アララメッセージからのメールアドレスと会員情報の持ち出し
- タグ
- 国内
アララの2026年11月2日の第2報によると、メール配信サービス「アララメッセージ」は共用環境に加え、サービスのサーバーを経由して契約企業の環境にも侵入され、メールアドレスと会員情報が持ち出された（持ち出された恐れを含む）［2］。サービスは提供をすべて止めており、11月5日の案内でも再開の時期は未定とした［2、3］。
経緯
アララの10月29日の第1報では、1システムへの不正アクセスにより、利用企業が保有するメールアドレス約301万件が外部に持ち出されたことを確認した［1］。原因は、システムの一部の環境でWebサーバーの脆弱性を第三者に悪用されたことだった［1］。親会社のペイクラウドホールディングスも、10月29日に適時開示を出した［6］。
サービスサイトのお知らせに載った過去の告知の要約によると、10月28日の最初の告知では情報漏えいは確認されていなかった［3］。10月30日の続報では、流出は対象環境（bvam001）の約301万件で、それ以外の環境での流出はないと知らせていた［3］。
アララは第2報で、共用環境では第三者が管理画面に不正にログインし、データの出力機能等を悪用してデータを持ち出したと説明した〔注2〕［2］。契約企業の環境では、第三者がアララメッセージのサーバーに不正にアクセスし、そこを経由して多数のサーバーに侵入して、データベースの内容を外部に持ち出した［2］。アララがこの持ち出しを把握したのは、一連の原因を調べる過程だった［2］。
アララの第2報では、原因として、第1報のWebサーバーの脆弱性に加え、システム環境における問題も関係していたことが判明した［2］。アララは、一連の不正アクセスを、攻撃元の共通性などから第1報の不正アクセスを行った第三者によるものとみられるとした［2］。
不審メールの送信
アララは第2報で、アララメッセージの2つの環境が第三者に不正に利用され、クレジットカード会社を装った不審なメールが送られたと説明した［2］。送信元はnews@arara.comで、件名は「利用内容確認のご依頼」「ご利用明細確認のご依頼」等だった［2］。送信先は第三者が外部から持ち込んだメールアドレスで、不正送信に伴うメールアドレス以外の流出は確認されていない［2］。
時系列
| 日付 | 主体 | 内容 | 資料 |
|---|---|---|---|
| 2026年 | ペイクラウドホールディングス | PHPの重大な脆弱性2件への対応に伴う一部サービスの一時停止を告知し、アララメッセージを停止中と記した | ［5］ |
| 2026年 | - | 偵察とみられるアクセスがあった | ［2］ |
| 2026年 | - | アララメッセージで不審メールの送信が始まった | ［2］ |
| 2026年 | アララ | 不正利用された環境への外部からのアクセスを止めた | ［2］ |
| 2026年 | - | 別の環境で不審メールの送信が始まった | ［2］ |
| 2026年 | - | 11時9分〜15時43分に共用環境の管理画面への不正ログインとデータの持ち出しがあった | ［2］ |
| 2026年 | アララ | 共用環境を緊急停止した | ［2］ |
| 2026年 | - | アララメッセージを経由したデータの持ち出しがあった | ［2］ |
| 2026年 | アララ | 第1報を出し、個人情報保護委員会に速報を出し、警察に通報し、一般財団法人日本情報経済社会推進協会（JIPDEC）に速報した | ［1、2］ |
| 2026年 | アララ | 別の環境からの不審メールの送信を把握し、13時26分に通信を遮断した（13時32分を最後に送信なし） | ［2］ |
| 2026年 | アララ | 午前にアララメッセージを経由した持ち出しを把握し、12時58分から不正に使われたアカウント・鍵の無効化と各サーバーの通信の遮断を順に進めた | ［2］ |
| 2026年 | アララ | アララメッセージとASP repicaシリーズのサービス停止を始めた | ［3］ |
| 2026年 | アララ | アララメッセージの提供の停止を終えた | ［2］ |
| 2026年 | アララ | 第2報を出した | ［2］ |
影響範囲
| 区分 | 対象 | 件数 | 含まれる情報 | 資料 |
|---|---|---|---|---|
| 共用環境 | 契約企業61社 | メールアドレス3,386,187件（重複を除いた件数） | メールアドレスと属性情報 | ［2］ |
| 共用環境の5社分の顧客データ | 契約企業5社 | 最大411,827件 | 氏名、会社名等を含む顧客データ | ［2］ |
| アララメッセージを経由した侵入 | 契約企業の環境のサーバー97台（最大約380社） | メールアドレス約77百万件〔注1〕（精査中） | メールアドレス、契約企業が登録した項目（氏名、性別、生年月日、電話番号、会員番号、住所等）、配信の宛先等の記録 | ［2］ |
| 不審メールの送信 | 2つの環境 | 最大約713万通 | - | ［2］ |
第2報の件数は精査中で、「今後変わる可能性があります」と添えてある［2］。アララは、サービスではクレジットカード番号を一切保有していないと説明した［2］。契約企業がAPI接続等に使う認証情報（APIキー等）は利用を止め、管理画面を使う担当者の氏名・メールアドレス等への影響は確認中である［2］。
契約企業の公表
アララは第2報で、すべての契約企業に連絡し、各社の環境が対象かどうかと流出した情報の内容を個別に伝えるとした［2］。
| 組織 | 件数 | 含まれる情報 | 公表日 | 資料 |
|---|---|---|---|---|
| TKC | 最大223万812件 | メールアドレスのみ（メール本文、マイナンバー、市町村への申請情報等は漏えいしていない） | 11月2日 | ［8、9］ |
| アソビュー | 15,821,184件 | メールアドレス、会員情報、連絡先、チケットのご購入・ご利用情報 | 11月3日 | ［13］ |
| Zaif | 380,536件（重複を除く） | メールアドレスのみ | 11月2日（第1報）、 | ［11、12］ |
| トライベック | 61,213件（重複、テストメール含む） | メールアドレス、差し込み文字列（氏名など） | 11月4日 | ［14］ |
| 日本デジタル研究所 | 28,921件 | メールアドレス等（流出した可能性） | - | ［15］ |
| 三井住友銀行 | 227,216件 | 7月1日〜10月31日に配信したメールの宛先（メールアドレス） | 11月5日 | ［16］ |
| カカクコム | 約570万件 | メールアドレス（価格.comの約65万件は誕生日・性別、icottoの2件はユーザーIDも） | 11月5日 | ［17］ |
アララから、三井住友銀行は10月28日に情報漏えいは確認されていない旨の報告を［16］、TKCは10月30日に利用環境からの情報漏えいはないとの報告を受けていた［7］。
ITmedia NEWSは、松竹マルチプレックスシアターズが10月29日と10月30日の案内で会員情報は流出していないとしていたと報じた［18］。同社はその後、11月2日に会員のメールアドレスの流出を発表した［18］。
対応と現状
第2報では、再開を、侵入経路の特定、認証情報の全面的な変更、システムの安全性の確認等を行ったうえで判断するとした［2］。再開にあたっては、契約企業に管理画面のパスワードや認証情報（APIキー等）の再設定を求める予定である［2］。個人情報保護委員会には11月2日に今回判明した事項を報告し、JIPDECには同じ日に中間報を出す予定とした［2］。
サービスサイトのお知らせによると、停止の対象はアララメッセージとASP repicaシリーズを使うすべての顧客で、管理画面とAPIは使えず、予約済みの配信も実行されない［3］。オンプレミスのrepicaシリーズは対象外である［3］。顧客ごとの影響（情報流出の有無、流出件数、詳細情報）は、調査結果が確定した顧客から順に個別に案内している［3］。
アララは、委員会への報告を検討する顧客に、民間事業者には連名報告、行政機関と地方公共団体には代行報告を選べると案内した［3］。代行報告はガイドラインに定めが無いが、今回は委員会から認められたと説明した［3］。申し込んだ顧客の報告は、速報の目安期間を超えても遅延として扱わない旨を委員会に確認したと案内している［4］。
契約企業の側では、アソビューが11月2日に、アララメッセージを使うすべてのメール配信を止め、管理画面パスワード・APIキー等の認証情報を無効にした［13］。カカクコムはアララのサービスの利用を再開せず、安全性を確かめた別の委託先に切り替えるなどしてメール配信の復旧を進めている［17］。TKCは、別のメール基盤から送信できるよう開発・対処を進めている［10］。
未公表の事項
注
出典
当事者
- ［1］アララ株式会社『当社が提供する「アララメッセ－ジ」への不正アクセスによる情報流出およびサービス停止について』（2026年10月29日公開）
- ［2］アララ株式会社『当社が提供する「アララメッセ－ジ」への不正アクセスによる情報流出およびサービス停止について（第２報）』（2026年11月2日公開、PDF）
- ［3］アララ株式会社『【重要】アララ メッセージのサービス停止および個人情報流出に関するお詫びとご報告』（2026年11月5日公開、2026年11月6日閲覧）
- ［4］アララ株式会社『個人情報保護委員会への連名報告・代行報告に関するご案内』（公開日不明、2026年11月6日閲覧）
- ［5］ペイクラウドホールディングス株式会社『当社連結子会社に関しPHPの重大な脆弱性への対応に伴う一部サービスの一時停止に関するお知らせ』（2026年10月22日公開）
- ［6］ペイクラウドホールディングス株式会社『当社連結子会社が提供する「アララメッセ－ジ」への不正アクセスによる情報流出およびサービス停止について』（2026年10月29日公開、適時開示、保存記録のみ） 保存記録
関係組織
- ［7］株式会社TKC『メール配信委託先への不正アクセスによる情報漏えいの 可能性について（第1報）』（2026年11月2日公開）
- ［8］株式会社TKC『メール配信委託先への不正アクセスによる情報漏えいに関する件（第2報）』（2026年11月2日公開）
- ［9］株式会社TKC『メール配信委託先への不正アクセスによる情報漏えいに関する件（第3報）』（2026年11月4日公開）
- ［10］株式会社TKC『アララ株式会社の「アララメッセージ」への不正アクセスによる情報漏えいの可能性に関するご報告（第4報）』（2026年11月4日公開）
- ［11］Zaif Inc.『業務委託先（アララ株式会社）への不正アクセスに伴う情報流出の可能性について』（2026年11月2日公開）
- ［12］Zaif Inc.『業務委託先（アララ株式会社）への不正アクセスに伴う情報流出について（第2報・2026年11月4日）』（2026年11月4日公開）
- ［13］アソビュー株式会社『委託先メール配信サービスへの不正アクセスに関するお詫びとお知らせ』（2026年11月3日公開）
- ［14］トライベック株式会社『アララ株式会社への不正アクセスによる個人情報漏えいに関するお詫びとお知らせについて』（2026年11月4日公開）
- ［15］株式会社日本デジタル研究所『メール配信委託先への不正アクセスによる情報漏洩について』（公開日不明、2026年11月6日閲覧）
- ［16］株式会社三井住友銀行『メール配信委託先への不正アクセスによる情報漏えいについて』（2026年11月5日公開、PDF）
- ［17］株式会社カカクコム『業務委託先への不正アクセスに伴う当社サービスをご利用いただいているお客さまのメールアドレス漏えいについて』（2026年11月5日公開）
報道機関
- ［18］アイティメディア株式会社『モスやワークマン、IIJmioも アララへの不正アクセスで顧客情報の流出発表相次ぐ』（2026年11月5日公開）
更新記録
- 2026年11月6日：公開した。