Tier表アララメッセージへの不正アクセスと情報流出事案の概要と評価
アララメッセージへの不正アクセスで、持ち出しのおそれを含む約7,700万件のメールアドレスや契約企業が登録した会員情報が対象となりました。サービスは全面停止し、再開時期は未定です。
- 発生日
- 2026/10/27〜2026/10/31
- 公表日
- 契約企業の環境
- メールアドレス約7,700万件（持ち出しのおそれを含み、精査中）
- 共用環境
- メールアドレス3,386,187件と、顧客データ最大411,827件
事案の概要
- 企業・サービス
- アララメッセージへの不正アクセスと情報流出
- 確認状況
- メールアドレスと会員情報の持ち出しを確認しています。約7,700万件には持ち出しのおそれを含み、対象企業数や件数は精査中です。
- 発生日
- 2026/10/27〜2026/10/31共用環境への不正アクセスは10月27日から28日、サービス経由の不正アクセスは10月28日から31日と公表されています。侵入開始時期は調査中です。 根拠資料
- 公表日
- 公表された原因
- 共用環境の事象にはWebサーバーの脆弱性とシステム環境の問題が関係していました。侵入開始時期と経路は調査中です。
経緯
ペイクラウドホールディングスは2026年11月2日、子会社アララが運営するメール配信サービス「アララメッセージ」への不正アクセスと情報流出について第2報を公表しました。
第三者は10月28日から31日にサービスのサーバーを経由して多数のサーバーに侵入し、契約企業の環境のサーバー97台からデータベースの内容を外部に持ち出しました。対象企業は最大約380社と推計され、精査中です。
既報の共用環境でも、第三者が10月27日から28日に管理画面へ不正ログインし、データ出力機能などを悪用しました。2つの区分には同じメールアドレスが重複している可能性があります。
第三者はサービスの2環境を不正利用し、10月28日から30日にクレジットカード会社を装う不審メールを最大約713万通送信しました。送信先は第三者が外部から持ち込んだアドレスで、10月30日13時32分を最後に新たな送信は確認されていません。
アララは不正に使用された認証情報の無効化や通信遮断を行い、10月31日19時53分にサービス全体の停止を完了しました。再開時期は未定です。
流出した情報と流出していない情報
契約企業の環境から持ち出されたメールアドレスは約7,700万件です。この数には記録の読み取り量から判断した持ち出しのおそれを含み、精査中です。1人が複数のアドレスを持つ可能性があり、人数を示すものではありません。
メールアドレスのほか、契約企業が登録した氏名、性別、生年月日、電話番号、会員番号、住所などの会員情報と、配信先などの記録が含まれます。登録項目は企業によって異なります。
共用環境では契約企業61社に関係する重複除外後のメールアドレス3,386,187件と、うち5社の氏名・会社名などを含む顧客データ最大411,827件が持ち出されました。件数は精査中です。
アララはクレジットカード番号を保有していないとしています。また、不審メールの不正送信自体に伴うメールアドレス以外の流出は確認されていません。
原因
共用環境の事象には、Webサーバーの脆弱性に加え、システム環境の問題が関係していたとしています。侵入の開始時期と経路は引き続き調査中です。
対象情報
- メールアドレス一部確認
契約企業の環境では約7,700万件が対象で、共用環境では重複除外後3,386,187件が持ち出されました。両区分の重複は不明です。 持ち出しを確認したものと、記録の読み取り量から持ち出しのおそれがあると判断したものを含みます。
- 氏名流出確認
契約企業が登録した会員情報に含まれます。項目は企業によって異なります。
- 生年月日流出確認
契約企業が登録した会員情報に含まれます。項目は企業によって異なります。
- 電話番号流出確認
契約企業が登録した会員情報に含まれます。項目は企業によって異なります。
- ID・識別子流出確認
契約企業が登録した会員番号が含まれます。項目は企業によって異なります。
- 住所流出確認
契約企業が登録した会員情報に含まれます。項目は企業によって異なります。
被害に遭われた方、心当たりのある方向けの対処法
最終ユーザーへのお願い
アララや契約企業をかたるメール、SMS、電話、郵便物などに注意し、心当たりのない連絡に記載されたURLへのアクセス、ID・パスワードやクレジットカード情報などの入力、添付ファイルの開封をしないよう求めています。
10月28日から30日に送信元「news@arara.com」から「利用内容確認のご依頼」「ご利用明細確認のご依頼」などの件名のメールを受信した場合は、本文のURLにアクセスせず削除してください。リンク先でクレジットカード情報などを入力した場合は、速やかにカード発行会社へ連絡してください。
契約企業への対応
アララは全契約企業に連絡し、各社の環境が対象となるか、流出した情報の内容を個別に知らせるとしています。サービス再開時には、管理画面のパスワードやAPIキーなどの認証情報の再設定を依頼する予定です。
Sとした理由
メール配信サービス全体が不正アクセスへの対応で停止し、再開時期は未定です。また、不正に使用された認証情報が無効化されています。
評価基準 v4.1 ・ 評価日 2026-11-02
Sの評価基準深い私的情報・本人確認書類画像・有効な認証情報の侵害、それと同等の管理機能・アカウント支配、大規模な連絡先流出、又は主要な提供機能の停止。