アララの不正アクセス 第2報｜メールアドレス約7,700万件、サービス全停止
公開
ペイクラウドホールディングスは2026年11月2日、子会社のアララが運営するメール配信サービス「アララメッセージ」への不正アクセスについて、第2報を出しました。 10月29日の第1報で伝えた共用の環境に加えて、導入企業ごとの環境のサーバー97台にも侵入され、メールアドレス約7,700万件（精査中）と氏名などの会員情報が持ち出されたとしています（ペイクラウドHD の2026年11月2日の発表）。サービスは10月31日にすべて止めました。 アララメッセージでメールマガジンなどを配信している会社（最大約380社と推計）と、その配信先の人に関係します。
公表された内容
- 新たに分かった不正アクセス：第三者がサービスのサーバーに入り、そこを経由して多数のサーバーに侵入し、データベースの中身を持ち出したとしています。持ち出しは10月29日1時36分〜10月30日2時22分で、10月31日に把握しました。対象は導入企業の環境のサーバー97台で、メールアドレスは約7,700万件（2026年11月1日時点、精査中）。同じ人が複数のアドレスを持つことがあるため、人数ではないとしています
- 持ち出された情報：メールアドレスと、導入企業が登録した項目（氏名・性別・生年月日・電話番号・会員番号・住所など。会社ごとに異なる）、配信の宛先などの記録。クレジットカード番号は持っていないとしています
- 第1報の件数の更新：共用の環境の分は、メールアドレス3,386,187件（重複を除く）と、5社が登録した氏名・会社名などを含む顧客データ最大411,827件に直しました。関係する導入企業は61社で、件数を含めて精査中としています。第三者が管理画面に不正にログインし、データの出力の機能などを使って持ち出したとしています
- 原因：第1報の「Web サーバーの脆弱性」に加えて、システムの環境の問題も関係していたとしています。侵入の始まった時期と経路は調べている途中としています
- 不審なメールの送信：サービスの一部の環境が不正に使われ、10月28日〜30日に、クレジットカード会社を装ったメールが最大約713万通送られたとしています。送信元は news@arara.com、件名は「利用内容確認のご依頼」「ご利用明細確認のご依頼」など。送り先は第三者が外から持ち込んだアドレスで、この送信でメールアドレスのほかの情報の流出は確認されていないとしています
- 同じ攻撃者か：攻撃元が共通していることなどから、第1報の不正アクセスと同じ第三者によるものとみられるとしています
- 件数の扱い：3つの区分の間でアドレスが重なっている可能性があるため、件数は足し合わせていないとしています。件数は今後変わる可能性があり、精査の結果は第3報で知らせるとしています
経緯
- 2026年10月27日 8時36分：偵察とみられるアクセス（第1報のあとの調査で判明）
- 2026年10月28日：3時59分ごろから不審なメールの送信が始まり、7時に該当の環境への外からのアクセスを停止。11時9分〜15時43分に共用の環境の管理画面への不正ログインとデータの持ち出し。16時31分に共用の環境を緊急停止
- 2026年10月29日：第1報（メールアドレス約301万件）。個人情報保護委員会へ速報、警察へ通報、JIPDEC へ速報
- 2026年10月30日：別の環境から不審なメールが送られていたことを把握し、通信を遮断（13時32分を最後に送信なし）
- 2026年10月31日：サービスを経由した持ち出しを把握。不正に使われたアカウント・鍵を無効にし、19時53分にサービスの提供をすべて停止
- 2026年11月2日：第2報。サーバー97台・約7,700万件と公表
会社の対応
- 再開の時期は決まっていないとしています。侵入の経路の特定、認証情報の全面的な変更、システムの安全の確認をしてから判断し、再開のときは導入企業に管理画面のパスワードや API キーなどの再設定を頼む予定としています
- すべての導入企業に連絡し、各社の環境が対象かどうかと流出した情報の中身を個別に知らせるとしています
- 外部の専門機関と侵入の経路・時期と影響の範囲を調べ、システムの作り直しや監視の強化に取り組むとしています
- 個人情報保護委員会と JIPDEC には11月2日に今回分かったことを報告する予定としています
中小企業が今日からできること
- アララメッセージを使っているかを確かめる：メールマガジン・会員への一斉送信・予約の案内などに使っている配信サービスを部署ごとに確かめ、使っていればアララからの個別の連絡を待たずに、自社の環境が対象かを問い合わせる
- 預けている項目を書き出しておく：配信サービスに、メールアドレスのほか氏名・生年月日・住所などをどれだけ登録しているかを確かめ、対象と分かったときにすぐ客へ知らせられるよう、知らせる文の下書きを用意する
- 配信が止まったときの代わりを決める：サービスの停止で、予約の確認や大事なお知らせのメールが送れなくなる。別の送り方（ほかの配信サービス・自社のメール・ホームページでの告知）を決めておく
- 再開のときの鍵の変更を忘れない：管理画面のパスワードと、ほかのシステムとつなぐための API キーを新しくし、古いものが社内の設定ファイルなどに残っていないかを確かめる
- 自社名をかたるメールに備える：持ち出されたアドレスに、自社やカード会社を名乗るメールが届くおそれがある。「当社からパスワードやカード番号を聞くことはない」という知らせを、ホームページに出せるよう用意する