アララメッセージの情報流出は7700万件。対象の確認と不審メールの件名

メール配信サービス「アララメッセージ」を運営するアララは2026年11月2日、不正アクセスにより、メールアドレス約7700万件が外部に持ち出されたと発表しました。

アララメッセージは企業や団体がメールマガジンなどを送るためのサービスで、持ち出されたのは、契約企業が登録していた会員のメールアドレスなどです。

この記事では、漏れた項目と件数、自分が対象かどうか分かる流れ、news@arara.comから届いた不審メールの件名と対処、サービス再開の見通しをまとめます。

アララメッセージの情報流出で何が起きたか

アララは、ペイクラウドグループの会社で、企業向けのメール配信サービス「アララメッセージ」を運営しています。

アララは10月29日に第1報を出し、メールアドレス約301万件が外部に持ち出されたと発表しました。

その後の調査で被害の範囲が広がり、11月2日の第2報で、件数を約7700万件に更新しました。

第2報で新たに分かったのは、第三者がアララメッセージのサーバーに不正にアクセスし、10月28日から31日にかけて多数のサーバーに侵入して、データベースの内容を持ち出していたことです。

アララは10月31日にこれを把握し、同じ日にアララメッセージの提供をすべて停止しました。

アララは、攻撃元の共通性などから、一連の不正アクセスは第1報の不正アクセスと同じ第三者によるものとみています。

侵入が始まった時期と経路は、11月2日時点でまだ調査中です。

アララメッセージの第1報と第2報の違い

10月29日の第1報と11月2日の第2報では、流出の範囲や件数が大きく変わっています。

項目	第1報（10月29日）	第2報（11月2日）
流出が確認された範囲	1システム（共用環境）	共用環境と、契約企業の環境（サーバー97台）
流出した情報	メールアドレス	メールアドレス、氏名などの会員情報（契約企業により異なる）
件数	メールアドレス約301万件	メールアドレス約7700万件など（精査中）
原因	Webサーバーの脆弱性	Webサーバーの脆弱性と、システム環境の問題
サービス	該当のサーバーをネットワークから切り離し	アララメッセージの提供をすべて停止（10月31日）

脆弱性（ぜいじゃくせい）とは、システムの弱点のことです。

アララメッセージの流出は約7700万件。漏れた項目と件数

第2報では、被害を3つに分けて件数を示しています。

件数は精査中で、今後変わる可能性があります（2026年11月2日時点）。

区分	対象	主な情報	件数
アララメッセージを経由した不正アクセス	契約企業の環境（サーバー97台、最大約380社）	メールアドレスと会員情報	約7700万件（精査中）
第1報の環境（共用環境）	契約企業61社	メールアドレスと属性情報	3,386,187件
不審メールの送信	2つの環境	メールアドレス	最大約713万通

区分の間で同じメールアドレスが重複している可能性があるため、アララは件数を合算していません。

また、約7700万件は持ち出されたメールアドレスの数で、1人が複数のアドレスを持っていることもあるため、対象の人数を示すものではありません。

漏れた項目は契約企業によって違う

アララメッセージを経由して持ち出されたのは、メールアドレスと、契約企業がアララメッセージに登録した項目、それに配信の宛先などの記録です。

契約企業が登録した項目には、氏名、性別、生年月日、電話番号、会員番号、住所などがあり、どの項目が含まれるかは契約企業によって異なります。

第1報の環境（共用環境）では、メールアドレス3,386,187件のほか、5社が登録した氏名や会社名などを含む顧客データ最大411,827件が持ち出されました。

アララのサービスでは、クレジットカード番号は一切保有していません。

アララメッセージの流出の対象か確認する方法は？調べるページはまだない

アララメッセージを直接使っているのは企業や団体で、一般の人はその企業のメールマガジンや会員サービスを通じて、メールアドレスを登録しています。

アララは、第2報の公表後すぐにすべての契約企業に連絡し、各社の環境が対象かどうかと、流出した情報の内容を個別に伝えます。

利用者が自分で対象かどうかを調べるページや、利用者向けの専用の問い合わせ窓口は、11月2日時点の第2報には載っていません。

アララメッセージの契約企業の一覧も、公式には発表されていません。

第2報に載っている問い合わせ先は、契約企業向けのサポート窓口（03-5414-3611）です。

契約企業が利用者にどう知らせるかは、11月2日時点で公式には発表されていません。

契約企業からのお知らせの例

契約企業や団体のなかには、すでに自分のサイトでお知らせを出しているところもあります。

たとえば沖縄県は10月29日、「離島とのつながり促進事業（島まーる）」のメールマガジンの配信に、受託事業者がアララメッセージを使っていたと発表しました。

漏洩の可能性があるのはメールマガジン会員のメールアドレス2,560件で、名前などの情報は漏洩していません。

アララの調査結果が分かり次第、漏洩が確認された会員には、受託事業者から個別に案内が届きます。

このように、対象かどうかや漏れた項目は、メールを登録した先の企業や団体ごとに違います。

よく使う会員サイトやメルマガの配信元から、お知らせのメールやサイトでの発表がないかを確かめておきましょう。

アララメッセージから届いた不審メールの件名と対処

アララメッセージの一部の環境は第三者に不正に使われ、10月28日から30日にかけて、クレジットカード会社を装った不審なメールが最大約713万通送られました。

送信元はアララ自身のドメイン（arara.com）ですが、内容はアララやカード会社からの正式な連絡ではありません。

アララは10月28日に不正利用を確認し、同じ日の7時にその環境への外部からのアクセスを止めました。

ところが、別の環境でも同じ日の8時47分ごろから不正利用が続いていたことが10月30日に分かり、その環境の通信も遮断しました。

10月30日13時32分を最後に、新たな送信は確認されていません。

不審メールの送信そのものに伴う、メールアドレス以外の情報の流出は確認されていません。

不審メールを受け取ったときの対処

10月28日から30日に、news@arara.comから上のような件名のメールを受け取った場合は、本文中のURLにアクセスせず、メールを削除します。

もしリンク先でクレジットカード情報などを入力してしまった場合は、すぐにカード発行会社に連絡します。

アララから、パスワードやクレジットカード情報などの入力をお願いするメールが送られることはありません。

アララメッセージの流出のあとに気をつける連絡

アララは、アララや契約企業をかたるメール、SMS、電話、郵便物などに注意するよう呼びかけています。

心当たりのない連絡が届いたら、次の点を確かめましょう。

• メールやSMSに書かれたURLを開いていないか
• ID・パスワードやクレジットカード情報の入力を求められていないか
• 心当たりのない添付ファイルを開こうとしていないか
• 届いた連絡のリンクではなく、企業の公式サイトやアプリから自分で確かめたか

アララメッセージの再開はいつ？今後の発表

アララメッセージは10月31日から停止していて、同じ日の19時53分に停止が完了しました。

アララのほかのサービスには影響がありません。

再開の時期は、11月2日時点では決まっていません。

アララは、侵入経路の特定、認証情報の全面的な変更、システムの安全性の確認などを行ったうえで、再開を判断します。

再開の見通しが立ったときは、アララメッセージのサービス停止のお知らせのページで知らされます。

件数の精査の結果は、第3報で知らせる予定です。

第3報の発表日は、11月2日時点では発表されていません。

アララは警察に10月29日に通報しており、個人情報保護委員会には10月29日に速報を出し、11月2日に今回分かったことを報告する予定です。

アララメッセージの流出は契約企業からの連絡と不審メールへの注意から

アララメッセージへの不正アクセスでは、メールアドレス約7700万件が持ち出され、契約企業によっては氏名や電話番号、住所なども含まれます。

アララは契約企業に個別に連絡しますが、利用者が自分で対象かどうかを調べる方法は、11月2日時点でありません。

news@arara.comから「利用内容確認のご依頼」などの件名のメールが届いていたら、URLを開かずに削除し、カード情報を入力してしまった場合はカード発行会社に連絡しましょう。

メールアドレスを登録している企業からのお知らせを確かめつつ、アララや契約企業をかたる心当たりのない連絡のURLは開かないようにしましょう。