【第2報・約7,700万件】アララメッセージの不正アクセス拡大、氏名など会員情報も流出｜サービス全面停止

メール配信サービス「アララメッセージ」を運営するアララは2026年11月2日、不正アクセスについて第2報を出しました。持ち出されたメールアドレスは約7,700万件（持ち出された恐れのあるものを含み、精査中）に増えています。10月29日の第1報では約301万件としていました。

新たに持ち出された情報には、メールアドレスに加えて、氏名などの会員情報も含まれます。アララは10月31日にアララメッセージの提供をすべて止めており、再開の時期は未定です。クレジットカード番号は、アララのサービスでは一切保有していないとしています。

影響は3つの区分、件数はいずれも精査中
持ち出された情報：氏名・生年月日・住所なども
カード会社を装う不審メールが最大約713万通送信された
アララメッセージは10月31日から全面停止
利用者がとるべき対応
1. 1. news@arara.comからのカード会社名義のメールは削除する
2. 2. アララや利用企業をかたる連絡に応じない
問い合わせ先
まとめ
関連記事

影響は3つの区分、件数はいずれも精査中

区分	発生	対象	主な情報	件数（11月1日時点）
アララメッセージを経由した不正アクセス（新たに判明）	10月28日〜31日	契約企業の環境のサーバー97台（最大約380社）	メールアドレスと会員情報	約7,700万件
第1報で公表した共用環境	10月27日〜28日	契約企業61社	メールアドレスと属性情報	3,386,187件
サービスの不正利用による不審メールの送信	10月28日〜30日	2つの環境	メールアドレス	最大約713万通

区分の間で同じメールアドレスが重なっている可能性があるため、件数は合算されていません。1人が複数のアドレスを持っていることもあり、約7,700万件は利用者の人数を示すものではないとしています。一連の不正アクセスは、攻撃元が共通していることなどから、同じ第三者によるものとみられます。

持ち出された情報：氏名・生年月日・住所なども

新たに判明した不正アクセスでは、第三者がアララメッセージのサーバーに侵入し、そこを足がかりに多数のサーバーへ入り込んで、データベースの内容を持ち出しました。

メールアドレス
契約企業が登録した項目（氏名、性別、生年月日、電話番号、会員番号、住所など。契約企業によって異なる）
配信の宛先などの記録

第1報の共用環境についても、メールアドレス3,386,187件（重複を除く）に加え、契約企業5社が登録した氏名・会社名などを含む顧客データ最大411,827件が持ち出されていたことが分かりました。第三者が管理画面に不正にログインし、データの出力機能などを悪用したものです。

原因について、第1報では「Webサーバーの脆弱性」としていました。第2報では、脆弱性に加えて「システム環境における問題」も関係していたとしています。侵入の開始時期と経路は、引き続き調査中です。

カード会社を装う不審メールが最大約713万通送信された

アララメッセージの一部の環境が第三者に不正に使われ、10月28日から30日にかけて、クレジットカード会社を装ったメールが送られました。

項目	内容
送信件数	最大約713万通（2つの環境の合計）
送信元メールアドレス	news@arara.com
件名	「利用内容確認のご依頼」「ご利用明細確認のご依頼」など
送信先	第三者が外部から持ち込んだメールアドレス
送信期間	10月28日〜30日（30日13時32分を最後に送信なし）

この不正送信そのものによって、メールアドレス以外の情報が流出したことは確認されていません。

アララメッセージは10月31日から全面停止

アララは10月31日の午前に、サービスを経由した持ち出しを把握しました。同日、不正に使われた認証情報の無効化と各サーバーの通信の遮断を行い、19時53分にアララメッセージの提供をすべて止めています。そのほかのアララのサービスには影響はないとしています。

再開は、侵入経路の特定、認証情報の全面的な変更、システムの安全性の確認などを行ってから判断します。再開時には、契約企業に管理画面のパスワードやAPIキーなどの再設定を求める予定です。個人情報保護委員会と警察にはすでに報告・通報しています。件数や業績への影響は、第3報で知らせるとしています。

アララメッセージは多くの企業がメール配信に使っています。鹿児島のスマホ決済「Payどん」も、メール送信をアララに委託していました（Payどんの記事）。どの企業が対象になるかは、アララから契約企業に個別に連絡されます。

利用者がとるべき対応

1. news@arara.comからのカード会社名義のメールは削除する

10月28日〜30日に、送信元「news@arara.com」から上記の件名のメールを受け取った場合は、本文のURLにはアクセスせず、メールを削除するよう求めています。リンク先でカード情報などを入力してしまった場合は、すぐにカード発行会社に連絡してください。

2. アララや利用企業をかたる連絡に応じない

アララや、アララのサービスを使う企業をかたるメール・SMS・電話・郵便物に注意するよう呼びかけています。心当たりのない連絡のURLは開かず、ID・パスワードやカード情報を入力せず、添付ファイルも開かないでください。アララが、パスワードやカード情報の入力を求めるメールを送ることはないとしています。

ここからは公式発表には書かれていない、筆者の見解です。今回は、メール配信の正規のサービスが乗っ取られ、正規の送信元から偽のメールが送られました。送信元のアドレスが見慣れたものでも、それだけで本物と判断するのは危険です。カードの利用明細の確認などは、メールのリンクではなく、カード会社の公式アプリやブックマークした公式サイトから行うことをおすすめします。