北陸電力ほくリンク55万件､発表文が書かなかった委託の二層

北陸電力が2026年11月2日に発表した､会員サービス｢ほくリンク｣のメールアドレス約55万件の流出を扱います｡
北陸電力の発表文､メール配信サービスを運営するアララ株式会社の発表文2本､報道各社の見出しを並べて読みました｡
見出しでは｢委託先に不正アクセス｣と1段で書かれた経路が､北陸電力の資料では2段になっています｡
件数はすべて11月2日時点の値です｡
アララは精査中で､今後変わる可能性があるとしています｡

何が報じられたか

北陸電力は2026年11月2日付の資料｢北陸電力会員サービス『ほくリンク』会員のメールアドレス外部流出について｣を公表しました｡
資料によると､ほくリンク会員向けのメール配信を委託している外部の運営会社から､同日に連絡を受けています｡
連絡の内容は次の2点です｡
10月28日から31日にかけて､メール配信に使っているサービスへの不正アクセスがあったこと｡
これにより個人情報(最大約380社分､約7,700万件)が外部に流れ､その中にほくリンク会員のメールアドレス約55万件が含まれていたことです｡

北陸電力は､流出した情報はメールアドレスに限られ､ほかの情報の流出は確認されていないと書いています｡
対象者には｢ほくリンクアプリ｣などで連絡し､不審なメールへの注意を呼びかけるとしています｡
ほくリンク以外の情報についても調べており､現時点で流出は確認されていないとしています｡

同じ日の20時32分､北日本新聞webunプラスが｢北電､メールアドレス55万件流出｣の見出しで報じました｡
無料で読めるリードでは､委託先としてアララ(東京)の名前が挙がっています｡
本文は有料のため､全文は確認していません｡

原典に当たる

この件では一次資料が3本あります｡

1本目は北陸電力の資料です(1ページ)｡
ここには3つの主体が出てきます｡
北陸電力､北陸電力がメール配信を委託している｢外部の運営会社｣､その運営会社が使う｢メール配信サービス｣とその提供会社です｡
不正アクセスを受けたのはメール配信サービスで､運営会社そのものではありません｡
資料には運営会社の名前も､サービス提供会社の名前も書かれていません｡

2本目はアララが2026年10月29日に出した第1報です｡
アララは自社のメール配信サービス｢アララメッセージ｣への不正アクセスを10月28日に確認したとしています｡
1システムが対象で､利用企業が持つメールアドレス約301万件が持ち出されたこと､原因はWebサーバーの脆弱性だったことが書かれています｡

3本目はアララが11月2日に出した第2報です(5ページ)｡
影響を3つの区分に分けています｡

• 区分(1): サービスを経由した不正アクセス｡
  発生は10月28日から31日､把握は10月31日｡
  対象は契約企業の環境のサーバー97台で､企業数は推計で最大約380社｡
  メールアドレスは約77百万件(精査中)
• 区分(2): 第1報の共用環境｡
  契約企業61社のメールアドレス3,386,187件(重複除外)と､5社が登録した顧客データ最大411,827件
• 区分(3): サービスを不正に使った不審メールの送信｡
  10月28日から30日に最大約713万通

この表を読むときは､定義に注意が要ります｡
まず件数はメールアドレスの数で､人数ではありません｡
第2報は､1人が複数のアドレスを持っている可能性があるため､最終ユーザー数を示すものではないと書いています｡
次に､持ち出された｢恐れ｣のあるものも含んでいます｡
判断は記録の読み取り量に基づくとされています｡
さらに､区分の間で重複がありうるため件数は合算していません｡
流出した項目は､区分(1)ではメールアドレスに加えて､契約企業が登録した氏名・性別・生年月日・電話番号・住所などとされています(項目は企業ごとに違います)｡
アララは10月31日にサービスを全面停止し､再開時期は未定としています｡
個人情報保護委員会には10月29日に速報を出し､警察にも同日通報したと書いています｡

北陸電力の資料にある｢最大約380社｣｢10月28日から31日｣は､第2報の区分(1)と一致します｡
約7,700万件も､第2報の約77百万件と同じ数です｡

報道との差分

原資料と見出しを並べます｡
見出しの引用は各社20字以内です｡

差は2つに集まります｡
1つは､3者の関係が2者に畳まれていることです｡
北陸電力の資料では､直接の委託先(運営会社)と､侵入されたサービスの提供会社は別に書かれています｡
見出しはこれを｢委託先｣の1語にまとめています｡
もう1つは､件数の条件が落ちていることです｡
第2報が付けている｢人数ではない｣｢恐れを含む｣｢精査中｣の3つの留保は､どの見出しにも残っていません｡

なぜそうなったか

見出しの短さは､字数の制約で説明がつきます｡
｢委託先が使うサービスの提供会社に不正アクセス｣と書くと､それだけで見出しの大半を使います｡
北陸電力の資料の冒頭の一文も､3者の関係を説明するのに1行半を使っています｡

北陸電力分の55万件が前に出て､全体の約7,700万件が見出しから外れたことにも理由があります｡
北日本新聞・北國新聞・北日本放送・北陸放送・福井放送は､いずれも北陸電力の供給区域で配信する媒体です｡
読者は､自分が55万件に入っているかを知りたい立場にいます｡
NHKの見出しも｢北陸電力の会員向けサービス利用者55万件｣で､北陸電力を主語にしています｡

北日本新聞がアララの名前を出せたのは､アララの第2報が同じ11月2日に公表されていたためと考えられます｡
｢最大約380社｣など北陸電力の資料の数字は､第2報と照らし合わせられます｡
ただし､資料からは確認できないことがあります｡
北陸電力が直接委託している運営会社がアララ自身なのか､アララのサービスを使う別の会社なのかは､北陸電力の資料には書かれていません｡

流出した項目の書き方にも､見かけ上の食い違いがあります｡
北陸電力は｢メールアドレスに限られ｣と書いています｡
一方､第2報の区分(1)は氏名などの会員情報も含むとしています｡
第2報によると､項目は契約企業が何を登録したかで変わります｡
そのため､2つの記述は矛盾しないと読めます｡
北陸電力がメールアドレス以外を登録していたかどうかは､資料からは確認できません｡

分からなかったこと

北陸電力が委託している運営会社の名前と､アララとの契約関係は分かりませんでした｡
ほくリンクの会員数も北陸電力の資料に書かれていないため､55万件が会員全体のどれだけにあたるかは出せません｡
55万件が第2報のどの区分に入るのかも明記されていません｡
期間と社数は区分(1)と合いますが､照合の範囲にとどまります｡
アララ第2報の中にも記述の差があります｡
本文は区分(1)の持ち出しを10月28日から31日としていますが､別表1では10月29日1時36分から10月30日2時22分です｡
どちらが正しいかは確認できませんでした｡
北日本新聞の本文は有料部分で､読めていません｡

出典

• 北陸電力株式会社｢北陸電力会員サービス『ほくリンク』会員のメールアドレス外部流出について｣2026年11月2日 https://www.rikuden.co.jp/press/attach/26110201.pdf
• アララ株式会社｢当社が提供する『アララメッセージ』への不正アクセスによる情報流出およびサービス停止について(第2報)｣2026年11月2日 https://www.arara.com/dcms_media/other/arara_20261102__.pdf
• アララ株式会社｢当社が提供する『アララメッセージ』への不正アクセスによる情報流出およびサービス停止について｣2026年10月29日 https://www.arara.com/news/info/20261029_arara
• 北日本新聞webunプラス｢北電､メールアドレス55万件流出 委託先に不正アクセス｣2026年11月2日 https://webun.jp/articles/-/1121874
• 中日新聞Web 2026年11月 https://www.chunichi.co.jp/article/1334063
• 北日本放送(Yahoo!ニュース配信) https://news.yahoo.co.jp/articles/b7968b7d492145c26b5cb85c818a067e02e378cd
• 福井放送(Yahoo!ニュース配信) https://news.yahoo.co.jp/articles/e3be10b3870c95ee824459d4a247a373e7d02306
• 北陸放送(Yahoo!ニュース配信) https://news.yahoo.co.jp/articles/dff1e2f73a5d45296d1260802d91853b1e7e241e
• NHK https://news.web.nhk/newsweb/na/nd-20261102de69824