メール配信サービス「アララメッセージ」を運営するアララ株式会社の親会社、ペイクラウドホールディングスは2026年11月2日、同サービスへの不正アクセスに関する第2報を公表した。10月29日の初報では、流出したのはメールアドレス約301万件としていた。その後の調査で、第三者がサービスのサーバーを経由して契約企業の環境（サーバー97台、最大約380社）にも侵入し、メールアドレス約7,700万件（精査中）と氏名などの会員情報を外部に持ち出していたことが分かった。アララは10月31日にサービスの提供をすべて停止しており、再開の時期は未定としている。
初報の「1システム」から、契約企業のサーバー97台へ
アララは10月29日、10月28日に一部システムへの不正アクセスを確認し、共用環境1システムからメールアドレス約301万件が持ち出されたと公表していた。Webサーバーの脆弱性（セキュリティ上の弱点）が悪用されたことが原因だと説明していた。
第2報では、影響を次の3つに分けて示している。
- 本サービスを経由した不正アクセス（新たに判明）：第三者が10月28日から31日にかけて、サービスのサーバーに不正にアクセスし、そこを経由して多数のサーバーに侵入した。契約企業の環境のうちサーバー97台からデータベースの内容が持ち出され、対象企業は最大約380社（推計・精査中）。持ち出されたメールアドレスは約7,700万件（精査中）
- 初報の共用環境：10月27日から28日にかけて管理画面に不正ログインされ、データの出力機能などを悪用された。関係する契約企業は61社で、メールアドレス3,386,187件（重複を除く）と、5社が登録した氏名や会社名などを含む顧客データ最大411,827件が持ち出された
- 不審メールの送信：サービスの一部の環境が不正に利用され、10月28日から30日にかけて、クレジットカード会社を装ったメールが最大約713万通送信された
約7,700万件はメールアドレスの件数で、1人が複数のアドレスを持っている可能性があるため、利用者の人数を示すものではないとしている。区分の間で重複している可能性があることから、件数は合算していない。
持ち出された情報と原因
新たに判明した区分で持ち出されたのは、メールアドレスに加え、契約企業がサービスに登録した氏名、性別、生年月日、電話番号、会員番号、住所など（項目は企業ごとに異なる）と、配信の宛先などの記録である。アララのサービスはクレジットカード番号を保有していないという。
原因について、初報では「Webサーバーの脆弱性」としていたが、第2報では、その脆弱性に加えてシステム環境における問題も関係していたと改めた。一連の不正アクセスは、攻撃元の共通性などから同じ第三者によるものとみられ、侵入の開始時期と経路は引き続き調査している。
アララは10月31日、不正に使われた認証情報（ログインやシステム接続に使うパスワードや鍵）の無効化や各サーバーの通信の遮断を進め、同日19時53分にサービスの提供を止めた。再開する際には、契約企業に管理画面のパスワードやAPIキー（システム同士の連携に使う認証情報）などの再設定を求める予定だという。個人情報保護委員会には10月29日に速報を出しており、11月2日に今回判明した事項を報告する予定としている。警察には10月29日に通報している。
不審メールの送信元は「news@arara.com」
不審メールの送信元アドレスは「news@arara.com」で、件名は「利用内容確認のご依頼」「ご利用明細確認のご依頼」などだった。送信先は、第三者が外部から持ち込んだメールアドレスだという。この期間にこれらの件名のメールを受け取った場合は、本文中のURLを開かずに削除するよう呼びかけている。リンク先でクレジットカード情報などを入力してしまった場合は、カード発行会社に連絡するよう求めている。
1社の配信基盤に、数百社分の顧客名簿が集まっている
メール配信サービスには、多くの企業が自社の会員名簿を預けている。今回のように1つのサーバーが足がかりにされ、そこから多数の契約企業の環境へ侵入されると、被害は1社にとどまらず数百社の顧客データに広がる。10月には他社のメール配信サービスでも不正アクセスの公表が相次いでおり、配信基盤が攻撃の対象になる例が続いている。
なりすましメールでも、正規の配信サービスを通じて送られると、受け取る側は見分けにくい。持ち出された氏名や生年月日などと組み合わされれば、より本物らしい詐欺メールが作られるおそれもある。
メール配信を外部サービスに任せている企業は、まずサービス提供元からの連絡で自社が対象に含まれるかを確かめ、顧客への注意喚起を準備したい。そのうえで、管理画面やAPIキーの管理、預けている会員情報の項目が本当に必要かどうかを見直す必要がある。サービスを提供する側にとっては、侵入された1台から内部へ広がる動きを早く見つけられるかどうかが、被害の広がりを抑える鍵になる。
同じ手口に、自社は備えられていますか？