アララ「アララメッセージ」への不正アクセス｜公表と続報のまとめ

何が起きたか

2026年10月29日、ペイクラウドホールディングスは、子会社のアララが運営するメール配信サービス「アララメッセージ」の一部のサーバーが不正アクセスを受け、共用の環境からメールアドレス約301万件が持ち出されたと公表しました（ペイクラウドHD の2026年10月29日の発表）。 11月2日の第2報で、被害が大きく広がったことを公表しました。第三者がサービスのサーバーを経由して導入企業の環境のサーバー97台（最大約380社と推計）に侵入し、メールアドレス約7,700万件（精査中）と、氏名・生年月日・電話番号・住所などの会員情報を持ち出したとしています。共用の環境の分も、メールアドレス3,386,187件と、5社の顧客データ最大411,827件に直しました（ペイクラウドHD の2026年11月2日の発表）。 あわせて、サービスの一部の環境が不正に使われ、10月28日〜30日にクレジットカード会社を装ったメールが最大約713万通（送信元 news@arara.com）送られたとしています。 原因は、Web サーバーの脆弱性に加えて、システムの環境の問題も関係していたとしています。侵入の始まった時期と経路は調べている途中です。

会社の対応

• 10月28日に共用の環境を緊急停止し、10月31日にサービスの提供をすべて停止。再開の時期は未定
• 不正に使われたアカウント・鍵を無効にし、各サーバーの通信を遮断
• すべての導入企業に連絡し、対象かどうかと流出した情報を個別に知らせるとしています
• 再開のときは、導入企業に管理画面のパスワードと API キーなどの再設定を頼む予定
• 個人情報保護委員会・警察・JIPDEC に報告。精査の結果は第3報で知らせるとしています

この事例から中小企業が学べること

• メール配信サービスは、顧客の名簿を預ける委託先として扱い、預けている件数と項目を把握しておく
• 退会者や長く配信していないアドレスを、配信サービスから定期的に消す
• 配信サービスが止まったときの、予約の確認や大事なお知らせの別の送り方を決めておく
• 自社名をかたるメールへの注意の文を、ホームページに出せるよう用意しておく
• 委託先に、脆弱性の修正の間隔と、事故のときに知らせるまでの日数を確かめておく