メール配信「アララ メッセージ」に不正アクセス、第3報で8,132万9,467件 別クラウド環境でも持ち出しが判明

事案の概要データ

図解：この事故の構造

何が起きたのか

アララ株式会社は2026年11月2日、メール配信サービス「アララ メッセージ」への不正アクセスについて第2報を公表しました。第1報（10月29日）から被害の範囲が大きく広がっています。

第2報は、影響を3つの区分に分けて整理しています。

（1）本サービスを経由した不正アクセス（10月28日〜31日発生、10月31日把握）。 攻撃者はアララのサーバーに侵入したあと、そのサーバーを経由して本サービスの多数のサーバーに侵入し、データベースの内容を持ち出しました。対象はご契約企業の環境のサーバー97台、企業数は最大約380社（推計）。持ち出されたメールアドレスは約7,700万件（精査中）です。

（2）既報の環境＝共用環境（10月27日〜28日発生、10月28日把握）。 管理画面に不正ログインされ、データの出力機能を悪用して持ち出されました。ご契約企業61社、メールアドレス3,386,187件（重複を除いた件数）。このうち5社については、氏名・会社名等を含む顧客データが最大411,827件です。

（3）本サービスの不正利用による不審メールの送信（10月28日〜30日）。 アララのサービスが攻撃者に使われ、クレジットカード会社を装った不審なメールが最大約713万通送信されました。

原因は「Webサーバーの脆弱性およびシステム環境における問題」。第1報では脆弱性だけとしていたものが、第2報で「システム環境における問題」が追加されました。侵入の開始時期と経路は調査中です。

サービスは10月31日14時50分から全面停止し（19時53分に停止完了）、11月4日21時時点でも再開時期は未定です。

「件数は合算しておりません」——3つの数字を足してはいけない

第2報の影響一覧表には、他ではあまり見ない注記が付いています。

「（注）区分の間で同じメールアドレスが重複している可能性があるため、件数は合算しておりません。「持ち出された恐れ」は、記録の読み取り量から判断したものです」

つまり、7,700万件＋338万件＋713万通を足して「約8,800万件」とするのは誤りです。同じメールアドレスが複数の区分に登場している可能性があるからです。

さらに、7,700万件の横にも注記があります。「なお、本件は個人の方が複数のアドレスを保持している可能性もあるため、最終ユーザー数を示すものではありません」。

1人で仕事用とプライベート用のアドレスを持っている人は珍しくありません。複数の通販サイトに別々のアドレスを登録している人もいます。メールアドレスの件数は、人数より必ず大きく出ます。

本サイトでは「のべ件数」「項目別の件数」「実人数」を区別する方針を取っています。本件はその区別を、公表する側が表の注記として書いた例です。佐川急便の「対象となる方の実人数を示すものではありません」（本サイト掲載）と同じ構えです。

数字が大きい事故ほど、「何を数えた数字か」を書かないと誤解が広がります。 中小企業が公表文を書くときも、同じ一文を添えるだけで、後からの訂正が減ります。

自社の配信基盤が、フィッシングの「発射台」になった

この事案の最も特異な点は、区分（3）です。情報が盗まれただけでなく、自社のサービスが攻撃に使われました。

第2報の記述を見てください。

「当社の本サービスの一部の環境が第三者に不正に利用され、2026年10月28日から30日にかけて、クレジットカード会社を装った不審なメールが送信されました」

送信元は「news@arara.com」。件名は「利用内容確認のご依頼」「ご利用明細確認のご依頼」等。送信先は「第三者が外部から持ち込んだメールアドレス」です。

ここが重要です。送信先は、アララの顧客リストではありません。 攻撃者が自分で持ち込んだアドレス一覧に向けて、アララのサーバーから送っています。つまり攻撃者は、信頼されたドメインから大量のメールを送れる装置として、このサービスを使いました。

なぜそれが狙われるのか。迷惑メールフィルターを通り抜けやすいからです。正規のメール配信サービスは、大量送信しても届くように設計されています。送信元の評価（レピュテーション）も高い。攻撃者にとって、これ以上ない発射台です。

そして被害は、受け取った人にだけ及ぶのではありません。アララ自身のドメインが、フィッシングの送信元として記録されます。 今後、arara.com から送られる正規のメールが、迷惑メール扱いされる可能性があります。

中小企業に当てはめると、こうです。自社のメールアカウントやメール配信ツールが乗っ取られると、自社の名前で詐欺メールが送られます。 受け取るのは、取引先かもしれないし、まったく無関係な人かもしれません。

対策は2つです。①メール配信ツールと業務メールの両方に多要素認証をかける。②SPF・DKIM・DMARCを設定する。 ②は「このドメインから送っていいサーバーはここだけ」と宣言する仕組みで、なりすまし送信を減らせます。レンタルサーバーやメール配信サービスの管理画面に設定項目があります。設定していない会社がまだ多く残っています。

1か所の侵害が、サーバー97台・最大380社に広がった

区分（1）の説明を、順を追って読んでください。

「第三者が、当社の本サービスのサーバーに不正にアクセスし、2026年10月28日から31日にかけて、当該サーバーを経由して本サービスの多数のサーバーに侵入し、データベースの内容を外部に持ち出しました」

1台に入られた。そこを踏み台にして、97台に広がった。 これを「横展開（ラテラルムーブメント）」と呼びます。

なぜ広がるのか。サーバー同士が、互いを信用しているからです。同じ管理者アカウント、同じ鍵、同じ内部ネットワーク。運用を楽にするための設計が、そのまま攻撃者の通り道になります。

そしてアララは10月31日に「不正に使用された認証情報の無効化」を実施しています。つまり、攻撃者は何らかの認証情報を握って、サーバー間を移動していました。

本サイトでは2026年10月、メール配信基盤の事故を立て続けに扱っています。ブラストメール（ラクスライトクラウド）、Cuenote（ユミルリンク）、そして今回のアララ メッセージ。3件目です。

共通しているのは構造です。メール配信サービスは、顧客リストという「きれいに整った個人情報」を、何百社分もまとめて1か所に置いています。 1社あたりの金額は小さくても、攻撃者から見れば、1回の侵入で数百社分の名簿が手に入る場所です。

中小企業がメール配信サービスを使うなとは言いません。自前で配信するほうが、はるかに危険です。やるべきなのは、預ける量を減らすことです。

①配信リストに、配信に必要のない項目を入れない。 氏名とメールアドレスで配信できるなら、住所や生年月日は入れない。アララの流出項目には「氏名、性別、生年月日、電話番号、会員番号、住所等」が並んでいます。これは契約企業が登録した項目です。

②配信が終わったリストは消す。 キャンペーン用に作った一時的なリストが、何年も残っていませんか。

③APIキーを棚卸しする。 アララは再開時に「管理画面のパスワードやAPIキー等の再設定」を依頼する予定としています。自社がどのサービスにどんなキーを発行しているか、一覧がありますか。

連名報告と代行報告——使う側がやるべき手続き

この事案で、利用企業・自治体がいま直面している実務があります。個人情報保護委員会への報告です。

アララは専用ページで、こう案内しています。

民間事業者：連名報告。 「個人情報保護委員会のガイドラインにおいて、委託元と委託先の双方が報告義務を負う場合、連名で報告を行うことが認められています」

行政機関及び地方公共団体：代行報告。 「ガイドラインには定められておりませんが、本事案においては個人情報保護委員会より、弊社が代行報告を行うことが認められています」

そして「なお、弊社が連名報告を行うのは、個人情報保護委員会への報告に限ります。その他の機関への報告につきましては、お客様ご自身にてお手続きくださいますようお願いいたします」とも書かれています。

ここから中小企業が学べることは、はっきりしています。使っているサービスが事故を起こしたとき、報告義務は自社にも生じます。

「うちは被害者だから関係ない」ではありません。顧客の個人情報を預けたのは自社であり、法律上の取扱事業者も自社です。だから報告が必要になる。

やることの順番はこうです。①提供元から「自社の環境が対象か」「どの情報が何件か」を文書でもらう。②連名報告に乗れるかを確認し、期限内に手続きする。③自社の顧客に、自社の名前で知らせる。

③を忘れないでください。個人情報保護委員会への報告と、本人への通知は別の義務です。アララは「調査により影響範囲が判明したお客様に対しては、流出件数を順次個別にご案内しております」としていますが、その先の顧客に伝えるのは、使っていた企業の仕事です。

なお、アララはペイクラウドホールディングスの100%子会社です。同グループでは、連結子会社バリューデザインの電子マネー発行サービス「Value Card」でも2026年10月に不正アクセスが公表されています（本サイト掲載）。同じ時期に、同じグループで2件という点も記録しておきます。

利用企業の公表が相次ぎ、1社で1,500万件超も——11月第1週の記録

第2報（11月2日）の約7,700万件は、アララ側から見た数字です。そのあと、使っていた企業・自治体の公表が一気に始まりました。

件数の大きい順に並べると、こうなります。アソビュー 15,821,184件、ビックカメラ・コジマ・ソフマップ 合計約1,490万件、カカクコム（食べログ・価格.comなど5サービス）計約570万件、TKC 最大2,230,812件、ワークマン 最大約145万件、ARTPASS 最大約100万件、IIJmio 983,458件、松井証券 最大83万件、日本レジャーチャンネル（テレボート）684,772件、ダスキン 657,886件。

さらに、北陸電力（約55万件）、コナカ（434,414件）、Zaif（380,536件）、三井住友銀行（227,216件）、ユーコープ（210,495件）、住友不動産（205,208件）、NTTタウンページ（142,126件）、三井不動産「&BIZ」（133,323件）、近鉄・都ホテルズ（129,153件）、GMOペイメントサービス（最大106,997件）、琉球銀行（96,477件）、小田急トラベル（63,006件）、神戸新聞NEXT（約4万件）、大阪ガス（34,489件）、朝日生命（約1万9,000件）と続きます。

自治体や官公庁も並びました。TKC経由で横浜市・川崎市・大阪市・姫路市・豊橋市・大津市・宇都宮市・板橋区、直接の利用で岡山県（最大2,240件）・茨城県（最大110,656件）・総務省（775件、うち氏名21件）。山梨県は、アソビューが受託していた富士山吉田ルートの通行予約で最大197,556人相当と公表しています。

ここで、本サイトが繰り返している注意をもう一度書きます。これらの件数を足し上げてはいけません。 各社の数字は約7,700万件の内訳にあたります。また、1人が複数のサービスに同じアドレスを登録していれば、複数の会社の件数に同じ人が入ります。

「影響なし」から一転した会社がある——第1報を信じきってはいけない

11月第1週で、公表の訂正が複数起きました。

サブウェイを運営するWATAMI FAST CASUAL MANAGEMENTは、10月29日に「お客様情報は対象外」と報告していましたが、アララの第2報を受けて「含まれている可能性を排除せず」と改め、提供元に再調査を要請したと公表しました（11月2日）。

美術館・博物館向けチケットサービス「ARTPASS」も、当初の「影響なし」から一転し、最大約100万件のメールアドレス流出のおそれを公表しました（11月4日）。

なぜこうなるのか。第1報の時点では、提供元が「どの環境が対象か」を特定できていなかったからです。アララの第1報（10月29日）は共用環境の約301万件のみを対象としていました。契約企業の環境サーバー97台の話は、10月31日に把握され、11月2日の第2報で出ています。

つまり、利用企業は「対象外です」という提供元の回答を、その時点の情報として受け取ったにすぎません。間違っていたわけではなく、情報が更新されたのです。

中小企業がここから学べることは、実務的です。提供元から「影響なし」と言われたら、それを文書でもらい、同時に「いつ時点の判断か」を書いてもらってください。

そして、顧客への案内文に一文を入れておく。「現時点では当社のお客様情報は対象に含まれていないとの報告を受けていますが、提供元の調査が続いているため、変更があれば速やかにお知らせします」。

この一文があるかないかで、あとで訂正が必要になったときの説明がまったく変わります。「大丈夫と言ったじゃないか」と言われずに済みます。

第3報（11月6日）——別のクラウド環境でも持ち出し、総数は8,132万9,467件に

ペイクラウドホールディングスは2026年11月6日、第3報を公表しました。区分間の重複を除いたメールアドレスは81,329,467件（約8,133万件）です。

第2報からの最大の変更は、別のクラウド環境（環境B）でも持ち出しが確認されたことです。ここから3,249,492件が外部に出ていました。第三者が認証情報を不正に使用してアクセスしたもので、2026年10月28日から31日の一連の攻撃に含まれます。新たな侵入が起きたわけではありません。

環境Bが第2報（11月2日）に入っていなかった理由も説明されています。当時は調査中で、持ち出しの範囲を確認できていなかったためです。

内訳はこうなりました。契約企業向け環境A 78,102,937件、第1報の共用環境A 2,842,400件、別クラウド環境B 3,249,492件。 ここから区分間の重複（メールアドレスのみ ▲2,818,091件、属性情報等 ▲47,271件）を引いて、81,329,467件です。

このうち、メールアドレス以外の属性情報等を伴うものが47,044,380件。 ただし「すべてのレコードに同じ個人情報が含まれるわけではない」と注記されており、内訳は精査中です。

第3報では、第2報の訂正も行われました。共用環境の件数が3,386,187件から2,842,400件に減り、10月27日のアクセスは「偵察とみられるアクセス」で、不正ログインと持ち出しは28日だったと改められています。さらに同日中に、環境Aの「メールアドレスのみ」の数値が31,346,365件から31,346,375件に訂正されました（総数は変わりません）。

件数が3回変わった——数字は「確定」まで引用しない

ここまでの経緯を、数字だけで並べてみます。

第1報（10月29日）：約301万件。第2報（11月2日）：約7,700万件。第3報（11月6日）：81,329,467件。

8日間で、257倍になりました。

さらに、第3報の中でも訂正が入り、同じ日に数値が10件分変わっています。古い表をそのまま引用していると、訂正前の「31,346,365件」が残ってしまいます。

ここから、実務として引き出せることが2つあります。

①数字を引用するときは、「いつ時点の、第何報の数字か」を必ず添える。 本サイトが各記事のfacts欄に公表日と報数を書いているのは、このためです。社内資料や顧客への案内でも、同じようにしてください。

②自社が公表する側になったら、総数より先に「分けて書く」。 第3報が読みやすいのは、環境ごと・項目ごとに表で分け、重複を引いた経緯まで見せているからです。1つの数字だけを出すと、変わったときに「前はウソだったのか」と受け取られます。

なお、ペイクラウドホールディングスは第2報の件数を単純合算した80,386,187件と比べ、重複除外後の総数は943,280件多いと説明しています。重複を引いたのに増えたのは、環境Bが新たに加わったためです。足し算と引き算の両方を見せるこの書き方は、数字を扱う資料の手本になります。

時系列で見る経過

• 2026年10月27日 8時36分第三者による偵察とみられるアクセス（第1報公表後の調査で判明）
• 2026年10月27日〜28日共用環境の管理画面に不正ログインされ、データの出力機能等を悪用してデータを持ち出される
• 2026年10月28日 3時59分頃本サービスで不正利用（不審メールの送信）が始まる
• 2026年10月28日 7時当該環境への外部からのアクセスを停止
• 2026年10月28日 8時47分頃別の環境でも不審メールの送信が始まる（後の調査で判明）
• 2026年10月28日 11時9分〜15時43分共用環境の管理画面への不正ログインとデータの持ち出し
• 2026年10月28日 16時31分共用環境を緊急停止
• 2026年10月29日 1時36分〜10月30日 2時22分本サービスを経由したデータの持ち出し
• 2026年10月29日第1報を公表（メールアドレス約301万件）。個人情報保護委員会へ速報、警察へ通報、JIPDECへ速報
• 2026年10月30日 13時8分不審メールの送信を把握し、13時26分に当該環境の通信を遮断（13時32分を最後に送信なし）
• 2026年10月31日 午前本サービスを経由した持ち出しを把握
• 2026年10月31日 12時58分〜不正に使用されたアカウント・鍵の無効化、各サーバーの通信の遮断を順次実施
• 2026年10月31日 14時50分本サービスの提供をすべて停止（19時53分に停止完了）
• 2026年11月2日第2報を公表。サーバー97台・最大約380社・メールアドレス約7,700万件（精査中）
• 2026年11月4日 21時時点サービス停止は継続中。再開時期は未定。影響範囲の調査を継続
• 2026年11月2日利用企業の公表が始まる。ビックカメラ・コジマ・ソフマップ（連名・合計約1,490万件）、TKC（最大2,230,812件）、北陸電力、Zaif、ユーコープ、琉球銀行など
• 2026年11月3日アソビューが15,821,184件を公表（氏名・電話番号・生年月日・購入情報を含む）。TKC経由で横浜市・大阪市・豊橋市・大津市などが公表
• 2026年11月4日ワークマン（最大約145万件）、ARTPASS（最大約100万件・当初の「影響なし」から一転）、IIJmio（983,458件）、ダスキン（657,886件）、住友不動産、総務省などが公表
• 2026年11月5日カカクコム（5サービス計約570万件・価格.comの約65万件は誕生日・性別も）、松井証券（最大83万件）、三井住友銀行（227,216件）、三井不動産、NTTタウンページなどが公表
• 2026年11月6日朝日生命（約1万9,000件）など、利用企業の公表が継続
• 2026年11月6日第3報を公表。重複を除いたメールアドレス81,329,467件。別クラウド環境Bから3,249,492件の持ち出しが新たに判明。共用環境は2,842,400件に修正
• 2026年11月6日（同日）第3報の表の数値を訂正（環境Aの「メールアドレスのみ」31,346,365件→31,346,375件）。総数に変更なし
• 2026年11月7日自治体の公表が続く。郡山市（約52,600件）、宮崎市（39,412件）、仙台市（12,211件）、姫路市、福岡市など

中小企業が学ぶべきポイント

1. 3つの区分の件数を足してはいけない。公表文自身が「件数は合算しておりません」と書いている。
2. メールアドレスの件数は人数より必ず大きく出る。1人が複数のアドレスを持っているため。
3. 情報が盗まれるだけでなく、自社の配信基盤が詐欺メールの発射台として使われることがある。
4. 正規のメール配信サービスは迷惑メールフィルターを通り抜けやすい。だから攻撃者に狙われる。
5. 自社ドメインがフィッシングの送信元として記録されると、正規のメールまで届きにくくなる。
6. SPF・DKIM・DMARCを設定し、「このドメインから送ってよいサーバー」を宣言する。
7. サーバー1台への侵入が97台に広がったのは、サーバー同士が互いを信用していたから。
8. メール配信サービスには、配信に必要のない項目（住所・生年月日など）を預けない。
9. 配信が終わった一時的なリストを消す。APIキーの発行先を一覧にする。
10. 使っているサービスが事故を起こすと、個人情報保護委員会への報告義務は自社にも生じる。
11. 連名報告は委員会への報告に限られる。顧客への通知は、使っていた企業自身の仕事。
12. 利用企業の公表件数を足し上げてはいけない。各社の数字は約7,700万件の内訳にあたる。
13. 「お客様情報は対象外」という第1報が、第2報で覆った会社が複数ある（サブウェイ、ARTPASS）。
14. 提供元の「影響なし」は文書でもらい、「いつ時点の判断か」も書いてもらう。
15. 顧客への案内文に「提供元の調査が続いているため、変更があれば速やかにお知らせします」の一文を入れる。
16. 件数は8日間で約301万件→約7,700万件→81,329,467件と3回変わった。数字は確定まで引用しない。
17. 数字を引用するときは「いつ時点の、第何報か」を必ず添える。
18. 第3報は環境ごと・項目ごとに表で分け、重複を引いた経緯まで見せた。1つの数字だけを出すと訂正時に信用を失う。
19. 別のクラウド環境（環境B）は、第2報の時点では調査中で件数に入れていなかった。調査中は入れないのが正しい。

出典・参考

• アララ、不正アクセスでメールアドレス8,132万9,467件の漏洩が判明-別クラウドから324万9,492件、第3報で確認（セキュリティ対策Lab・2026年11月6日）
• 当社が提供する「アララメッセージ」への不正アクセスによる情報流出およびサービス停止について（第2報）（アララ株式会社・2026年11月2日・PDF）
• 当社が提供する「アララメッセージ」への不正アクセスによる情報流出およびサービス停止について（アララ株式会社・2026年10月29日）
• 【重要】アララ メッセージのサービス停止および個人情報流出に関するお詫びとご報告（アララ メッセージ・最終更新2026年11月4日）
• 個人情報保護委員会への個別のお手続きについて（アララ メッセージ）
• アララのメール配信サービス「アララ メッセージ」への不正アクセスについてまとめてみた（piyolog）