北海道電力は2026年11月13日、ECサイト「きらめくストア」のメール配信に使っていた外部サービスへの不正アクセスにより、メールアドレス5,664件が流出したと発表しました。対象は、2026年7月1日～10月28日にサービス案内などのメール配信先として登録されていたメールアドレスです。
いま確認したいのは、きらめくストアからの案内メールを受け取っていたかどうかと、不審なメールを開いていないかの2点です。北海道電力は流出した個々のメールアドレスの報告を受けておらず、対象者への個別連絡が難しいと説明しています。通知が来ないことだけでは対象外と判断できません。
確認日：2026年11月14日。北海道電力・きらめくストアの公式発表（11月13日）に基づきます。新しい調査結果により情報が更新される可能性があります。
北海道電力で何が流出した？件数・対象情報・原因
| 確認項目 | 北海道電力の発表内容 |
|---|---|
| 公表日 | 2026年11月13日 |
| 対象サービス | 北海道電力が運営するECサイト「きらめくストア」のメール配信 |
| 流出が確認された情報 | メールアドレス5,664件 |
| 対象となる登録期間 | 2026年7月1日～10月28日 |
| 不正アクセスの発生期間 | 2026年10月27日～31日 |
| 不正アクセスを受けた先 | アララ株式会社のメール配信サービス「アララメッセージ」のWebサーバー |
| 流出していないと公表された情報 | 氏名、住所、電話番号、パスワード、クレジットカード情報 |
| 本体システムへの侵入 | 「きらめくストア」「MakeRepeater」本体への不正アクセスは現時点で確認されていない |
| 北海道電力の対応 | 「アララメッセージ」との連携を停止し、関係企業と影響を調査中 |
出典：北海道電力「メールアドレスの一部流出について」（2026年11月13日）。この件は「電力契約者全員の情報が漏れた」という発表ではありません。また、5,664件はメールアドレスの件数であり、5,664人と断定できる人数ではありません。
自分は流出対象？「きらめくストア」のメールを確認する方法
北海道電力が示した対象は、2026年7月1日～10月28日の間、サービス案内などを送る宛先として登録されていたメールアドレスです。単に北海道電力と電気の契約をしているかどうかでは判断できません。
- 「きらめくストア」を利用したことがあるか確認：商品の購入履歴だけでなく、メールマガジンやサービス案内を受信した覚えがないか振り返ります。ただし、購入したことだけで対象と断定はできません。
- メールの受信履歴を検索：メールアプリやWebメールで「きらめくストア」「北海道電力」などのキーワードを検索し、2026年7月1日～10月28日頃の案内メールが届いていないか見ます。メールの送信元表示だけで真正性は判断せず、リンクは開かないでください。
- 北海道電力の公式発表を確認：対象条件と注意事項は、メールのリンクではなく、自分で開いた公式サイトから確認します。過去メールが見つかっても、個々のアドレスが流出したことの確定にはなりません。
- 判断できなければ公式窓口に問い合わせ：ただし、北海道電力は流出した個々のメールアドレスについて報告を受けていないため、個別の該当可否を照会しても確認できるとは限りません。
重要：北海道電力は対象者へ一人ずつ通知するための流出アドレス一覧を受け取っておらず、今回の公表によって注意喚起しています。「流出通知メールが届いていないから安全」とは判断しないでください。
個別の通知メールが来ないのはなぜ？
北海道電力によると、流出した個々のメールアドレスについて、現時点でアララ側から報告を受けていません。そのため、個別に連絡することは困難としており、11月13日の公式発表で利用者へ知らせています。
一方で、「きらめくストア」の注文確認メールや配送通知が停止したとの公表は、今回確認した資料からは読み取れません。メール配信サービスとの連携停止を、ECサイトの全メール機能が停止したという意味に読み替えないことが必要です。
パスワード変更・クレジットカード停止は必要？
北海道電力は今回の流出情報にパスワードやクレジットカード情報は含まれないと明記しています。今回の発表だけを根拠に、全利用者が直ちにパスワードを変更したりカードを停止したりする必要があるとはいえません。
ただし、メールアドレスが第三者に渡ると、正規のショップや配送会社を装った偽メールを送り付ける足掛かりに使われる可能性があります。アカウントの安全性は「漏れた情報そのもの」と「その後に偽サイトへ入力してしまった情報」を分けて考えてください。
不審なメールが届いたときの対処法
| 状況 | 取るべき行動 |
|---|---|
| 心当たりのないメールを受信した | URL・添付ファイルを開かず、公式サイトへ自分でアクセスして事実を確認する。表示名が北海道電力や配送会社でも信用しない。 |
| 本文のリンクを開いてしまった | 入力やファイル実行をしていないか確認。ページを閉じ、身に覚えのないダウンロード・アプリの有無を確認する。 |
| 偽サイトにパスワードを入力した | メールのリンクからではなく公式サイトでパスワードを変更。使い回しているサービスも変更し、可能なら多要素認証やログイン履歴を確認する。 |
| 認証コードを入力・送信した | 当該サービスの正規窓口へ速やかに連絡し、不審なログインやセッションの停止を相談する。 |
| クレジットカード番号を入力した | カード会社の正規窓口へ連絡して利用停止・再発行など必要な措置を相談し、利用明細を確認する。 |
想定される偽メールの例は、「注文内容の再確認」「配送先住所の修正」「会員情報の再認証」「支払い方法の更新」などです。これは一般的なフィッシングの例であり、今回の北海道電力の利用者にこれらの文面が実際に送られたと確認したものではありません。
なぜ北海道電力のECサイトの情報が流出した？3社の関係
今回のポイントは、販売サイトが直接攻撃されたと確認されたのではなく、メールマガジンの配信処理を担う再委託先のサービスから情報が持ち出されたことです。
| 役割 | 使われていたサービス・事業者 | 確認された状況 |
|---|---|---|
| ① ECサイト | 北海道電力「きらめくストア」 | 本体への不正アクセスは現時点で確認されていない |
| ② メールマガジン管理 | GMOメイクショップ「MakeRepeater」 | 本体への不正アクセスは現時点で確認されていない |
| ③ メール配信処理 | アララ「アララメッセージ」 | Webサーバーに不正アクセス。情報の持ち出しを確認 |
つまり、きらめくストア → MakeRepeater → アララメッセージというメール配信の利用関係の中で、最後の配信基盤が不正アクセスを受けた構図です。表は公式発表に記された関係を整理したもので、実際のシステム間通信経路や内部構成を再現した図ではありません。
技術面：委託先の事故で、なぜ顧客のアドレスが漏れる？
メール配信を外部サービスへ委託する際には、送信に必要なメールアドレスが委託先側で取り扱われます。その配信基盤が侵害されれば、販売サイト自体へ攻撃者が侵入していなくても、送信先データが外部へ持ち出されることがあります。今回の発表では「アララメッセージ」のWebサーバーが攻撃されたことが確認されていますが、北海道電力向けのデータが具体的にどの操作で持ち出されたのか、利用された脆弱性番号（CVE）などは特定できません。
アララは11月6日時点で、情報流出に加えてサービスの不正利用や不審メールの送信も公表しています。ただし、その発表をもって北海道電力の5,664件のメールアドレスに不審メールが送信されたと判断することはできません。詳細はアララの公式説明（11月6日）を参照してください。
IT担当者が確認したい、メール配信の委託先リスク
企業・自治体・施設のIT担当者は、今回のような連鎖的な影響を想定し、自社の契約先だけでなく、メール配信を実行しているサービスまで把握しておきたいところです。以下は一般的な点検例であり、北海道電力で実際に欠けていた対策を示すものではありません。
- 委託・再委託の棚卸し：メールマガジン、通知メール、ECの自動配信それぞれについて、業務担当・契約事業者・実際の送信事業者を整理する。
- データの最小化：配信先で扱う属性を確認し、送信に必要のない住所・会員情報などを預けていないか見直す。
- 権限と監査ログ：配信名簿の閲覧・出力権限、APIキー等の管理、異常な一括出力や大量送信の検知方法を委託先へ確認する。
- 停止時の代替連絡：配信基盤を停止した際、注文確認・手続き・復旧案内をどの経路で連絡するか事前に整理する。
アララ側の権限管理や出力機能に関する考え方は、当サイトのアララメッセージ不正アクセスの技術解説記事でも整理しています。
北海道電力への問い合わせ先
ほくでんお客さま相談センター：0120-956-688（ガイダンス1番）。受付は平日9:00～17:00。土日祝日、12月29日～1月3日、5月1日は受付対象外です。問い合わせ前に公式発表を確認してください。
問い合わせ先・受付時間は北海道電力の公式案内に記載されています。不審メールに書かれた電話番号ではなく、公式サイトの番号を確認して連絡してください。
よくある質問
北海道電力で電気を契約しているだけでも対象ですか？
今回公表された対象は「きらめくストア」のサービス案内等のメール配信先として登録されていたメールアドレスです。電気契約をしているという条件だけで、今回の漏えい対象とは断定できません。
通販サイトで買い物をしたことがあれば必ず対象ですか？
必ずしもそうではありません。公表されているのは2026年7月1日～10月28日に案内等のメール配信先として登録されていたアドレスです。個別の流出アドレス一覧は北海道電力側に報告されていないため、購入履歴だけで断定できません。
カード情報やショップのログインパスワードも流出しましたか？
北海道電力は、氏名、住所、電話番号、パスワード、クレジットカード情報は流出していないと発表しています。今回の事故に関連して、偽メール経由でこれらの情報を入力してしまった場合は別途対処が必要です。
対象者にはメールで個別に連絡が来ますか？
北海道電力は、個々の流出メールアドレスの報告を受けておらず、個別の連絡が困難だと説明しています。11月13日の公式発表が注意喚起の手段とされています。
まとめ｜対象条件を確認し、不審メールのリンクを開かない
北海道電力「きらめくストア」のメールアドレス5,664件流出は、外部メール配信サービス「アララメッセージ」への不正アクセスによるものです。公表された流出項目はメールアドレスで、ショップの本体システムへの侵入は現時点で確認されていません。利用者は対象期間に受け取った案内メールの履歴を手掛かりに公式発表を確認し、心当たりのないメールからの入力・操作を避けてください。
同じ侵害元による他企業・自治体の被害や全体の調査状況は、当サイトのアララメッセージ不正アクセス・影響企業まとめをご覧ください。北海道電力の5,664件は同じ事故に関連する件数であり、アララ全体の集計へ重複確認なしに単純加算できません。
出典・更新履歴
- 北海道電力：当社ECサイト「きらめくストア」で利用する外部メール配信サービスへの不正アクセスによるメールアドレスの一部流出について（2026年11月13日公表）
- きらめくストア：同件のお知らせ（2026年11月13日公表）
- アララ：不正アクセスに関するお詫びと今後の対応（2026年11月6日公表）
更新履歴：2026年11月14日初版作成。確認時点で未確定の事項：個別の流出メールアドレス、北海道電力の配信先リストに対する具体的な持ち出し操作、攻撃の最終的な侵入経路・CVE、調査完了日。
