Cập nhật vụ Arara Message: khoảng 81 triệu địa chỉ email

Về vụ truy cập trái phép vào dịch vụ gửi email "Arara Message", ngày 6/11/2026 công ty mẹ PayCloud Holdings đã công bố thông báo lần 3. Số địa chỉ email bị lấy, sau khi loại trùng, là 81.329.467 (khoảng 81 triệu) (bao gồm cả phần có thể đã bị lấy).

Bài này là phần cập nhật tiếp theo của bài "Tổng hợp các vụ tấn công mạng tại Nhật Bản tháng 10–11/2026". Bài sắp xếp lại những điểm thay đổi so với thông báo lần 2, ảnh hưởng do các doanh nghiệp sử dụng dịch vụ công bố, và những điều nên kiểm tra tiếp theo. Nội dung tính đến ngày 8/11/2026.

Những gì đã thay đổi so với thông báo lần 2

※ Tất cả đều là số địa chỉ email, bao gồm cả phần có thể đã bị lấy. "Thông tin thuộc tính" gồm họ tên, giới tính, ngày sinh, số điện thoại, số hội viên, địa chỉ và các thông tin khác, tùy doanh nghiệp khách hàng.

※ Theo thông báo lần 3, truy cập trái phép vào môi trường B thuộc cùng chuỗi sự việc từ ngày 28–31/10 như trong thông báo lần 2, và không phải một vụ truy cập trái phép mới. Thông tin xác thực đã bị sử dụng trái phép, và dữ liệu bị lấy chỉ có địa chỉ email.

Ngoài ra, nội dung "từ ngày 27 đến ngày 28/10" trong thông báo lần 2 đã được sửa lại: đăng nhập trái phép và lấy dữ liệu diễn ra vào ngày 28/10, còn ngày 27/10 là truy cập được cho là do thám.

Diễn biến

• 27/10/2026
  Truy cập được cho là do thám
• 28/10/2026
  Xác nhận truy cập trái phép. Từ ngày này đến ngày 30, tối đa khoảng 7,13 triệu email giả danh công ty thẻ tín dụng đã được gửi đi
• 29/10/2026
  Công bố thông báo lần 1 (khoảng 3,01 triệu địa chỉ email). Báo cảnh sát
• 31/10/2026
  Ngừng toàn bộ dịch vụ
• 2/11/2026
  Công bố thông báo lần 2 (khoảng 77 triệu, tối đa khoảng 380 công ty)
• 6/11/2026
  Công bố thông báo lần 3 (81.329.467). Đồng thời công bố phương hướng ngăn ngừa tái diễn

Công bố của các doanh nghiệp sử dụng dịch vụ (đã xác nhận được)

Các doanh nghiệp sử dụng Arara Message cũng liên tiếp công bố. Dưới đây là các ví dụ xác nhận được từ công bố chính thức của từng công ty. Đây không phải danh sách toàn bộ doanh nghiệp sử dụng dịch vụ.

※ Con số của từng công ty là số liệu tại thời điểm công bố của công ty đó. Không thể so sánh đơn giản với tổng số của Arara.

Trong trường hợp của Life Corporation, thông tin được giao theo quan hệ giao thầu lại Life Corporation → Fujitsu → Arara. Life Corporation cho biết đã nhận được liên lạc từ Fujitsu vào ngày 3/11, và ngày 4/11 xác định được thông tin của công ty có khả năng thuộc diện bị ảnh hưởng.

Những điều chưa rõ

• Đường xâm nhập: thông báo lần 2 nêu nguyên nhân là "lỗ hổng của máy chủ web và vấn đề trong môi trường hệ thống", nhưng đến thông báo lần 3 vẫn đang ở giai đoạn tiếp tục xác định.
• Chốt số liệu: việc rà soát vẫn tiếp tục, và số liệu có thể thay đổi sau này.
• Thời điểm hoạt động lại: công ty cho biết sẽ quyết định sau khi hoàn tất biện pháp đối với đường xâm nhập, tổ chức chuyên môn bên ngoài xác nhận mức độ an toàn, và doanh nghiệp khách hàng thiết lập lại thông tin xác thực.
• Ảnh hưởng đến kết quả kinh doanh: công ty mẹ cho biết đang rà soát.

Những điều doanh nghiệp sử dụng dịch vụ nên kiểm tra

1. Kiểm tra liên lạc từ Arara

   Công ty cho biết sẽ liên lạc riêng với các doanh nghiệp sử dụng môi trường B. Hãy xác định bộ phận nào trong công ty sẽ nhận.

2. Tìm hiểu quan hệ giao thầu lại

   Dù công ty không trực tiếp ký hợp đồng, nhà thầu của công ty có thể đang sử dụng dịch vụ này. Hãy hỏi đơn vị đang được giao việc gửi email.

3. Kiểm tra có thông tin thuộc tính hay không

   Tùy việc chỉ đăng ký địa chỉ email hay đăng ký cả họ tên, số điện thoại, nội dung thông báo cho khách hàng và nội dung báo cáo sẽ khác nhau.

4. Chuẩn bị thông báo cho khách hàng

   Khi dữ liệu cá nhân bị rò rỉ, có trường hợp phải báo cáo Ủy ban Bảo vệ Thông tin Cá nhân Nhật Bản và thông báo cho người liên quan. Để đánh giá cụ thể, hãy tham khảo luật sư hoặc hướng dẫn của Ủy ban này.

5. Chuẩn bị thiết lập lại thông tin xác thực

   Theo thông tin công bố, khi hoạt động lại sẽ cần thiết lập lại. Nếu đang dùng cùng mật khẩu ở nơi khác, hãy đổi trước.

Tình hình 3 vụ việc đã nêu trong bài trước

Tính đến ngày 8/11/2026, chưa xác nhận được công bố mới về các vụ việc dưới đây (phạm vi đã kiểm tra là danh sách thông báo của từng tổ chức).

Về các vụ việc mới, hãy xem bài "Tổng hợp các vụ tấn công mạng tại Nhật Bản (đầu tháng 11/2026)".

Digi Dinos có thể giúp gì?

Digi Dinos là công ty hỗ trợ DX, bảo mật, vận hành và bảo trì hệ thống. Chúng tôi đã đạt chứng nhận ISO 27001, với đội ngũ làm việc được bằng tiếng Nhật.

• Rà soát dịch vụ bên ngoài: làm rõ đang giao thông tin gì cho dịch vụ nào.
• Kiểm tra và cập nhật hệ thống: xem xét phần mềm cũ và phạm vi công khai, rồi tổng hợp kế hoạch cập nhật.
• Tiếp nhận hệ thống không rõ nhà thầu: dù không có tài liệu, chúng tôi đọc chương trình để tìm hiểu.

Câu hỏi thường gặp