アララメッセージで約7700万件の情報流出か｜不審メール713万通・対象者とサービス停止

HORIMEMOアイコン03 話題のニュース・SNS
https://x.com/securityLab_jp/status/2115561447493349873?a=M2nBesmWQ0wUhK3CpzQ&s=20

2026年11月2日、メール配信サービス「アララメッセージ（アララ メッセージ）」への不正アクセスについて、運営会社の親会社であるペイクラウドホールディングスが第2報を公表しました。

新たに契約企業向けのサーバー97台から情報が持ち出されたことが判明し、メールアドレス約7,700万件が外部に持ち出された、または持ち出されたおそれがあると説明しています。影響を受けた契約企業は最大約380社と推計されています。

さらに、アララメッセージのシステムが第三者に不正利用され、クレジットカード会社を装った不審メールが最大約713万通送信されていたことも明らかになりました。

10月29日の初報ではメールアドレス約301万件の流出が公表されていましたが、今回の調査によって影響範囲は大幅に拡大しています。一方、アララメッセージは10月31日にサービスを全面停止しており、再開時期は未定です。

今回のニュースで気になるのは、「自分のメールアドレスは対象なのか」「氏名や住所も漏れたのか」「アララから届いたメールは危険なのか」「クレジットカード情報を入力してしまった場合はどうすればよいのか」といった点でしょう。

この記事では、11月2日の公式第2報をもとに、約7,700万件と初報の約301万件の違い、不審メール713万通の内容、対象者の確認方法、クレジットカードへの影響、サービス停止と復旧状況を整理します。

アララメッセージで約7700万件の情報流出か｜不審メール713万通・対象者とサービス停止

ペイクラウドホールディングスは2026年11月2日、連結子会社のアララ株式会社が提供するメール配信サービス「アララメッセージ」への不正アクセスについて、第2報を発表しました。

今回の発表では、従来の共用環境だけでなく、契約企業向けの多数のサーバーにも不正アクセスが及んでいたことが明らかになっています。

まず、公式発表で確認できた主な情報を整理します。

確認項目2026年11月2日の発表内容
対象サービスアララメッセージ
運営会社アララ株式会社
親会社ペイクラウドホールディングス株式会社
新たに判明した対象サーバー契約企業向け97台
影響を受ける可能性のある契約企業最大約380社
新たに判明したメールアドレス件数約7,700万件（精査中）
初報の共用環境のメールアドレス338万6,187件に更新
共用環境で新たに判明した顧客データ最大41万1,827件
不正利用によるメール送信最大約713万通
サービス停止10月31日19時53分に全面停止完了
サービス再開未定
調査状況侵入経路・影響範囲などを調査中

ここで特に注意したいのは、約7,700万件はメールアドレスの件数であり、7,700万人の個人情報が流出したと確定した数字ではないという点です。

同じ人が複数のメールアドレスを登録している場合や、複数の企業のメール配信リストに同じメールアドレスが登録されている場合も考えられます。

また、約7,700万件には外部へ持ち出されたことが確認された情報だけでなく、持ち出されたおそれがある情報も含まれています。運営会社は引き続き件数を精査しており、今後の調査によって数字が変わる可能性があります。

出典：ペイクラウドホールディングス「アララメッセージへの不正アクセスによる情報流出およびサービス停止について（第2報）」（2026年11月2日・PDF）

約7700万件と338万6187件の違いは？初報から被害範囲が拡大

今回の情報流出では、約7,700万件という数字に加えて、338万6,187件や最大41万1,827件という数字も公表されています。

これらは同じ情報を数え直したものではなく、対象となったシステムや情報の種類が異なります。

10月29日の初報で確認されていたのは、複数の契約企業が利用する共用環境への不正アクセスです。当初は、メールアドレス約301万件が外部に持ち出されたと説明されていました。

その後の調査で、この共用環境から持ち出されたメールアドレスは、重複を除いて338万6,187件だったことが判明しました。

さらに、共用環境を利用する契約企業61社のうち5社については、氏名や会社名などを含む顧客データが最大41万1,827件持ち出されていたことも明らかになっています。

一方、11月2日の第2報で新たに判明したのは、契約企業向けのサーバー97台に及ぶ不正アクセスです。こちらでは、メールアドレス約7,700万件が外部に持ち出された、または持ち出されたおそれがあるとされています。

区分対象公表された件数
新たに判明した契約企業向け環境サーバー97台・最大約380社メールアドレス約7,700万件
初報で確認された共用環境契約企業61社メールアドレス338万6,187件
共用環境の一部顧客データ契約企業5社最大41万1,827件
不審メールの送信不正利用された2つの環境最大約713万通

なお、約7,700万件と338万6,187件には、同じメールアドレスが重複している可能性があります。

そのため、両方を足して約8,000万件以上のメールアドレスが流出したと断定することはできません。

また、最大41万1,827件は氏名や会社名などを含む顧客データの件数であり、すべてを独立した被害人数として追加することもできません。

不審メール713万通についても、送信したメールの通数を示す数字です。713万人が受信したことや、713万件のメールアドレスが今回のシステムから流出したことを意味するものではありません。

今回の第2報では、それぞれの数字を区別して理解することが重要です。

メールアドレス以外に何が漏れた？氏名・住所・生年月日なども対象

10月29日の初報では、主にメールアドレスの流出が公表されていました。

しかし、11月2日の第2報では、メールアドレス以外の会員情報も外部へ持ち出されていたことが明らかになっています。

新たに判明した契約企業向けサーバー97台では、メールアドレスに加えて、契約企業が登録した会員情報やメール配信の宛先などの記録が対象となっています。

公表された主な情報は次のとおりです。

  • メールアドレス
  • 氏名
  • 性別
  • 生年月日
  • 電話番号
  • 会員番号
  • 住所
  • メール配信の宛先などの記録

ただし、これらの情報がすべての契約企業で一律に登録されていたわけではありません。

アララメッセージは、企業や団体がメールマガジンや各種通知メールを配信するために利用するサービスです。

メールアドレスだけを登録している企業もあれば、氏名や会員番号、住所などを組み合わせて登録している企業もあります。

そのため、今回の不正アクセスで実際にどの情報が対象となったのかは、契約企業ごとに異なります。

また、運営会社によると、アララメッセージのシステムではクレジットカード番号を一切保有していません。したがって、今回のサーバーからカード番号そのものが流出したという発表ではありません。

ただし、後述する不審メールのリンク先で利用者がカード情報を入力した場合には、別の問題として情報を盗み取られるおそれがあります。

なお、契約企業が管理画面などで使用する認証情報や担当者情報についても、運営会社は影響の確認や認証情報の無効化・変更を進めています。一般のメール受信者のパスワードが一律に流出したと公表されたわけではありません。

自分のメールアドレスは対象なのか？一般利用者が確認したいこと

アララメッセージというサービス名を初めて聞いた人でも、今回の不正アクセスの影響を受けている可能性があります。

アララメッセージは、一般の利用者が直接契約して使うメールサービスではなく、主に企業や団体がメール配信に利用するシステムだからです。

例えば、企業のメールマガジン、会員向けのお知らせ、イベント案内などを受信する際、その配信にアララメッセージが使用されている場合があります。

そのため、アララメッセージに直接登録した覚えがなくても、同サービスを利用する企業の配信先リストに自分のメールアドレスが登録されていた可能性があります。

ただし、アララメッセージを利用する企業からメールを受信したことがあるだけで、必ず今回の流出対象になったとは限りません。

実際に対象となるかどうかは、契約企業が利用していた環境や、外部へ持ち出された情報の範囲によって異なります。

対象者を自分で検索できるページはある？

11月2日の公式第2報では、一般の利用者がメールアドレスを入力するだけで流出の有無を確認できる専用ページは案内されていません。

運営会社は、今回の第2報の公表後、すべての契約企業に連絡し、各社の環境が対象になっているかどうかや、流出した情報の内容を個別に案内するとしています。

そのため、一般の利用者は、まず利用している企業やサービスの公式サイトで、今回の不正アクセスに関するお知らせが出ていないか確認することが重要です。

また、現時点で個別メールが届いていない場合でも、すべての調査や連絡が完了したとは限りません。

通知が届いていないことだけを理由に、自分のメールアドレスは対象外だと断定することは避けてください。

Payどん・沖縄県のメールマガジンなどにも影響

アララメッセージへの不正アクセスを受け、同サービスをメール配信に利用していた企業や団体からも、個別の影響に関する発表が出ています。

ただし、以下は今回の不正アクセスに関係することを公表した事例であり、影響を受けた可能性のある最大約380社の全社一覧ではありません。

また、各企業・団体で公表されている対象情報や流出の確認状況は異なります。

Payどん｜メール通知機能と新規登録に影響

鹿児島銀行、南日本銀行、鹿児島相互信用金庫、鹿児島信用金庫の4行庫は、2026年10月28日、キャッシュレス決済サービス「Payどん」のメール通知システムに関する不正アクセスを公表しました。

Payどんでは、メール送信をアララ株式会社に委託しており、今回の不正アクセスによって、利用者や加盟店のメールアドレス、決済情報の一部が漏えいした可能性があると説明しています。

対象となる可能性がある決済情報は、日時、店舗名、支払金額です。

また、Payどんでは決済や送金、チャージなどの完了メールが届かなくなる影響が発生し、新規登録も停止されています。

ただし、今回の発表は、Payどんのすべての決済情報や銀行口座情報が流出したことを示すものではありません。

参考：鹿児島銀行など4行庫「Payどんへの不正アクセスによる個人情報漏えいの可能性に関するお知らせとお詫び」

沖縄県「島まーる」｜メールアドレス2,560件に影響の可能性

沖縄県は10月29日、離島とのつながり促進事業「島まーる」のメールマガジンについて、登録者のメールアドレス2,560件が漏えいした可能性があると公表しました。

メールマガジンの配信にアララメッセージを利用していたことによるもので、沖縄県の発表では、氏名などメールアドレス以外の情報については漏えいしていないと説明しています。

今後、漏えいが確認された会員には、受託事業者から個別に案内する方針です。

参考：沖縄県「島まーる」のメールマガジン配信サービスに対する不正アクセスについて

株式会社ウィル｜メールマガジン登録情報を調査中

株式会社ウィルも10月30日、同社がメールマガジンの配信に利用していたアララメッセージへの不正アクセスについてお知らせを公表しています。

同社が登録していたメールアドレスが流出対象に含まれているかどうかについては、アララ株式会社による調査中と説明しており、メールマガジンの配信を停止しています。

参考：株式会社ウィル「アララ株式会社への不正アクセスに伴うメールアドレス流出の可能性について」

このように、同じアララメッセージを利用していた場合でも、企業や団体によって対象情報や影響の程度は異なります。

また、各社が公表した件数は運営会社が調査している全体の対象件数と重なる可能性があるため、単純に合計して被害人数を求めることはできません。

今後、新たに影響を公表する企業や団体が増える可能性がありますが、現時点で名前が公表されていない企業について、今回の流出対象だったと推測で判断することはできません。

不審メール713万通はどんな内容？送信元と件名を確認

今回の不正アクセスで、個人情報の流出とは別に注意が必要なのが、不審メールの大量送信です。

11月2日の公式第2報によると、2026年10月28日から30日にかけて、アララメッセージの一部システムが第三者に不正利用され、クレジットカード会社を装ったメールが最大約713万通送信されました。

運営会社は、不正メールについて次の情報を公表しています。

項目公式発表の内容
送信期間2026年10月28日～30日
送信件数最大約713万通
送信元メールアドレスnews@arara.com
件名の例①利用内容確認のご依頼
件名の例②ご利用明細確認のご依頼
装っていた相手クレジットカード会社
送信先第三者が外部から持ち込んだメールアドレス

ここで重要なのは、不審メールの送信先について、運営会社が第三者が外部から持ち込んだメールアドレスだったと説明している点です。

そのため、10月28日から30日に「news@arara.com」から不審メールを受け取ったとしても、それだけで自分のメールアドレスが今回の情報流出の対象だったとは判断できません。

また、最大約713万通はメールの送信件数であり、実際に713万人が受信したことや、713万人が詐欺被害に遭ったことを意味する数字ではありません。

運営会社は10月28日に最初の不正利用を確認してアクセスを停止しましたが、別の環境でも不正利用が続いていたことが10月30日に判明しました。

その後、当該環境への通信を遮断しており、10月30日13時32分を最後に新たな送信は確認されていないと説明しています。

なお、不審メールの送信元として公表されたアドレスは、今回確認された不正送信の特徴です。送信元アドレスだけでメールの安全性を判断することはできません。異なるアドレスや件名を使った詐欺メールについても注意が必要です。

不審メールを受信したらどうする？リンクを開いた・カード情報を入力した場合の対応

運営会社は、10月28日から30日に送信元「news@arara.com」から、前述のような件名の不審メールを受信した場合、本文中のURLにはアクセスせず、メールを削除するよう呼びかけています。

また、アララ株式会社やペイクラウドホールディングスから、メールでパスワードやクレジットカード情報の入力を求めることはないと説明しています。

実際に不審メールを受信した場合は、どこまで操作したかによって対応が変わります。

  • メールを受信しただけ：本文中のリンクや添付ファイルを開かず、不審なメールを削除する
  • リンクを開いてしまった：それ以上操作せず、個人情報や認証情報を入力しない。ダウンロードしたファイルがあれば開かず、端末の安全性を確認する
  • カード番号やセキュリティコードを入力した：速やかにカード発行会社へ連絡し、カードの停止や再発行の必要性について相談する
  • ID・パスワードを入力した：正規の公式サイトやアプリからパスワードを変更し、同じパスワードを使っている他サービスについても確認する
  • 不審な請求や身に覚えのない操作がある：カード会社や利用サービスの公式窓口へ速やかに相談する

特に、カード情報を入力してしまった場合は注意が必要です。

アララメッセージ自体はクレジットカード番号を保有していませんが、不審メールから誘導された偽サイトに利用者が自らカード情報を入力した場合、その情報を第三者に取得されるおそれがあります。

「アララメッセージからカード番号は流出していない」という説明と、「偽サイトに入力したカード情報が安全である」ということは別の問題です。

また、カード会社に連絡する際は、不審メールに記載された電話番号ではなく、カードの裏面や公式アプリ、公式サイトで案内されている連絡先を利用してください。

不審メールのリンクを開いただけの場合と、実際に認証情報やカード情報を入力した場合ではリスクが異なります。操作内容に応じて対応し、不審な請求やログイン履歴がないか確認することが重要です。

アララメッセージはいつ復旧する？10月31日にサービスを全面停止

アララメッセージは、不正アクセスによる被害の拡大を防ぐため、2026年10月31日にサービスを全面停止しました。

11月2日の公式第2報によると、同日19時53分にサービスの停止が完了しています。

サービス再開については、侵入経路の特定、認証情報の全面的な変更、システムの安全性の確認などを実施したうえで判断するとしており、現時点で具体的な復旧日時は決まっていません。

また、アララメッセージの公式サイトにも、サービス停止中であることと、再開の見通しが立ち次第案内することが掲載されています。

参考：アララメッセージ公式「サービス停止のお知らせ」

停止によってどのようなメールに影響がある？

アララメッセージは、企業や団体がメールマガジンや各種通知メールを配信するために使用しているサービスです。

10月31日の公式案内では、アララメッセージの管理画面やAPIによる配信に加え、ASP repicaシリーズの対象サービスも停止すると説明しています。

また、サービス停止期間中は、管理画面やAPI経由で予約済みのメールについても配信されないと案内しています。

そのため、メールマガジンだけでなく、アララメッセージを利用している企業の各種通知メールなどが届かなくなる可能性があります。

実際にPayどんでは、決済や送金、チャージなどの完了通知メールが届かない影響が公表されています。

ただし、すべての企業の通知メールがアララメッセージを利用しているわけではありません。メールが届かない場合、その原因が必ず今回の不正アクセスにあるとは限りません。

また、11月2日の公式第2報では、アララ株式会社が提供するアララメッセージ以外のサービスについては、影響がないと説明しています。

サービス再開時には、契約企業に対して管理画面のパスワードやAPIキーなどの認証情報の再設定を求める予定です。

今後、復旧日時や利用再開の条件が公表された場合は、運営会社の最新案内を確認する必要があります。

不正アクセスの原因は？Webサーバーの脆弱性とシステム環境の問題

アララ株式会社は10月29日の初報で、不正アクセスの原因について、一部のシステム環境に存在したWebサーバーの脆弱性が第三者に悪用されたと説明していました。

その後、11月2日の第2報では、Webサーバーの脆弱性に加えて、システム環境における問題も今回の不正アクセスの発生に関係していたことが明らかになっています。

また、初報で確認された共用環境では、第三者が管理画面に不正ログインし、データの出力機能などを悪用して情報を持ち出したことが確認されています。

一方、新たに判明した契約企業向けの環境では、第三者がアララメッセージのサーバーを経由して多数のサーバーに侵入し、データベースの情報を外部へ持ち出していました。

運営会社は、これら一連の不正アクセスについて、攻撃元の共通性などから同じ第三者によるものとみています。

ただし、実際の侵入開始時期や詳しい侵入経路については、引き続き調査中です。

そのため、今回の原因を特定の脆弱性や単一の攻撃手法だけに限定して説明することはできません。

また、10月22日にはPHPの脆弱性対応に伴う緊急メンテナンスも案内されていましたが、今回の第2報だけでは、そのPHPの問題が一連の不正アクセスの直接原因だったと断定できません。

不正アクセスはいつから発生していた？

今回の第2報では、調査で確認された主な経緯も公表されています。

日時確認された内容
10月27日8時36分第三者による偵察とみられるアクセスを確認
10月28日3時59分ごろ不審メールの送信が始まる
10月28日7時不正利用された環境への外部アクセスを停止
10月28日8時47分ごろ別の環境で不審メールの送信が始まる
10月28日11時9分～15時43分共用環境への不正ログインとデータ持ち出し
10月28日16時31分共用環境を緊急停止
10月29日1時36分～30日2時22分サービスを経由したデータの持ち出し
10月29日初報を公表
10月30日13時32分不審メールの最後の送信を確認
10月31日契約企業向け環境からの情報持ち出しを把握
10月31日19時53分サービスの全面停止が完了
11月2日第2報を公表。約7,700万件や713万通などの影響を説明

この時系列から分かるのは、10月28日に最初の不正アクセスを確認した後も、別の環境で不正利用や情報の持ち出しが発生していたことです。

また、10月27日に確認されたアクセスについては、運営会社が偵察とみられるものと説明しています。これが実際の侵入開始時点だったと確定したわけではありません。

今回の第2報は、サービス停止後の調査によって影響範囲が広がったことを明らかにしたもので、今後も新しい事実が公表される可能性があります。

ブラストメールの情報漏えいとは別の事件？違いを整理

2026年10月には、ほかのメール配信サービスでも不正アクセスや情報漏えいが相次いで公表されました。

その一つが、株式会社ラクスライトクラウドが運営する「ブラストメール（blastmail）」です。

ブラストメールでは10月21日に不正アクセスによる情報漏えいが公表され、契約企業の情報や一部の配信先リストが外部へ持ち出されたことが確認されています。

一方、今回のアララメッセージは、アララ株式会社が運営する別のメール配信サービスです。

運営会社も対象システムも異なり、今回のアララメッセージへの不正アクセスと、ブラストメールへの不正アクセスが同じ事件だったという公式確認はありません。

また、アララメッセージでは、情報の持ち出しに加えて、サービスが不正利用され、最大約713万通の不審メールが送信されたことも公表されています。

複数の情報漏えいニュースを確認する場合は、サービス名や運営会社、対象となった情報、実際に確認された被害を区別することが重要です。

ブラストメールの不正アクセスや利用企業への影響については、関連記事「ブラストメールで情報漏えいを確認｜配信先メールアドレスは対象？サービス停止と復旧状況」で詳しく整理しています。

対象者への個別通知はいつ？契約企業への連絡と今後の調査

今回の不正アクセスでは、アララメッセージを直接契約している企業と、その企業からメールを受信している一般利用者で、確認すべき内容が異なります。

ペイクラウドホールディングスは11月2日の第2報で、すべての契約企業に対して今回の不正アクセスを連絡し、各社の環境が対象となったかどうかや、流出した情報の内容を個別に伝える方針を示しています。

一方、一般のメール受信者全員に対して、アララ株式会社から直接メールを送信する日程が確定したという発表ではありません。

実際の通知方法は、各契約企業の調査状況や対応方針によって異なる可能性があります。

例えば、沖縄県の「島まーる」では、漏えいが確認されたメールマガジン会員に対し、受託事業者から個別に案内する方針が示されています。

一般利用者は、登録しているサービスやメールマガジンの運営会社からのお知らせを確認し、不審なメールに記載されたリンクから個人情報を入力しないよう注意してください。

契約企業は何を確認する必要がある？

アララメッセージを利用している企業については、運営会社からの案内をもとに、自社の環境が対象となっているか、どの会員情報が外部へ持ち出された可能性があるかを確認する必要があります。

また、サービス再開時には、管理画面のパスワードやAPIキーなどの認証情報の再設定を求められる予定です。

さらに、現在はサービスが停止しているため、予約済みのメール配信や通知メールが実行されないことにも注意が必要です。

停止中に別の方法でメールを送信した場合は、サービス再開後に同じ内容が重複して配信されないよう、送信状況を確認することも重要でしょう。

なお、運営会社は10月29日に個人情報保護委員会への速報を提出し、警察にも通報しています。11月2日に新たに判明した事項についても関係機関へ報告する予定としています。

今回の影響範囲や件数は現在も精査中であり、運営会社は調査結果を第3報で公表する方針です。

アララメッセージの情報流出まとめ｜今後の第3報と復旧情報に注意

2026年11月2日、ペイクラウドホールディングスは、メール配信サービス「アララメッセージ」への不正アクセスに関する第2報を公表しました。

今回の調査では、契約企業向けサーバー97台に不正アクセスが及び、メールアドレス約7,700万件が外部に持ち出された、または持ち出されたおそれがあることが明らかになりました。

また、初報で約301万件とされていた共用環境のメールアドレスは338万6,187件に更新され、氏名や会社名などを含む顧客データも最大41万1,827件持ち出されていたことが確認されています。

ただし、これらの件数には重複する情報が含まれる可能性があり、単純に合計して被害人数を計算することはできません。

さらに、アララメッセージのシステムが第三者に不正利用され、クレジットカード会社を装った不審メールが最大約713万通送信されていました。

不審メールの送信先は第三者が外部から持ち込んだメールアドレスと説明されているため、メールを受信しただけで今回の情報流出の対象者だったと断定することはできません。

一方、不審メールのリンク先でカード情報を入力した場合は、速やかにカード発行会社へ連絡する必要があります。

アララメッセージは10月31日19時53分にサービスを全面停止しており、11月2日時点で復旧日時は決まっていません。

今後は、運営会社による第3報、契約企業ごとの対象情報の確定、一般利用者への通知、サービス再開時期などが重要な確認事項となります。

特に、約7,700万件という数字の精査結果と、氏名・住所などメールアドレス以外の情報がどの範囲で対象となったのかについては、今後の公式発表を確認する必要があります。

一般の利用者は、登録している企業やサービスからのお知らせに注意するとともに、身に覚えのないメールやSMSのリンクからログイン情報やカード情報を入力しないようにしてください。

主な参考資料と確認日

情報確認日：2026年11月2日。ペイクラウドホールディングスが同日に公表した「アララメッセージへの不正アクセスによる情報流出およびサービス停止について（第2報）」を中心に、アララ株式会社の10月28日～31日の公式案内、鹿児島銀行など4行庫、沖縄県、株式会社ウィルの発表を確認しました。

約7,700万件は契約企業向けサーバー97台に関するメールアドレスの件数で、外部に持ち出されたおそれがあるものも含まれています。初報の共用環境338万6,187件とは重複する可能性があり、両者は合算していません。最大41万1,827件は共用環境の一部契約企業の顧客データであり、最大約713万通は不正利用によって送信されたメールの通数です。これらを同じ被害人数として扱うことはできません。

不正アクセスの詳しい侵入経路や開始時期、契約企業ごとの対象範囲、一般利用者への通知状況、サービス再開日時は引き続き調査・確認中です。今後の第3報や各社の公式発表によって、対象件数や情報の種類、対応状況が変わる可能性があります。

コメント

タイトルとURLをコピーしました