この記事の要点（経営者向け）
本記事の情報は、2026年11月4日朝（日本時間）時点のものです。アララは件数などを精査中で、結果を第3報で知らせるとしています。最新の状況は、末尾の出典に挙げた各社の発表をご確認ください。[1]
約7,700万件・最大約380社
第三者が10月28日から31日にかけて、アララメッセージのサーバーを経由して多数のサーバーに侵入し、データベースを持ち出しました。契約企業の環境のサーバー97台が対象で、メールアドレスは約7,700万件（持ち出された恐れを含む、精査中）です。同社は、1人が複数のアドレスを持つ場合があるため、人数ではないとしています。[1]
メールアドレス以外も
持ち出された情報には、契約企業が登録した氏名、性別、生年月日、電話番号、会員番号、住所など（企業により異なる）と配信の宛先記録が含まれます。クレジットカード番号は同社のサービスでは保有していません。[1]
配信基盤が詐欺メールに悪用
10月28日から30日にかけて、サービスが悪用され、クレジットカード会社を装った不審メールが最大約713万通送信されました。送信元はnews@arara.comです。サービスは10月31日にすべて停止され、再開時期は未定です。[1]
今週やること
自社や委託先がアララメッセージを使っていないかを確認し、使っていればアララからの個別連絡で対象かどうかを確かめます。顧客と社員には、自社をかたるメールやSMSのリンクを開かず、IDやカード情報を入力しないよう伝えてください。[1]
何が起きたか
アララメッセージは、企業が会員や顧客にメールを一斉配信するためのサービスです。アララは10月29日の第1報で、1つの環境（共用環境）からメールアドレス約301万件が流出したと公表していました。11月2日の第2報では、不正アクセスが判明したサーバーが広がり、契約企業の会員情報なども持ち出されたと更新しました。[1]
共用環境では、第三者が10月27日から28日にかけて管理画面に不正にログインし、データの出力機能などを悪用して持ち出しました。再調査の結果、件数は重複を除いて3,386,187件（関係する契約企業61社）、うち5社が登録した氏名や会社名を含む顧客データは最大411,827件に更新されています。原因は、当初のWebサーバーの脆弱性に加え、システム環境における問題も関係していたと説明しています。侵入の開始時期と経路は調査中で、一連の不正アクセスは攻撃元の共通性などから同じ第三者によるものとみられています。[1]
図 1
10月27日から11月2日までの経過
10月27日に共用環境への不正ログインが始まり、28日から31日にかけて契約企業の環境へ侵入が広がりました。アララは31日にサービスを全面停止し、11月2日に第2報を公表しました。
- 攻撃
- アララの対応
- 公表・公的機関
10月27〜28日・攻撃
共用環境の管理画面に不正ログイン
データ出力機能などで持ち出し
10月28日 7時・アララの対応
不審メールの送信を確認
当該環境への外部からのアクセスを停止
10月28日 16時31分・アララの対応
共用環境を緊急停止
10月28〜31日・攻撃
契約企業の環境のサーバー97台に侵入
データベースの内容を持ち出し
10月29日・公表・公的機関
第1報、個人情報保護委員会・警察・JIPDECへ報告
10月30日・アララの対応
別の環境での不正送信が判明し遮断
13時32分を最後に新たな送信なし
10月31日 19時53分・アララの対応
アララメッセージを全面停止
再開時期は未定
11月2日・公表・公的機関
アララ第2報、TKC第2報、IPAが相談窓口を強化
図 2
3つの数字は別のものを数えています
約7,700万件は契約企業の環境から持ち出されたメールアドレス、3,386,187件は共用環境のメールアドレス、最大約713万通は悪用されて送られた不審メールの数です。
| 対象 | 件数 | 主な情報 | |
|---|---|---|---|
| 契約企業の環境 | サーバー97台・最大約380社 | 約7,700万件（精査中） | メールアドレスと会員情報 |
| 共用環境 | 契約企業61社 | 3,386,187件 | メールアドレスと属性情報 |
| 不審メールの送信 | 2つの環境 | 最大約713万通 | カード会社を装うメール |
| クレジットカード番号 | サービス全体 | 保有していない | 同社の説明 |
注: アララは、区分の間で同じメールアドレスが重複している可能性があるため、件数を合算していません。件数は11月1日時点で精査中です。
出典: [1]
なぜ多くの企業に広がったのか
メール配信サービスには、企業がメールを送るために会員のアドレスや氏名などを預けています。そのため、配信サービス1社が侵入されると、自社のシステムに問題がなくても、多くの企業の顧客情報がまとめて影響を受けます。今回、アララは最大約380社と推計しています。[1]
契約企業側の発表も続いています。会計事務所や企業、地方公共団体向けのシステムを提供するTKCは11月2日の第2報で、メール配信業務を委託するアララの漏えい対象に、TKCのシステムを利用する顧客のメールアドレスが最大223万812件含まれていたと公表しました。[2]
届いた不審メールへの対応
アララによると、不審メールの送信先は第三者が外部から持ち込んだメールアドレスで、この不正送信自体によるメールアドレス以外の流出は確認されていません。件名は「利用内容確認のご依頼」「ご利用明細確認のご依頼」などです。[1]
自社で確認すること
図 3
自社に関係があるかを確かめる手順
まず自社がアララメッセージを直接使っているか、次に委託先が使っていないかを確認します。どちらでもなくても、メール配信を任せている外部サービスの棚卸しは役に立ちます。
自社でアララメッセージを契約しているか
はい
アララからの個別連絡で、自社の環境が対象か、どの情報が含まれるかを確認します。再開時には管理画面のパスワードやAPIキーなどの再設定が求められる予定です。
いいえ
委託先がメール配信に使っていないか
はい
TKCのように、委託先や利用するシステムの提供元が配信を再委託している場合があります。委託先に対象かどうかと、自社の顧客情報が含まれるかを問い合わせます。
いいえ
メール配信を任せている外部サービスを棚卸しする
どのサービスに、どの顧客情報を、どれだけ預けているかを一覧にし、不要になった名簿や項目は削除を依頼します。
よくある質問
ZeroKaiでできること
今回の第2報では、侵入の入口としてWebサーバーの脆弱性と管理画面への不正ログインが挙げられています。自社が外部に何を公開しているかを一覧で把握することが、見落としを減らす第一歩になります。ZeroKaiは、ドメインを入力するだけで、証明書の透明性ログに記録されたホスト名を一覧にし、管理画面や検証環境に見える名前を目立たせます。所有権を確認したドメインでは、Shodanが観測したリモートアクセス、ファイル共有、データベース、FTPといった公開サービスも表示します。
出典
本文中の［番号］は、以下の出典に対応しています。 リンク先は2026年10月13日に確認しました。
- [1]アララ株式会社「当社が提供する「アララメッセ－ジ」への不正アクセスによる情報流出およびサービス停止について（第２報）」、2026年11月2日
- [2]株式会社TKC「メール配信委託先への不正アクセスによる情報漏えいに関する件（第2報）」、2026年11月2日
- [3]独立行政法人情報処理推進機構（IPA）「不正アクセスによる個人情報漏えい等の被害にあわれた方の相談受付強化について」、2026年11月2日
この記事の用語と関連する質問
用語集
よくある質問
関連記事
自社が外に見せている入り口を、一覧で確認しませんか
ドメインを入力してアカウントを作成すると、無料のパッシブ評価をすぐに始められます。1つの所有権確認済みドメインまで無料で、対象のサーバーには接触しません。
ニュースレター
日本企業に関係するサイバーセキュリティニュースを、わかりやすく。週2回（月・水）お届けします。