Zaif（ザイフ）のメールアドレス流出｜なりすましメールの見分け方と、利用者が今すること

「Zaif 流出」というニュースを見て、口座のお金は大丈夫なのか、何をすればいいのかを確かめに来た人に向けた記事です。

先に、この記事が渡すことを1つだけ書きます。

流出したのはメールアドレスだけで、Zaifは、メールアドレスだけでは口座にログインできないと書いています（11月4日の時点で、不正ログインや資産の流出は確認されていません）。気をつけるのは、これから届くかもしれない「Zaifを名乗るメール」の方です。Zaifは、メールでパスワードや二段階認証コードを聞くことは一切ないと書いています。続報は、Zaifのホームページのお知らせ欄と公式Xで確かめてください。

根拠にしたのは、Zaifが2026年11月2日に出した第1報と11月4日に出した第2報、メール配信の委託先のアララ株式会社が10月29日に出したお知らせです。どれも記事の最後にリンクを置いています。報道（CoinPost）を使った所は、そう書いています。

※ 情報提供のみを目的としています。特定の取引所やサービスの利用は勧めません。

塾長とミサキ

昼休み。ミサキから塾長に、ニュースアプリの画面を写した画像つきのチャットが届いた。見出しは「Zaif、メール配信の委託先から38万超のメールアドレス流出を確認」。

ミサキ

「塾長、これ。Zaifって、暗号資産の取引所ですよね。38万って……使ってる人のお金、抜かれちゃったんですか」

塾長

「見た。38万の次に、何が流出したと書いてある？」

ミサキ

「次に……」

返信は、少し間があって届いた。

ミサキ

「……『メールアドレス流出』。見出しに、ちゃんと書いてありました。38万と『流出』だけ見て、お金のことだと思ってました」

塾長

「38万は、目に入るよな」

ミサキ

「でも、アドレスだけって言われても、ピンとこないです。それで何か困ることあるんですか。私はまだ口座もないですけど、いつか作るとき、こういうのが一番気になるので」

塾長

「Zaifが出したお知らせに、流出したものと、してないもの、それに利用者へのお願いまで書いてある。見出しじゃなく、そっちを読もう」

1. 何が起きたか：メールを送るための委託先に、不正アクセス

Zaifは、利用者にお知らせのメールを送るのに、アララ株式会社のメール配信サービス「アララ メッセージ」を使っていました。メールを送るために、利用者のメールアドレスをこのサービスに登録していた、ということです。そのアララのサーバーに、第三者の不正アクセスがありました。

発表の日付の順に並べると、次のとおりです。

Zaifは第2報で、自社のシステムへの不正アクセスは確認されていないとしています。流出は、委託先のサーバーで起きたものです。関係当局に報告したとも書いています。

参考（報道）：CoinPostは、アララの発表として、攻撃者が「アララ メッセージ」を悪用し、第三者が外部から持ち込んだアドレスあてに、10月28日から30日にかけて、クレジットカード会社を装う不審なメールを最大約713万通送ったと伝えています。この報道は、その送り先がZaifの利用者のアドレスだったとは書いていません（当校は、アララのこの発表そのものは確かめられていません）。それでも、メール配信のサービスが悪用されて、会社を装うメールが実際に送られたと報じられている、ということは覚えておいてください。

2. 流出したもの・していないもの

第2報の書き方を、そのまま表にします。

2つの行は、言っている人が違います。上の行はアララの調べ、下の行は「Zaifはアララにアドレスしか登録していない」というZaifの説明です。

ログインについては、こう書かれています。

流出した情報にパスワード等の認証情報は含まれておらず、メールアドレスのみでお客さまの口座にログインすることはできません。現時点において、本件に起因する不正ログインや資産の流出等の二次被害は確認されておりません。

場面のミサキは、見出しの「38万」から「お金が抜かれた」と考えました。けれど、この件で流出したと発表されているのは、口座の中のお金ではなく、アドレスです。口座に入るためのパスワードなどは、含まれていません。 二次被害が確認されていないのは「現時点」、つまり第2報を出した11月4日の時点の話です。

今は使っていない人も、対象かもしれない

第2報には、もう1つ大事な一文があります。

流出したメールアドレスには、過去に当社が同社のサービスに登録したものが含まれている可能性があり、現在ご利用中のお客さまの件数を含む内訳については、当社にて確認を進めております。

38万件のうち、今も使っている人が何件かは、まだ分かっていません。昔Zaifを使っていて、今は使っていない人のアドレスも入っているかもしれない、ということです。「もう使っていないから関係ない」とは言い切れません。

先に予想してください

第2報が出た後、あなたのところに、こんなメールが届いたとします。

差出人の名前は「Zaif」。見覚えのあるロゴも入っています。本文には「セキュリティ確認のため、下のリンクからログインし、パスワードと二段階認証コードを入力してください」とあります。

A 本物かもしれない。念のため、リンクからログインして確かめる

B リンクは押さない。Zaifからのメールではないと考える

決めてから、先へ進んでください。

3. 答え合わせ：なりすましメールの見分け方

答えはBです。決め手は、差出人の名前やロゴではありません。Zaif自身が第2報に書いた、次の2つの文です。

※当社からメール等を通じて、お客さまのパスワードや二段階認証コード等の認証情報をお尋ねすることは一切ございません。

アララ株式会社のサービス停止に伴い、現在、当社からの各種お知らせメールの配信を一時停止しております。

Aの「念のため確かめる」は、慎重な人ほど選びたくなる答えです。けれど、その確かめ方が「メールのリンクからログインする」なら、偽のログイン画面にパスワードとコードを渡すことになりかねません。第2報も、偽のログイン画面などに認証情報を入れないよう呼びかけています。

第2報には、こう書かれています。

流出したメールアドレス宛てに、当社やアララ株式会社等を名乗る不審なメール（なりすましメールやフィッシングメール）が届く可能性がございます。

なりすましメールは、Zaifの名前だけで来るとは限りません。アララなど、ほかの名前を名乗ってくることもある、と書かれています。

見分けるときの2つの軸

ここで、注意が1つあります。Zaifは、メールをずっと止めるわけではありません。第2報は、こうも書いています。

メール配信の再開後、対象のお客さまには改めて個別にご連絡いたします。

再開の時期と方法は、決まり次第ホームページで案内するとしています。つまり、いつかは本物のZaifからのメールも届きます。「Zaifからのメールは全部偽物」と覚えてしまうと、その本物の連絡まで見落とします。

そこで、当校は見分ける軸を次の2つに分けて考えます。

1つ目は、メールの再開後もずっと使える軸です。2つ目は、再開の案内が出るまでの間の軸です。案内が出たかどうかは、メールの中ではなく、Zaifのホームページのお知らせ欄で確かめます。

なお、第2報が止めていると書いているのは「各種お知らせメール」です。自分でログインしたときなどに届くメールが、これに含まれるかどうかは、第2報には書かれていません。2つ目の軸は「疑うきっかけ」として使い、最後の決め手は1つ目の軸にしてください。

4. 利用者が今すること

怪しいメールが届いたら

Zaifとアララが、それぞれのお知らせで呼びかけていることをまとめます。

確かめたいときは、メールの外から

本物かどうか気になったときに、メールのリンクを使って確かめに行くのは、二択のAと同じです。Zaifは、続報を含む大事なお知らせは、ホームページのお知らせ欄と公式Xに載せると書いています。この2つを合わせると、当校がおすすめする確かめ方はこうなります。メールの中のリンクではなく、自分でZaifのホームページを開いて、お知らせ欄を見てください。

二段階認証の設定を確かめる

第2報は、口座の安全のために、こう呼びかけています。

また、お客さまの口座の安全のため、メール認証をご利用のお客さまは、より安全性の高い認証アプリによる二段階認証への切替をご検討ください。

今の自分の設定が「メール認証」なのか、「認証アプリによる二段階認証」なのかを確かめ、メール認証なら、切り替えを考えてください。Zaifは、認証アプリの方を「より安全性の高い」と書いています。

ただし、切り替えの画面の手順は、この記事では確かめていません。 Zaifの公式ヘルプの案内を、Zaifのホームページから開いて確かめてください。

困ったときの問い合わせ先

この件の問い合わせ先として、Zaifは第2報の中で、お問い合わせのページ（記事の最後にリンクを置いています）を案内しています。偽の画面にパスワードなどを入れてしまったときにどうするかは、第2報には書かれていません。当校としては、そうなったときは自分で判断せず、この問い合わせ先で相談することをすすめます。

5. まだ分からないこと

• 38万536件のうち、今もZaifを使っている人が何件か。 Zaifが確認中としています。
• Zaifのお知らせメールが、いつ、どんな方法で再開するか。 決まり次第ホームページで案内する、とだけ書かれています。
• Zaifを名乗るなりすましメールが、実際に届いたという報告。 この記事の調べでは、一次情報では見つかりませんでした。
• 二段階認証の切り替えの手順。 Zaifの公式ヘルプのページは、この記事では読んでいません。
• アララへの不正アクセスが、いつ始まったか。 アララのお知らせは、原因をWebサーバーの脆弱性の悪用とし、10月28日に不正アクセスを確認したと書いていますが、いつから侵入されていたかは書いていません。影響の詳しい調査は進めているとしています。

二次被害が確認されていないのも、11月4日の第2報の時点の話です。新しい事実が分かれば、Zaifはホームページなどで知らせるとしています。

塾長とミサキ（続き）

しばらくして、ミサキからまたチャットが届いた。

ミサキ

「読みました。38万って数字より、『メールアドレスのみ』の一行のほうが大事でしたね」

塾長

「どこが一番効いた」

ミサキ

「パスワードや二段階認証コードを、メールなどで『お尋ねすることは一切ございません』のところです。……それで、さっき自分の受信箱を見ちゃいました。カード会社とか銀行とか、お知らせメールがすごい数来てて。あれも全部、同じように考えていいんですか」

塾長

「それは、その会社が何と書いているか次第だ。今日のは、Zaifのお知らせに書いてあることだからな」

ミサキ

「……会社ごとに見る、ですね。じゃあ、もう一つ。Zaifが勧めてた『認証アプリ』って、メールで届くコードと何が違うんですか。口座を作るとき、たぶんそこで迷います」

塾長

「そこは、今日の資料には書いてない。次に、一緒に調べよう」

今日できること

• Zaifを名乗るメール（アララなど、ほかの名前のものも）のリンクは押さない。添付も開かない。 パスワードや二段階認証コードを求めてきたら、Zaifからのメールではありません。
• 気になったら、メールの中ではなく、自分でZaifのホームページを開いてお知らせ欄を見る。 メールの再開の案内が出ているかも、そこで確かめます。
• Zaifの口座の二段階認証が「メール認証」になっていないかを確かめる。 メール認証なら、認証アプリによる二段階認証への切り替えを考える（手順はZaifの公式ヘルプで）。
• 今はZaifを使っていない人も、昔登録したことがあるなら、同じように気をつける。

まだ暗号資産の口座を持っていない人は、「取引所が、メールでパスワードやコードを聞いてくることはあるか」を、口座を作る前にその取引所の案内で見ておいてください。

この記事の一次情報と確認日

下の資料は、本文を取得して保存した写しと引用を照合しています（確認日：2026年11月6日）。

一次情報

• 業務委託先（アララ株式会社）への不正アクセスに伴う情報流出について（第2報・2026年11月4日）｜Zaif：11月2日の連絡と第1報、同じ日の夜の流出の確認、11月4日の一覧の受け取り、件数380,536件（重複を除く）、流出したのはメールアドレスだけで氏名などの属性情報やメール本文は含まれないこと、氏名・住所・電話番号・取引情報・パスワードなどは登録しておらず流出した事実はないこと、過去に登録したアドレスを含む可能性と内訳の確認中、Zaifのシステムへの不正アクセスは確認されていないこと、メールアドレスだけではログインできないこと、二次被害は確認されていないこと、お知らせメールの一時停止と再開後の個別連絡、続報はお知らせ欄と公式X、なりすましメールへの注意（リンク・添付・偽のログイン画面）、メールで認証情報を聞くことはないこと、認証アプリによる二段階認証への切り替えの呼びかけ、関係当局への報告、問い合わせ先。
• 業務委託先（アララ株式会社）への不正アクセスに伴う情報流出の可能性について｜Zaif（2026年11月2日）：「アララ メッセージ」の提供元で不正アクセスが起きたこと、この時点ではZaifの利用者のアドレスが含まれるかは特定されていなかったこと。
• 当社が提供する「アララメッセ－ジ」への不正アクセスによる情報流出およびサービス停止について｜アララ株式会社（2026年10月29日）：10月28日に不正アクセスを確認したこと、サーバーをネットワークから切り離したこと、原因がWebサーバーの脆弱性を第三者に悪用されたこと、不審なメールの扱い方（URLを開かない・返信しない・添付を開かない・ID・パスワードや個人情報を入れない・削除する）。

報道（二次情報）

• Zaif、メール配信の委託先から38万超のメールアドレス流出を確認｜CoinPost（2026年11月5日）：場面の見出し、アララのサービスが悪用されクレジットカード会社を装う不審なメールが最大約713万通送られたこと（アララの発表として）。

Zaifの問い合わせ先（第2報で案内されているページ）

• お問い合わせ｜Zaif

この記事が確認していないこと

• 今もZaifを使っている人の件数
• お知らせメールの再開の時期と方法
• Zaifを名乗るなりすましメールが実際に届いたという報告
• Zaifの二段階認証の切り替えの手順（公式ヘルプ）
• アララへの不正アクセスの始まった時期
• アララの11月2日の発表（PDF）そのもの

当校の関連記事

• パスキーとは？取引所のログインを「パスワードなし」で守る仕組み
• 取引所から暗号資産が流出したら？バイナンスの流出で、利用者が確かめること

この記事は情報提供のみを目的としており、特定のサービスや商品の利用・購入を勧めるものではありません。