アララのメール配信サービスに不正アクセス、最大約713万通の不審メール送信

AI生成記事についてこの記事は公開情報をもとにAIが自動生成しています。事実確認を行ったうえで公開していますが、正確性を保証するものではありません。最終的な判断は記事末尾の出典元をご確認ください。

2026年10月28日、アララは同社が提供するメール配信サービス「アララ メッセージ」で不正アクセスがあり、メールアドレスが外部へ流出したと公表しました。11月2日の第2報で被害を3つの区分に整理していますが、区分間で同じメールアドレスが重複している可能性があるため、アララは件数を合算していません。

不審メールの大量送信

10月28日3時59分頃、アララ メッセージで不正利用が始まり、クレジットカード会社を装った不審メールが送信されました。送信元は news"アットマーク"arara.com、件名は「利用内容確認のご依頼」「ご利用明細確認のご依頼」等です。送信先は第三者が外部から持ち込んだメールアドレスで、送信は10月28日から30日にかけて2つの環境の合計で最大約713万通にのぼります。この不正送信自体に伴うメールアドレス以外の流出は確認されていないとしています。

アララは10月28日に不正利用を確認し、不審メールの送信に使われた一部環境への外部からのアクセスを7時に停止しました。別の環境では8時47分頃から不正利用が続いており、10月30日13時8分に把握して13時26分に通信を遮断、13時32分を最後に新たな送信は確認されていません。

管理画面からの持ち出しと契約企業環境への侵入

10月28日11時9分から15時43分にかけて、第三者が共用環境の管理画面に不正にログインし、データの出力機能等を悪用してデータを持ち出しました。アララは16時31分に当該環境を緊急停止しています。持ち出されたのは契約企業61社分のメールアドレス3,386,187件（重複を除く）と、5社が登録した氏名、会社名等を含む顧客データ最大411,827件で、いずれも精査中です。

また第三者は、アララの当該サービスのサーバーに不正にアクセスし、10月28日から31日にかけて当該サーバーを経由して多数のサーバーに侵入しました。このうち10月29日1時36分から30日2時22分に、当該サービスを経由してデータベースの内容が持ち出されています。持ち出しを確認したのは契約企業の環境のサーバー97台で、対象となる契約企業は現時点の推計で最大約380社（精査中）です。持ち出されたメールアドレスは現時点の調査で約7,700万件（精査中）で、個人が複数のアドレスを持つ可能性があり最終ユーザー数を示すものではありません。ほかに契約企業が登録した氏名、性別、生年月日、電話番号、会員番号、住所等と、配信の宛先等の記録が持ち出されました。APIキー等の認証情報は利用停止中で、クレジットカード番号は保有していないとしています。

全サービス停止と影響範囲

アララは10月31日午前、一連の原因を調査する過程でこの持ち出しを把握し、12時58分から不正に使用された認証情報の無効化と各サーバーの通信の遮断を順次行いました。同日14時50分からアララ メッセージと「ASP repica」シリーズの全サービスを停止し、19時53分に停止完了としています。停止中は管理画面とAPIが使えず、予約済みの配信も実行されません。オンプレミス版のrepicaは対象外、アララのその他のサービスは影響なしとしています。再開は侵入経路の特定、認証情報の全面的な変更、システムの安全性の確認等を行ったうえで判断するとし、時期は未定です。

利用組織の公表は10月28日の「Payどん」の連名公表に始まり、土木学会や沖縄県などが続きました。piyokangoが11月4日時点で組織自身の公表にアララとの関係が書かれていることを確認できたのは125の組織とサービスです。当初は影響なしと伝えられた組織が後に対象と判明した例もあり、被害範囲の確定には時間を要する状況がうかがえます。

出典元：アララのメール配信サービス「アララ メッセージ」への不正アクセスについてまとめてみた（公開日：2026-11-04T16:57:17.000Z）