アララメッセージの不正アクセス事案

1. アララメッセージとはどんなサービスか
2. 原因・経緯・現況
3. 影響範囲と漏洩した個人情報の延べ件数
4. 現在講じられている対策
5. システム開発者ができる対策
6. システム運用者ができる対策
7. 利用者が対策できること
8. 参考サイト

アララが提供する、企業などが大量のメールを送るためのサービスです。メールマガジンや案内メールなどの配信を支えます。契約企業が登録した宛先や会員情報を扱うため、利用者がアララと直接契約していなくても影響を受けることがあります。

たとえば、あるサービスで会員登録した人に確認メールを送る際、裏側で外部のメール配信サービスが使われることがあります。利用者から見えにくい委託先・再委託先まで含めた情報管理が重要です。TKCは今回、別の配信基盤を構築してメール送信機能を順次再開したと発表しており、情報漏洩だけでなく業務の継続にも影響が出ています。

原因について、初報はWebサーバーの脆弱性、第2報はそれに加えてシステム環境における問題が関係したと説明しています。認証情報の不正使用も判明しました。一方、詳しい侵入経路などは調査中で、特定の製品や脆弱性番号、認証情報の入手方法は公表資料から断定できません。

• 2026年（令和8年）10月28日：不正アクセスや不正利用を検知し、対象環境を停止しました。第3報によると、共用環境からの不正ログイン・持ち出しは28日、27日は偵察とみられるアクセスです。
• 10月29日：初報で約301万件のメールアドレスの持ち出しを公表しました。
• 10月31日：複数サーバーへの侵入を把握し、認証情報の無効化や通信遮断を実施。19時53分に全サービスの停止を完了しました。
• 11月2日：第2報で対象拡大と氏名などの会員情報の流出を公表しました。
• 11月6日：第3報で別クラウド環境Bの持ち出しや件数の訂正を公表しました。環境Bの件は10月28～31日の一連の事案であり、新しい攻撃の発生を示すものではありません。

11月6日の発表では、サービスは停止を継続し、再開時期は未定です。11月7日に確認したサービス停止のお知らせも停止中と案内しています。調査結果や再開見通しは今後変わる可能性があります。

対象契約企業は最大約380社（精査中）です。下表の3区分を足すと延べ84,194,829件ですが、同じメールアドレスが複数区分に含まれます。区分間の重複2,865,362件分を差し引いた公表値は81,329,467件です。いずれも持ち出された恐れを含みます。

メールアドレスの件数（2026年11月6日第3報）

区分	件数
本サービスを経由した不正アクセス（環境A）	78,102,937件
第1報の共用環境（環境A）	2,842,400件
別のクラウド環境B	3,249,492件
上記3区分の合計（本記事で計算した延べ件数）	84,194,829件
区分間の重複分（本記事で計算）	2,865,362件分
区分間の重複を除いた合計（公式公表値）	81,329,467件

各区分の内部では重複を除いています。したがって、この「延べ件数」は3区分の公表値を足した値であり、通信記録の総行数やすべての個人情報項目の合計ではありません。1人が複数のメールアドレスを使うこともあるため、重複を除いた81,329,467件も被害者の実人数ではありません。氏名や住所をそれぞれ別の1件として足すこともできません。

情報の内容は契約企業によって異なり、メールアドレスのほか、氏名、性別、生年月日、電話番号、会員番号、住所などを含みます。共用環境では一部テキスト情報も判明しました。第3報の内訳は、メールアドレスのみ34,285,087件、属性情報等を伴うもの47,044,380件で、内訳は精査中です。アララはサービスでクレジットカード番号を保有していないとしています。

別に、10月28～30日には、配信基盤が悪用され、送信元「news@arara.com」からカード会社を装うメールが最大約713万通送られました。これは送信通数で、漏洩件数に加算しません。送信先には攻撃者が外から持ち込んだアドレスが使われており、不審メールを受信したことだけでは、本サービスから自分の情報が流出したと判断できません。

アララは、サービス停止、認証情報の無効化、通信遮断を実施し、外部専門機関と調査を進めています。再開は侵入経路への対策、安全性の外部確認、契約企業の認証情報再設定を経て判断する方針です。再発防止策の表明を、すべて実施完了したものとして受け取らないようにします。

11月6日の対応方針では、システムの安全性の抜本的な見直し、異常を早く発見して対応する体制の整備、グループ全体の管理強化を掲げています。影響が考えられる契約企業への連絡と、警察・個人情報保護委員会・JIPDEC・総務省関東総合通信局への報告も行っています。

ここからはIPAなどの資料を踏まえた一般的な対策例です。本件で実装不備があったと断定するものではありません。開発者は、弱点を減らすとともに、万一侵入されても他の顧客や機能へ被害が広がりにくい設計を考えます。

• OS・Webサーバー・ライブラリーの更新を継続できる構成にし、公開前の診断とコードレビューで弱点を確認します。
• ログイン確認に加え、「その企業のそのデータを操作する権限があるか」をサーバー側で毎回確認します。他社の識別番号へ書き換えても参照できないことを検証します。
• 企業ごとのデータ、実行権限、鍵を分離し、配信処理に全顧客データの出力権限を与えないなど、必要最小限の権限にします。
• APIキーなどの秘密情報をソースコードや通常のログに書かず、専用の保管機構で管理します。用途別に発行し、漏洩時に速やかに失効・交換できるようにします。
• データの一括出力と大量送信に上限や追加確認を設け、だれが何をしたか追跡できる監査ログを残します。
• 不要な会員情報は預けず、保存期限を設けます。保存時の暗号化だけで、正規の権限を悪用した読み出しまで防げるわけではありません。

運用者は、公開サーバーやクラウド、使っているソフトウェア、認証情報を把握し、更新漏れを防ぎます。異常なログインだけでなく、大量の読み出し・出力・送信や環境をまたぐ通信にも注目します。検知したときに、だれがどこまで停止できるかを事前に決めておきます。

• 管理画面への接続元を制限し、対応している場合は多要素認証を使います。APIキーなど人が操作しない認証情報も、権限と接続先を制限します。
• ログを改ざんされにくい別環境へ保存し、異常時は証拠を保全しながら対象を隔離します。ログを消してから原因を調べる手順にしないことが大切です。
• 委託先・再委託先が保管する項目と期間、事故時の連絡経路、調査情報の共有方法を確認します。初期の「対象外」という回答だけで確認を終えず、続報に照らして再確認します。
• 配信できなくなったときの公式サイトでの周知や代替配信基盤を準備し、切り替えを訓練します。切り替え先でも認証・宛先管理を確認します。
• 漏洩等への対応は、自社の立場と影響を確認し、個人情報保護委員会の案内に沿って関係部署と報告・本人への通知等を判断します。必要な対応の確認を、全件の確定まで先送りしないことが重要です。

心当たりのないメールのURLや添付ファイルを開かず、返信や個人情報の入力もしないようにします。確認するときは、メールのリンクを使わず、普段使っている公式アプリやブックマークから開きます。実在する会社名や自分の氏名が書かれていても、本物とは限りません。

アララは「news@arara.com」から届いたカード会社を装う不審メールを削除するよう案内しています。今後も、アララや契約企業をかたるメール、SMS、電話などに注意が必要です。どの情報が対象かは、利用している各企業・自治体の公式案内で確認してください。

偽サイトでカード情報を入力した場合は、メールに書かれた番号ではなく、カード裏面や公式アプリの窓口からカード会社へ速やかに連絡します。パスワードを入力した場合は、正規サイトで変更し、同じものを使う他のサービスでも変更します。多要素認証を有効にし、不審なログインや利用明細も確認します。

漏洩した情報を利用者の操作で回収することはできません。また、メールを受け取っただけで端末の感染やパスワードの漏洩が確定するわけでもありません。利用者の注意と、事業者側の調査・被害抑止を組み合わせて二次被害を防ぎます。

以下は2026年（令和8年）11月7日に確認した資料です。事実関係はアララの第1～3報と対応方針を中心にし、一般的な対策はIPAと個人情報保護委員会の資料を参考にしました。調査中の件数・内訳・再開時期は、今後の公式発表も確認してください。

• 当社が提供する「アララメッセ－ジ」への不正アクセスによる情報流出およびサービス停止について：アララ（2026年10月29日）
• 情報流出およびサービス停止について（第2報）：アララ（2026年11月2日、PDF）
• 情報流出およびサービス停止について（第3報）：アララ（2026年11月6日、PDF）
• 「アララメッセージ」への不正アクセスに関するお詫びと今後の対応について：アララ（2026年11月6日）
• アララ メッセージ サービス停止のお知らせ：アララ
• メール配信サービスの紹介：アララ
• アララ株式会社の「アララメッセージ」への不正アクセスによる情報漏えいの可能性に関するご報告（第5報）：TKC（2026年11月6日）
• 安全なウェブサイトの作り方：IPA
• 安全なウェブサイトの作り方―アクセス制御や認可制御の欠落：IPA
• 安全なウェブサイトの運用管理に向けての20ヶ条：IPA
• 不正アクセスによる個人データ漏えい防止のための注意喚起：個人情報保護委員会
• 個人を狙ったサイバー攻撃に関する留意事項：個人情報保護委員会