アララの不正アクセス 第3報｜流出は約8,133万件、別の環境からも

ペイクラウドホールディングスは2026年11月6日、子会社のアララが運営するメール配信サービス「アララメッセージ」への不正アクセスについて、第3報を出しました。 これまでの発表とは別のクラウド環境からも、メールアドレス3,249,492件が持ち出されていたと分かりました。区分の間の重複を除いた、持ち出されたメールアドレスは81,329,467件（約8,133万件）です（ペイクラウドHD の2026年11月6日の発表）。 アララメッセージでメールマガジンなどを配信していた会社と、その配信先の人に関係します。

公表された内容

• 別の環境からの持ち出し：サービスのほかのサーバーとは別のクラウド上にある環境（環境B）に、第三者が10月28日〜31日に認証情報を不正に使ってアクセスし、データを持ち出したとしています。流出したのはメールアドレスだけで、3,249,492件。10月31日に認証情報を無効にし、環境B を止めました
• 新しい攻撃ではない：第2報で伝えた一連の不正アクセスの期間中のもので、新たな不正アクセスではないとしています。第2報のときは調べている途中で件数を確かめられず、調べる範囲を広げて分かったとしています
• 合計の件数：区分の間の重複を除くと81,329,467件。第2報の区分ごとの件数を足した80,386,187件より943,280件多いとしています。件数はメールアドレスの数で、人数ではありません
• 第2報の数字の修正：第1報の共用の環境の分を、3,386,187件から2,842,400件に直しました。この区分の情報に、一部の文の情報が含まれていたとしています。第2報で「10月27日から28日」とした不正ログインと持ち出しは10月28日で、27日は偵察とみられるアクセスと直しました
• 影響を受けた会社の数：第2報の「最大約380社」には、共用の環境の61社と環境B の社数も含むとしています
• 訂正：同じ日の夜、第3報の件数の表の一部（メールアドレスだけの件数の欄）を訂正しました。合計の81,329,467件の記載は訂正の対象に含まれていません
• サービス：10月31日から止めたままで、再開の時期は決まっていません

経緯

• 2026年10月27日：偵察とみられるアクセス
• 2026年10月28日：共用の環境の管理画面への不正ログインとデータの持ち出し。環境B への不正なアクセスもこの日から31日まで
• 2026年10月29日：第1報（メールアドレス約301万件）
• 2026年10月31日：サービスをすべて停止。環境B の認証情報を無効にして停止
• 2026年11月2日：第2報（導入企業の環境のサーバー97台、約7,700万件）
• 2026年11月6日：第3報（環境B の3,249,492件を追加、重複を除いた合計81,329,467件）。同日、表の一部を訂正

会社の対応

• 再開は、侵入の経路の特定、認証情報の全面的な変更、安全の確認をしてから判断するとしています
• 環境B を使っていた導入企業には、アララから個別に連絡するとしています
• 個人情報保護委員会・総務省関東総合通信局・JIPDEC に、11月6日に追加の報告をする予定としています
• 業績への影響は精査中としています

影響を公表した会社の一覧は、アララのページにまとめています。

中小企業が今日からできること

• アララから連絡が来ていないかをもう一度確かめる：環境B の分は今回はじめて分かった。以前に「対象ではない」と言われていても、配信の担当者のメールと管理画面のお知らせを見直す
• 件数が後から増える前提で知らせる：委託先の事故は、調べが進むと件数や対象が増える。客への知らせには「調査中で、分かりしだい追って知らせる」と書き、続報を出す担当を決めておく
• 配信サービスの認証情報を見直す：環境B は認証情報を不正に使われた。使っている配信サービス・クラウドの API キーやパスワードを、使う人と保管場所を限って管理し、使っていないものは消す
• 配信が止まった間の代わりを続ける：再開は未定。予約の確認や大事なお知らせを、別の送り方で送れているかを確かめる
• かたりのメールに備える：持ち出されたアドレスに、カード会社や自社をかたるメールが届くおそれがある。ホームページに注意の文を出しておく