メール配信「アララメッセージ」に不正アクセス、約8,100万件が流出

何が起きたのか

アララは2026年11月6日、メール配信サービス「アララメッセージ」への不正アクセスについて第3報を出しました。メール配信サービスは企業がお客様に案内メールを一斉に送るときに使う仕組みです。

10月29日の第1報では件数は約301万件でした。11月2日の第2報で契約企業の環境のサーバー97台に被害が広がっていたことが分かり、第3報では別のクラウド環境からの持ち出しも明らかになりました。

第三者は10月28日から31日にかけてデータを持ち出しました。同じ時期に、カード会社を装う不審メールが同社のサービスから最大約713万通送られており、送信元は news@arara.com でした。

原因について同社はWebサーバーの脆弱性に加え、システム環境の問題も関係していたと説明しています。侵入の開始時期と経路は調査中です。

漏れた情報

持ち出されたメールアドレスは区分の間の重複を除いて8,132万9,467件です。これはアドレスの数で、人数ではありません。このうち4,704万4,380件は属性情報も一緒に持ち出されました。内訳は精査中です。

属性情報は契約企業ごとに異なり、氏名、性別、生年月日、電話番号、会員番号、住所などです。対象の契約企業は最大約380社と推計されています。同社はクレジットカード番号を持っていないとしています。

会社の対応

同社は10月31日にサービスの提供をすべて止めました。再開の時期は未定で、再開の前に侵入経路の特定、認証情報の全面的な変更、安全性の確認を行います。個人情報保護委員会などに報告し、警察にも通報しています。

中小企業が学べること

自社が攻撃を受けていなくても、委託先の事故でお客様の情報が漏れることがあります。メール配信のような外部サービスに預ける項目を絞っておくと、影響を小さくできます。