# メール配信「アララメッセージ」に不正アクセス 持ち出されたメールアドレス約77百万件

ペイクラウドホールディングスの子会社アララ株式会社は、メール配信サービス「アララメッセージ」が不正アクセスを受け、ご契約企業の会員情報等が外部に持ち出されたと公表しました。第2報では持ち出されたメールアドレスは約77百万件（精査中）で、サービスの提供をすべて停止しています。

ペイクラウドホールディングス株式会社の連結子会社であるアララ株式会社は2026年10月29日、同社のメール配信サービス「アララメッセージ」が外部から不正アクセスを受け、個人情報の一部が外部へ流出したと公表しました。11月2日の第2報では、不正アクセスが判明したサーバーが広がり、持ち出されたメールアドレスは現時点の調査で約77百万件（精査中）に増えています。

<Points>

- 第2報で、ご契約企業の環境のサーバー97台からメールアドレスと会員情報が持ち出されたことが判明した
- 本サービスが悪用され、クレジットカード会社を装った不審メールが最大約713万通送られた
- 10月31日に本サービスの提供をすべて停止し、再開の時期は未定

</Points>

## 何が起きたか

10月29日の初報では、メール配信サービスのサーバーシステムのうち1システム（共用環境）が不正アクセスを受け、ご契約企業が保有するメールアドレス約301万件が持ち出されたと公表されました。

11月2日の第2報によると、第三者は10月28日から31日にかけて本サービスのサーバーを経由して多数のサーバーに侵入し、データベースの内容を外部に持ち出しました。対象となるご契約企業の数は精査中で、現時点の推計は最大約380社です。一連の不正アクセスは、攻撃元の共通性などから、初報の不正アクセスを行った第三者によるものとみられるとしています。

<Stats source="ペイクラウドホールディングス・アララ株式会社の第2報（2026年11月2日）">
<Stat value="約77百万件" label="本サービス経由で持ち出されたメールアドレス（精査中）" />
<Stat value="3,386,187件" label="既報の共用環境から持ち出されたメールアドレス（重複除く）" />
<Stat value="最大約713万通" label="本サービスから送信された不審メール" />
</Stats>

約77百万件は個人が複数のアドレスを持つ可能性があるため、最終ユーザー数を示すものではないとしています。区分の間でアドレスが重複している可能性があり、件数は合算されていません。

## 漏えいした情報

| 区分 | 対象 | 主な情報 | 件数 |
| --- | --- | --- | --- |
| 本サービスを経由した不正アクセス | ご契約企業の環境のサーバー97台（最大約380社） | メールアドレスと会員情報 | 約77百万件（精査中） |
| 既報の環境（共用環境） | ご契約企業61社 | メールアドレスと属性情報 | 3,386,187件 |
| 既報の環境のうち5社の顧客データ | ご契約企業5社 | 氏名、会社名等を含む顧客データ | 最大411,827件 |

会員情報の項目は、ご契約企業が登録した氏名、性別、生年月日、電話番号、会員番号、住所等で、企業により異なります。同社のサービスではクレジットカード番号は一切保有していないとしています。

## 原因と経緯

初報では原因を「Webサーバーの脆弱性」としていましたが、第2報では脆弱性に加え、システム環境における問題も関係していたと更新しました。侵入の開始時期と経路は調査中です。

<Flow
  title="公表された経緯"
  steps={[
    { label: "10月27日〜28日", note: "共用環境の管理画面に不正ログインし、データの出力機能等を悪用して持ち出し" },
    { label: "10月28日〜30日", note: "本サービスが不正利用され、カード会社を装った不審メールが送信される" },
    { label: "10月29日", note: "初報を公表、個人情報保護委員会へ速報、警察へ通報" },
    { label: "10月28日〜31日", note: "本サービスを経由して多数のサーバーに侵入し、データベースの内容を持ち出し" },
    { label: "10月31日", note: "持ち出しを把握し、認証情報の無効化と通信遮断、本サービスの提供をすべて停止" },
    { label: "11月2日", note: "第2報を公表" },
  ]}
/>

不審メールの送信元は「news@arara.com」で、件名は「利用内容確認のご依頼」「ご利用明細確認のご依頼」等です。送信先は第三者が外部から持ち込んだメールアドレスで、この送信自体に伴うメールアドレス以外の流出は確認されていないとしています。件数などは精査中で、結果は第3報で知らせるとしています。

## 利用者がやること

アララメッセージは企業がメール配信に使うサービスのため、利用者は自分が登録している企業からの案内を確かめることになります。

<Steps>
<Step title="news@arara.com からのメールを開かない">

10月28日〜30日に「news@arara.com」から上記の件名のメールを受け取った場合は、本文のURLにアクセスせず削除するよう求めています。リンク先でカード情報等を入力した場合は、すぐにカード発行会社へ連絡してください。

</Step>
<Step title="アララやご契約企業をかたる連絡に注意する">

メール、SMS、電話、郵便物に記載されたURLへのアクセス、ID・パスワードやカード情報の入力、添付ファイルの開封をしないよう呼びかけています。アララからパスワードやカード情報の入力を求めるメールを送ることはないとしています。

</Step>
<Step title="パスワードとカード明細を見直す（一般的な対策）">

メールアドレスと氏名などがそろって出回ると、なりすましやフィッシングに使われやすくなります。使い回しているパスワードは変更し、カード明細に身に覚えのない請求がないか確かめておくと安心です。

</Step>
</Steps>

## 出典

- [ペイクラウドホールディングス「当社連結子会社が提供する「アララメッセ－ジ」への不正アクセスによる情報流出およびサービス停止について」（2026年10月29日）](https://contents.xj-storage.jp/xcontents/AS71226/cb37cf8a/2f67/4ca0/93e3/49e7924ad375/140120261029558961.pdf)
- [ペイクラウドホールディングス「同（第２報）」（2026年11月2日）](https://contents.xj-storage.jp/xcontents/AS71226/e6ace155/ea42/43ba/912f/c114939990f0/140120261102562067.pdf)
- [アララ株式会社「当社が提供する「アララメッセ－ジ」への不正アクセスによる情報流出およびサービス停止について（第２報）」（2026年11月2日）](https://www.arara.com/dcms_media/other/arara_20261102__.pdf)