アララのサイバー攻撃被害｜メールアドレス約7,700万件が持ち出され全サービス停止

アララ株式会社（アララメッセージ）のサイバー攻撃被害｜不正アクセスの範囲がサーバー97台に拡大、メールアドレス約77百万件（精査中）と氏名などの会員情報が持ち出され、全サービスを停止

速報サイバー攻撃の被害事例最終更新 2026年11月2日

アララ株式会社（アララメッセージ）メール配信サービス「アララメッセージ」で不正アクセスの範囲がサーバー97台に拡大、メールアドレス約77百万件（精査中）と氏名などの会員情報が持ち出され、全サービスを停止

サプライチェーン攻撃
システム脆弱性を狙った攻撃
不正アクセス

状況調査中（全サービスを停止中、件数は精査中、第3報を予定）

被害発生日2026年10月28日

企業名アララ株式会社

この事例の要点

メール配信サービス「アララメッセージ」を提供するアララ株式会社の親会社、ペイクラウドホールディングスは11月2日に第2報を公表し、不正アクセスの範囲がご契約企業の環境のサーバー97台（最大約380社）に広がり、メールアドレス約77百万件（精査中）が外部に持ち出されたと発表しました。第1報の「メールアドレス約301万件」から大きく増え、新たに持ち出された情報には氏名や生年月日、電話番号、住所などの会員情報も含まれます（ご契約企業により異なる）。件数には持ち出された恐れのあるものを含み、最終ユーザー数を示すものではありません。クレジットカード番号は保有していないとしています。サービスは10月31日にすべて停止し、再開の時期は未定です。

分かっていること・まだ公表されていないこと

分かっていること

持ち出されたメールアドレスは約77百万件（精査中）。持ち出された恐れのあるものを含み、個人が複数のアドレスを持つ可能性があるため、最終ユーザー数を示すものではない
対象はご契約企業の環境のサーバー97台。対象となるご契約企業の数は精査中で、現時点の推計は最大約380社
流出した情報は、メールアドレス、ご契約企業が登録した項目（氏名、性別、生年月日、電話番号、会員番号、住所等。ご契約企業により異なる）、配信の宛先等の記録
クレジットカード番号は保有していない
第1報の環境（共用環境）は、ご契約企業61社、メールアドレス3,386,187件（重複を除いた件数）に修正された。このほか、ご契約企業5社が登録した氏名、会社名等を含む顧客データが最大411,827件
第1報の環境では、2026年10月27日から28日にかけて第三者が管理画面に不正にログインし、データの出力機能等を悪用してデータを持ち出した
原因は、Webサーバーの脆弱性に加え、システム環境における問題も関係していた
サービスの一部の環境が不正に利用され、10月28日から30日にかけてクレジットカード会社を装った不審なメールが最大約713万通（2つの環境の合計）送信された。送信元は news@arara.com、件名は「利用内容確認のご依頼」「ご利用明細確認のご依頼」等
不審なメールの送信先は第三者が外部から持ち込んだメールアドレスで、この送信自体に伴うメールアドレス以外の流出は確認されていない
一連の不正アクセスは、攻撃元の共通性などから、第1報の不正アクセスを行った第三者によるものとみられる
区分の間で同じメールアドレスが重複している可能性があるため、件数は合算されていない
すべてのご契約企業に連絡し、各社の環境が対象かどうかと流出した情報の内容は個別に連絡するとしている
再開にあたっては、ご契約企業に管理画面のパスワードや認証情報（APIキー等）の再設定を求める予定
同社やご契約企業をかたるメール、SMS、電話、郵便物等に注意するよう呼びかけている
ペイクラウドホールディングスは、10月23日にも別の連結子会社であるバリューデザインの「Value Card」のサーバーへの不正アクセスを公表しており、その原因も、子会社のシステムの一部の環境でWebサーバーの脆弱性を第三者に悪用されたものと説明していた

まだ公表されていないこと

侵入の開始時期と経路
悪用されたWebサーバーの脆弱性の名称と、「システム環境における問題」の中身
対象となるご契約企業の確定した数と社名、企業ごとの流出件数
サービスを再開する時期
10月23日に公表されたバリューデザインの件との関連の有無
業績への影響（精査中としている）

事例の概要

企業名	アララ株式会社
被害発生日	2026年10月28日
被害の内容	2026年10月28日、ペイクラウドホールディングス株式会社の連結子会社であるアララ株式会社が、メール配信サービスの一部サーバーシステムで不正アクセスを確認。11月2日の第2報で、範囲がご契約企業の環境（サーバー97台、最大約380社）に拡大し、メールアドレス約77百万件（精査中。持ち出された恐れのあるものを含む）と、氏名、性別、生年月日、電話番号、会員番号、住所等（ご契約企業により異なる）の会員情報が外部に持ち出されたと公表。サービスは10月31日にすべて停止
出典	アララ株式会社「【重要】【アララ】弊社メール配信サービス停止および個人情報流出に関するお詫びとご報告」（2026年10月28日）

対策に向けたガーディアンの見解

1どの配信サービスのどの環境に、どのリストを預けているかを把握しておく

第2報で対象はサーバー97台、最大約380社に広がり、各社の環境が対象かどうかと流出した情報の内容は個別に連絡するとされています。メール配信を外部のサービスに任せている企業は、契約しているサービス名、使っている環境やプラン、登録しているリストの種類と件数を一覧にしておくとよいでしょう。提供元から連絡を受けた時点で、自社のどのお客様に影響が及びうるのかをすぐ見積もれれば、お客様への案内や個人情報保護委員会への報告の準備を早く始められます。

2配信サービスが止まったときの、重要なメールの送り方を決めておく

アララメッセージは停止しており、再開の時期は決まっていません。会員登録の確認、パスワードの再設定、注文の受付など、事業の運営に欠かせないメールまで同じ配信サービスで送っている場合、停止の影響は販促メールにとどまりません。重要な通知だけは別の送信経路でも送れるようにしておく、切り替えの手順と担当者を決めておく、といった備えがあると、委託先の事故が起きても業務を続けやすくなります。

3委託先の選定では、脆弱性が見つかったときの対応方針まで確かめる

ペイクラウドホールディングスは、原因をWebサーバーの脆弱性に加えてシステム環境における問題も関係していたと説明し、認証情報の全面的な変更やシステムの再構築を進めるとしています。メールアドレスのような顧客の情報を預けるサービスを選ぶ際は、機能や使い勝手に加えて、脆弱性の情報をどう集め、どれくらいの期間で修正し、利用企業にどう知らせるのかを確認しておくことが大切です。自社で公開しているWebサーバーについても、使っているソフトウェアとバージョンを一覧にし、修正版が出たときに適用する流れを決めておけば、同じ入口を狙われる危険を小さくできます。