アララ不正アクセスの続報｜メールアドレス約8,100万件

メール配信サービス「アララメッセージ」への不正アクセスについて、親会社のペイクラウドホールディングスは2026年11月6日に第3報を公表しました。持ち出されたメールアドレスは、重複を除いて81,329,467件（約8,100万件）となりました（持ち出された恐れのあるものを含みます）。

この記事は、「2026年10〜11月の国内サイバー被害まとめ」でお伝えした内容の続報です。第2報からの変更点と、利用企業が公表した影響、次に確かめたいことを整理します。内容は2026年11月8日時点のものです。

第2報から何が変わったか

※すべてメールアドレスの数です。持ち出された恐れのあるものを含みます。「属性情報」には、契約企業によって氏名、性別、生年月日、電話番号、会員番号、住所などが含まれます。

※第3報によると、環境Bへの不正アクセスは第2報と同じ10月28日〜31日の一連のもので、新たな不正アクセスではないとしています。認証情報が不正に使われ、持ち出されたのはメールアドレスのみです。

また、第2報の「10月27日から28日にかけて」は、不正ログインと持ち出しが10月28日、10月27日は偵察とみられるアクセスだったと改められました。

これまでの流れ

• 2026年10月27日
  偵察とみられるアクセス
• 2026年10月28日
  不正アクセスを確認。この日から30日にかけて、クレジットカード会社を装うメールが最大約713万通送信
• 2026年10月29日
  第1報を公表（メールアドレス約301万件）。警察に通報
• 2026年10月31日
  すべてのサービスを停止
• 2026年11月2日
  第2報を公表（約7,700万件、最大約380社）
• 2026年11月6日
  第3報を公表（81,329,467件）。あわせて再発防止の方針を公表

利用企業の公表（確認できたもの）

アララメッセージを利用する企業からも公表が続いています。次は、各社の公式発表で確認できた例です。すべての利用企業の一覧ではありません。

※各社の数字は、それぞれの発表の時点のものです。アララの全体の件数との単純な比較はできません。

ライフの例では、ライフ→富士通→アララという再委託の関係で情報が預けられていました。ライフは11月3日に富士通から連絡を受け、11月4日に自社の情報が対象の可能性があると判明したとしています。

まだわかっていないこと

• 侵入経路：第2報では原因を「Webサーバーの脆弱性およびシステム環境における問題」としていますが、第3報でも特定を進めている段階です。
• 件数の確定：精査が続いており、今後も変わる可能性があります。
• 再開の時期：侵入経路への対策の完了、外部専門機関による安全性の確認、契約企業の認証情報の再設定を経て判断するとしています。
• 業績への影響：親会社は精査中としています。

利用企業が確かめたいこと

1. アララからの連絡を確かめる

   環境Bの利用企業には個別に連絡するとしています。社内のどの部署が受け取るかを確かめます。

2. 再委託の関係を調べる

   自社が直接契約していなくても、委託先が使っている場合があります。メール配信を任せている会社に確かめましょう。

3. 属性情報の有無を確かめる

   メールアドレスだけか、氏名や電話番号も登録していたかで、お客様への案内と報告の内容が変わります。

4. お客様への案内を準備する

   個人データの漏えいでは、個人情報保護委員会への報告と本人への通知が必要になる場合があります。具体的な判断は、弁護士や同委員会の案内を確かめてください。

5. 認証情報の再設定に備える

   再開の際には再設定が必要とされています。同じパスワードをほかで使っている場合は、先に変えておきましょう。

以前の記事で取り上げた3つの事案の状況

2026年11月8日時点で、次の事案について新しい公表は確認できませんでした（確認できたのは各組織のお知らせの一覧です）。

新しい事案については「国内サイバー被害まとめ（2026年11月上旬）」をご覧ください。

Digi Dinosにおまかせください

Digi Dinos（デジダイノス）は、DX、セキュリティ、システムの運用・保守を支援する会社です。ISO 27001の認証を取得しており、日本語ができるチームが対応します。

• 外部サービスの棚卸し：どのサービスに、どんな情報を預けているかを整理します。
• システムの点検と更新：古いソフトウェアや公開範囲を調べ、更新の計画をまとめます。
• 委託先が見えないシステムの引き継ぎ：資料がなくても、プログラムを読んで調べます。

よくある質問