のために、健康情報サイトや漢方に関するポータルサイトを利用している方は大勢いらっしゃいます。日常的に目にするメールマガジンから、季節の養生法や生活に役立つヒントを得ているという方も多いのではないでしょうか。
そうした身近な情報サービスにおいて、利用者の大切な情報が流出してしまうトラブルが発生しました。日用品や薬品大手のクラシエ株式会社は、子会社であるクラシエ薬品株式会社が運営する漢方・健康情報Webサイト「Kampoful Life（カンポフルライフ）」において、会員のメールアドレスが外部へ流出したことを公表しました。
自分が登録しているサービスで情報流出のニュースを聞くと、「自分の名前や住所、クレジットカード情報は大丈夫なのだろうか」「これからどんな被害に遭う可能性があるのだろうか」と、強い不安や戸惑いを感じてしまうものです。
本記事では、今回の事故で何が起きたのか、流出した情報と守られた情報の範囲、不正アクセスが発生した原因や背景について丁寧に紐解いていきます。さらに、会員の皆さまが被害を防ぐために今すぐ実践できる具体的な防犯対策まで、詳しく解説いたします。
「Kampoful Life（カンポフルライフ）」とはどのようなサイトか
まず、今回の対象となった「Kampoful Life（カンポフルライフ）」がどのようなサービスであるのかを振り返っておきましょう。
カンポフルライフは、クラシエ薬品株式会社が手掛ける漢方と健康に関する情報提供サイトです。「漢方をもっと身近に、毎日の暮らしに寄り添う知恵を」というコンセプトのもと、季節ごとの体調変化に合わせたケア方法や、食事・睡眠・運動などの生活習慣に関するアドバイス、漢方薬の基本的な知識などを親しみやすい記事として届けています。
サイト内には体質チェック機能やコラムなどの多彩なコンテンツがあり、会員登録を行うことで、定期的なメールマガジンの受信や会員限定の便利な機能を利用できる仕組みになっていました。健康に関心の高い幅広い年代の方々が登録し、日々の生活を整えるパートナーとして活用されていたサービスです。
健康に関するサービスだからこそ、利用者のプライバシー保護やセキュリティには日頃から高い信頼が寄せられていました。それだけに、今回の事態は多くの会員の方にとって驚きと心配を呼ぶ出来事となりました。
今回公表された情報流出の全体像
今回の情報流出について、公表された事実関係と全体像を整理します。
クラシエ株式会社の発表によると、流出が確認されたのはカンポフルライフの会員に向けて送信されていたメールアドレス情報です。
流出が確認された件数は合計で59,428件にのぼります。対象となったのは、2026年10月8日から10月29日までの期間に、システムを通じて配信されたメールの宛先アドレスです。
ここで注意しておきたいのは、この「59,428件」という数字は配信された宛先の件数であり、必ずしも「完全に異なる59,428人の個人情報が漏れた」とイコールではないという点です。同じ会員に対して期間中に複数回メールが送られていれば、同一のアドレスが複数回記録されているケースも考えられます。とはいえ、約6万件規模のアドレスが流出の対象となった事実は非常に重く、多くの会員に影響が及ぶ可能性がある規模であることは間違いありません。
また、対象期間として示されている「10月8日〜29日」はメールが配信された期間のことであり、不正アクセスそのものが行われていた期間と完全に一致しているわけではありません。配信ログとして記録されていたデータが流出範囲となったことを意味しています。
流出した情報と流出していない情報の整理
個人情報の流出事故において最も重要なポイントは、「具体的にどの情報が漏れて、どの情報が無事だったのか」を正確に把握することです。情報漏えいのニュースを聞くと、あらゆる個人データが悪意ある第三者に渡ってしまったのではないかと恐ろしくなりますが、冷静に対象範囲を確認することが大切です。
流出が確認された情報
今回、外部への流出が確認されたのは以下の情報のみです。
-
メールアドレス（計59,428件）
流出していないと明記された情報
一方で、クラシエは以下の重要情報については一切流出していないと明確に説明しています。
-
氏名
-
生年月日
-
性別
-
住所
-
電話番号
-
職業
-
ログインパスワード
-
クレジットカード情報などの決済情報
この区別は、利用者にとって非常に安心できる材料と言えます。氏名や住所、電話番号が漏れていなければ、自宅に不審な郵便物が届いたり、突然怪しい電話がかかってきたりする直接的な危険はありません。また、ログインパスワードやクレジットカード情報が漏洩していないため、カンポフルライフのマイページに勝手にログインされて不正に注文されたり、クレジットカードを不正利用されて金銭被害に遭ったりするリスクは極めて低い状態に保たれています。
なぜメールアドレスだけで被害を食い止められたのか
なぜ、他の重要情報は流出せずにメールアドレスだけが漏れてしまったのでしょうか。その理由は、企業のシステム設計にあります。
多くのWebサービスでは、利用者の氏名、住所、パスワードなどの機密データを厳重に保管する「会員管理データベース」と、日々のメールマガジンなどを一斉に送信するための「メール配信システム」を別々のサーバーや仕組みに分けて運用しています。
メールを一斉に送る作業だけを行う場合、配信システム側には「送信先のメールアドレス」さえ渡せば用が足ります。氏名やパスワード、カード情報といった高度な個人情報は最初から配信システムに保管されていないため、万が一配信システム側が攻撃を受けても、他の重要データまでは盗まれないという多層防御の構造になっていたのです。
不正アクセス発生の経緯と原因
今回の事故を理解する上で極めて重要なのは、「クラシエ薬品自体のサーバーが直接ハッキングされたわけではない」という点です。
外部委託サービス「アララ社」への不正アクセス
今回の流出の原因は、クラシエ薬品がメール配信業務に利用していた外部企業、アララ株式会社のメール配信サービス「repica（レピカ）」が第三者による不正アクセスを受けたことにあります。
経緯としては、まずアララ社が自社のメール配信サービスにおいて不正アクセスによる個人情報流出が発生したことを公表しました。これを受けて、同サービスを利用していたクラシエ薬品が直ちに調査を実施したところ、カンポフルライフの会員に向けて送信していたメールアドレスも流出対象に含まれていることが判明したのです。
アララ社の調査によれば、攻撃者は契約企業向けに用意されていた複数のサーバーに侵入しており、広範囲にわたる企業のメールデータが危険にさらされていました。アララ社全体では持ち出しが確認されたものやそのおそれがあるものを含め、数千万件規模のメールアドレスが影響を受けるという非常に大規模なセキュリティ事故となっています。
サプライチェーン攻撃の脅威
このように、自社のセキュリティがどれほど強固であっても、業務を委託しているパートナー企業や外部のクラウドサービスを経由して情報が盗まれてしまう手口を、セキュリティの世界では「サプライチェーン攻撃」と呼びます。
現代の企業活動において、すべてのITシステムを自社だけで構築・運用することは現実的ではありません。メール配信、クラウドストレージ、顧客管理、決済システムなど、専門的な外部サービスを組み合わせて効率的な運用を行うのが一般的です。
しかし、攻撃者はその構造に目をつけ、セキュリティ対策が厳重な大企業本体を直接狙うのではなく、セキュリティの隙間が生じやすい委託先や連携サービスを足がかりにして情報を盗み出そうとします。今回のカンポフルライフの事案は、まさにこのサプライチェーンリスクが現実のものとなってしまった典型例と言えます。
クラシエ薬品の現在の対応とサービスの状況
事故の発覚を受けて、クラシエ薬品および親会社のクラシエ株式会社は迅速な対応を進めています。
メール配信の即時停止
クラシエ薬品は、被害の拡大を防ぐため、不正アクセスを受けたアララ社の「repica」を利用したメール配信を全面的に停止しました。原因となった配信経路を遮断することで、これ以上のデータ流出を防ぐ措置を講じています。
サイト本体の稼働状況
ここで混同してはならないのが、「メール配信の停止」と「カンポフルライフのサービス停止」は別物であるという点です。
クラシエの発表では、影響を受けたのはあくまでメールを送信する外部の仕組みであり、カンポフルライフのWebサイトそのものが停止したり、会員機能が使えなくなったりしたわけではありません。サイト上のコラム閲覧などの機能は基本的に維持されています。利用者の皆さまが過度に混乱する必要はありません。
お問い合わせ窓口の設置
クラシエ薬品では、会員からの不安や疑問に対応するため、専用のお問い合わせ窓口を案内しています。
-
クラシエ薬品株式会社 お客様相談センター
電話番号：03-5446-3334
受付時間：月曜日〜金曜日 10:00〜17:00（祝日・窓口休業日を除く） -
クラシエホームページ お問い合わせフォーム
Webサイト上のお問い合わせ窓口から常時受付
もし自分自身のアカウントに関して気になる点や確認したいことがある場合は、こうした公式の窓口を通じて相談することができます。
会員が直面するリスクと警戒すべき不審メールの手口
氏名やクレジットカード番号が流出していないとはいえ、「メールアドレスが流出した」という事実を軽視することはできません。悪意ある第三者の手にメールアドレスが渡った場合、どのようなリスクが生じるのでしょうか。
迷惑メール・スパムメールの急増
最も身近な影響は、見覚えのない広告メールや迷惑メールが突然増えることです。流出したメールアドレスのリストは、いわゆる「生きたメールアドレス（実際に使われているアドレス）」として不正な名簿業者などの間で売買されることがあります。その結果、出会い系サイトへの勧誘、怪しい投資話、副業の案内といった迷惑メールが頻繁に届くようになる恐れがあります。
フィッシング詐欺（なりすましメール）の危険
さらに深刻なのが「フィッシング詐欺」と呼ばれる攻撃です。実在する企業や公的機関、あるいはクラシエやカンポフルライフそのものを装った偽のメールを送りつけ、受信者を騙して危険なサイトへ誘導しようとします。
メールアドレス単体であっても、攻撃者は巧みな心理作戦を用いて次のような手口を仕掛けてくる可能性があります。
1. クラシエやカンポフルライフを装う手口
「先日の個人情報流出に伴うお詫びとご案内」「会員情報流出に関する補償金のお受け取り手続きについて」「セキュリティ強化のためのパスワード再設定のお願い」といった、今回の事件に直接便乗したメールが届く危険性があります。不安になっている心理につけ込み、本文中のリンクをクリックさせようとする非常に悪質な手口です。
2. 大手ECサイトや宅配業者を装う手口
カンポフルライフとは関係なく、大手通販サイト、銀行、クレジットカード会社、宅配便の不在通知などを装った偽メールが届くことも考えられます。「アカウントが不正利用されたため一時停止しました」「お荷物のお届けに失敗しました」といった緊急性を煽る文面で、偽のログイン画面に誘導し、そこで氏名やパスワード、カード番号を入力させようとします。
3. 健康や漢方に関連する勧誘手口
カンポフルライフの会員が「健康や漢方に興味を持っている層」であることを攻撃者が推測し、怪しい健康食品の購入案内や、無料の健康診断・カウンセリングを装ったメールを送りつけてくる可能性も否定できません。
不審なメールを受け取った際の具体的な対処法
会員の皆さまが二次被害に遭わないために、日常生活の中で実践すべき具体的な対処法を解説します。怪しいメールに直面した際は、慌てず冷静に対処することが何よりも大切です。
1. 本文中のURLやボタンを絶対にクリックしない
不審なメールや少しでも違和感を覚えるメールが届いた場合、本文中に記載されているリンク先URLや「ログインはこちら」「確認する」といったボタンは絶対に押してはいけません。リンク先が本物そっくりに作られた精巧な偽サイト（フィッシングサイト）になっており、アクセスしただけでウイルスに感染したり、個人情報を盗み取られたりする危険があります。
2. 添付ファイルは絶対に開かない
メールに「詳細はこちらのPDFをご確認ください」「添付のファイルを開いてご確認ください」と書かれていても、添付ファイル（ZIPファイル、PDFファイル、WordやExcelファイルなど）を開いてはいけません。ファイルを開いた瞬間にパソコンやスマートフォンが不正なプログラム（マルウェア）に感染し、端末内のデータが覗き見られたり遠隔操作されたりする恐れがあります。
3. メールに返信しない
「配信停止はこちら」と書かれていたり、腹が立って「二度と送るな」と抗議したくなったりしても、返信をしてはいけません。返信をすることで、「このメールアドレスは現在も持ち主が活発に使っている」という事実を攻撃者に教えてしまうことになり、かえって迷惑メールが増加する原因になります。
4. メールは開かずにそのまま削除する
怪しいと感じたメールは、中身を細かく読もうとせず、そのままゴミ箱に入れて削除するのが最も安全です。可能であれば、お使いのメールソフトやWebメールが備えている「迷惑メール報告」や「ブロック」機能を利用して、同じ送信元からのメールが自動的に迷惑フォルダへ振り分けられるように設定してください。
5. 公式な連絡かどうかを確認する「正しい手順」
もし「重要なお知らせ」「パスワードの変更が必要」といったメールが届き、それが本物なのか偽物なのか判断がつかない場合は、以下の手順で確認してください。
-
送られてきたメール内のリンクは一切使わない。
-
普段使っているスマートフォンのアプリ、またはブラウザの「ブックマーク（お気に入り）」から直接公式サイトを開く。
-
検索エンジンで公式サイトを検索し、正しいURLであることを確認してアクセスする。
-
公式サイトの「お知らせ一覧」や「トップページ」に、メールと同じ内容の告知が掲載されているかを確認する。
本当に企業から全会員に向けた重要なお知らせであれば、必ず公式サイトのトップページやマイページ内にも同様の案内が掲示されています。メールのリンクからではなく、正規の入り口から確認する習慣を徹底してください。
パスワードを誤って入力してしまった場合の緊急対応
注意していても、巧妙に作られた偽サイトに騙されてしまい、ログインパスワードや個人情報を入力してしまう事故は起こり得ます。万が一、不審なリンク先で情報を送信してしまった場合は、一刻も早く以下の対処を行ってください。
1. 正規の公式サイトからパスワードを即座に変更する
偽サイトでパスワードを入力してしまった場合は、数分〜数十分の間に攻撃者が本物のサイトへログインを試みる可能性があります。すぐに正規のルート（ブックマークなど）から本物のサイトにアクセスし、ログインパスワードを新しい強固なものに変更してください。
2. 同じパスワードを使っている他のサービスもすべて変更する
もし、入力してしまったパスワードを他のWebサイト（Amazon、楽天市場、Google、Apple ID、ネットバンキングなど）でも使い回していた場合は、それらのサービスでも直ちにパスワードを変更してください。攻撃者は盗んだメールアドレスとパスワードの組み合わせを使い、あらゆる人気サービスへ手当たり次第にログインを試みる「パスワードリスト攻撃」を仕掛けてきます。使い回しをしていると、まったく関係のない別のサービスまで乗っ取られてしまう危険があります。
3. クレジットカード情報を入力した場合はカード会社へ連絡する
もし偽サイトでクレジットカード番号やセキュリティコードを入力してしまった場合は、躊躇せずにクレジットカード会社の紛失・盗難受付窓口（24時間対応の窓口が一般的です）へ電話をかけてください。カードの利用停止手続きを行い、新しいカード番号で再発行してもらうことで、金銭的な被害を未然に防ぐことができます。
企業が直面する「外部委託セキュリティ」の難しさ
今回のクラシエ薬品の事案は、一企業の枠を超えて、現代のすべての企業や組織が直面しているセキュリティ上の大きな課題を浮き彫りにしています。
委託先管理の重要性と限界
多くの企業は自社のサーバーや社内ネットワークに多額の投資を行い、厳格なセキュリティ対策を講じています。しかし、業務の効率化や高度化を進める上で、専門企業への外部委託やSaaS（クラウド型ソフトウェアサービス）の利用は欠かせません。
委託契約を結ぶ際には、通常、相手企業のセキュリティ水準やプライバシーマークの取得状況、データ管理体制などを事前に審査・評価します。しかし、一度システムを接続して運用が始まると、委託先の日々の運用状況や潜在的な脆弱性までをリアルタイムで完全に監視し続けることは極めて困難です。
「ゼロトラスト」という考え方の必要性
こうしたリスクに対抗するため、近年のセキュリティ対策では「ゼロトラスト（何も信頼しないことを前提とする）」という考え方が浸透しつつあります。社外はもちろん、社内ネットワークや信頼している提携企業であっても、通信やデータのやり取りを無条件に信用せず、常に検証とアクセス制限を行うアプローチです。
また、万が一外部委託先が侵害されたとしても、被害を最小限に抑えられるよう、必要最小限のデータしか渡さない「データの最小化」を徹底することが極めて重要になります。今回のクラシエのケースにおいて、配信システムにメールアドレス以外の重要情報（氏名や決済情報）を渡していなかったことは、被害の深刻化を防ぐという意味で非常に適切な設計であったと評価できます。
カンポフルライフの会員が今すぐ確認しておきたいチェックリスト
本記事の解説を踏まえ、カンポフルライフに登録している会員の皆さまが、ご自身の安全を守るために今すぐ確認・実施しておきたい項目をチェックリスト形式でまとめました。
受信トレイの確認
ここ最近、見覚えのない送信元からのメールや、不審な件名のメールが届いていないか確認する。
迷惑メールフィルターの設定
お使いのメールサービス（Gmail、Yahoo!メール、キャリアメールなど）で、迷惑メールフィルターが有効になっているか確認する。
クラシエやカンポフルライフを名乗るメールへの警戒
「補償」「お詫び」「パスワード再設定」などを騙るメールが届いても、本文のリンクは開かず、まずは公式サイトの告知を確認する。
パスワードの管理体制の見直し
カンポフルライフに登録しているパスワードを、他の重要なサービス（ネット通販、金融機関など）でも同じものを使っていないか確認し、使い回しがあれば個別のパスワードに変更する。
不審な挙動があった際の相談先を把握
万が一トラブルが発生した際にすぐ連絡できるよう、クラシエ薬品のお問い合わせ窓口や、利用しているクレジットカード会社の連絡先を確認しておく。
まとめ
今回のクラシエ薬品「Kampoful Life（カンポフルライフ）」における会員情報の流出事故は、外部のメール配信サービス「repica」への不正アクセスという、委託先を足がかりにしたサプライチェーン型のインシデントでした。
事態の要点を振り返ると、以下の通りです。
-
流出件数と対象：2026年10月8日〜29日に配信されたメールアドレス59,428件が外部へ流出。
-
守られた情報：氏名、住所、電話番号、パスワード、クレジットカード情報などは流出していない。
-
発生原因：クラシエ自体のサーバー侵入ではなく、メール配信委託先（アララ社）への不正アクセスが原因。
-
現在の状況：該当システムによるメール配信は停止中。サイト自体は安全に稼働している。
-
利用者への影響：迷惑メールやフィッシング詐欺メールが届くリスクがあるため、リンクのクリックや添付ファイルの開封を行わず、不審なメールは削除することが推奨される。
メールアドレスの流出は決して軽視できるものではありませんが、パスワードや決済情報などの致命的なデータが守られているため、利用者が手口を正しく理解し、怪しいメールを警戒していれば二次被害を十分に防ぐことができます。
情報が届いた際は決して慌てることなく、「メールのリンクは押さない」「添付ファイルは開かない」「確認は必ず公式サイトの正規ルートから行う」というセキュリティの基本原則を徹底し、安全にインターネットサービスを活用していきましょう。
