メール配信「アララメッセージ」に不正アクセス 持ち出されたメールアドレス約77百万件

ペイクラウドホールディングス株式会社の連結子会社であるアララ株式会社は2026年10月29日、同社のメール配信サービス「アララメッセージ」が外部から不正アクセスを受け、個人情報の一部が外部へ流出したと公表しました。11月2日の第2報では、不正アクセスが判明したサーバーが広がり、持ち出されたメールアドレスは現時点の調査で約77百万件（精査中）に増えています。

何が起きたか

10月29日の初報では、メール配信サービスのサーバーシステムのうち1システム（共用環境）が不正アクセスを受け、ご契約企業が保有するメールアドレス約301万件が持ち出されたと公表されました。

11月2日の第2報によると、第三者は10月28日から31日にかけて本サービスのサーバーを経由して多数のサーバーに侵入し、データベースの内容を外部に持ち出しました。対象となるご契約企業の数は精査中で、現時点の推計は最大約380社です。一連の不正アクセスは、攻撃元の共通性などから、初報の不正アクセスを行った第三者によるものとみられるとしています。

約77百万件は個人が複数のアドレスを持つ可能性があるため、最終ユーザー数を示すものではないとしています。区分の間でアドレスが重複している可能性があり、件数は合算されていません。

漏えいした情報

会員情報の項目は、ご契約企業が登録した氏名、性別、生年月日、電話番号、会員番号、住所等で、企業により異なります。同社のサービスではクレジットカード番号は一切保有していないとしています。

原因と経緯

初報では原因を「Webサーバーの脆弱性」としていましたが、第2報では脆弱性に加え、システム環境における問題も関係していたと更新しました。侵入の開始時期と経路は調査中です。

不審メールの送信元は「news@arara.com」で、件名は「利用内容確認のご依頼」「ご利用明細確認のご依頼」等です。送信先は第三者が外部から持ち込んだメールアドレスで、この送信自体に伴うメールアドレス以外の流出は確認されていないとしています。件数などは精査中で、結果は第3報で知らせるとしています。

利用者がやること

アララメッセージは企業がメール配信に使うサービスのため、利用者は自分が登録している企業からの案内を確かめることになります。

1. news@arara.com からのメールを開かない

   10月28日〜30日に「news@arara.com」から上記の件名のメールを受け取った場合は、本文のURLにアクセスせず削除するよう求めています。リンク先でカード情報等を入力した場合は、すぐにカード発行会社へ連絡してください。

2. アララやご契約企業をかたる連絡に注意する

   メール、SMS、電話、郵便物に記載されたURLへのアクセス、ID・パスワードやカード情報の入力、添付ファイルの開封をしないよう呼びかけています。アララからパスワードやカード情報の入力を求めるメールを送ることはないとしています。

3. パスワードとカード明細を見直す（一般的な対策）

   メールアドレスと氏名などがそろって出回ると、なりすましやフィッシングに使われやすくなります。使い回しているパスワードは変更し、カード明細に身に覚えのない請求がないか確かめておくと安心です。

出典

• ペイクラウドホールディングス「当社連結子会社が提供する「アララメッセ－ジ」への不正アクセスによる情報流出およびサービス停止について」（2026年10月29日）
• ペイクラウドホールディングス「同（第２報）」（2026年11月2日）
• アララ株式会社「当社が提供する「アララメッセ－ジ」への不正アクセスによる情報流出およびサービス停止について（第２報）」（2026年11月2日）