アララのメール配信サービスに不正アクセス｜メールアドレス約301万件が流出

ペイクラウドホールディングスは2026年10月29日、子会社のアララが運営するメール配信サービス「アララメッセージ」の一部のサーバーが不正アクセスを受け、個人情報の一部が外部に流出したと公表しました。 このサービスを使う企業（導入企業）が持つメールアドレス約301万件が、外部に持ち出されたことを確認したとしています（ペイクラウドHD の2026年10月29日の発表）。 原因は、一部の環境で Web サーバーの脆弱性を第三者に悪用されたことだとしています。

公表された内容

• 発生：2026年10月28日、子会社が提供する一部のシステムで不正アクセスが起きたことを確認（2026年10月29日の発表）
• 対象：メール配信サービスのサーバーのうち1つのシステム。その環境を使う導入企業が持つメールアドレス約301万件が外部に持ち出された
• 原因：子会社のシステムの一部の環境で、Web サーバーの脆弱性を第三者に悪用された。どの製品のどの脆弱性かは公表されていません
• ほかの影響：この件のほかに、不正アクセスによる影響は確認されていないとしています
• 導入企業の社名・数：公表されていません。自社が対象かどうかは、アララからの連絡で確かめることになります
• 業績への影響：精査中としています

会社の対応

• 対象のサーバーをすぐにネットワークから切り離し、被害の拡大を防ぐ措置をとったとしています
• 外部の専門機関と連携し、全サービスの脆弱性のある箇所を点検し直すとしています
• 攻撃の情報を導入企業・関係機関と共有するとしています
• 心当たりのない不審なメールは、URL を開かず、返信・添付ファイルの開封・ID やパスワードの入力をせずに削除するよう呼びかけています

中小企業が今日からできること

• 使っているメール配信サービスを確かめる：メールマガジンや会員への一斉送信に使っているサービスの名前と運営会社を確かめ、アララメッセージを使っていれば、自社の配信先が対象かを運営会社に問い合わせる
• 配信サービスに預けている名簿を減らす：退会者や長く配信していないアドレスが残っていないかを確かめ、要らないものは消す。配信サービスは、自社の顧客の名簿を預ける委託先として扱う
• 自社名をかたるメールに備える：持ち出されたアドレスに、自社や配信サービスを名乗る不審なメールが届くおそれがある。ホームページで「当社からパスワードを聞くことはない」と知らせる文を用意しておく
• 送信ドメイン認証（SPF・DKIM・DMARC）を設定する：自社のドメインをかたったメールが受け手で見分けられるよう、配信サービスの設定とあわせて確かめる
• 委託先の脆弱性への対応を契約で確かめる：配信サービスや制作会社に、Web サーバーの修正をどのくらいの間隔で当てているか、事故のときに何日以内に知らせるかを聞いておく