メール配信サービス「アララメッセージ」侵害、約7,700万件のメールアドレスが持ち出しのおそれ、最大約380社に波及 — 配信を外部に任せる企業が確かめること
ペイクラウドホールディングスは2026年11月2日、子会社アララのメール配信サービス「アララメッセージ」への不正アクセスについて第2報を公表した。10月29日の第1報では1つの共用環境からメールアドレス約301万件が流出したとしていたが、その後の調査で、契約企業の環境のサーバー97台（最大約380社）にも侵入され、メールアドレス約7,700万件と氏名などの会員情報が持ち出された、またはそのおそれがあることが分かった。サービスは10月31日にすべて停止し、再開時期は未定である。メルマガや通知メールを外部の配信サービスに任せている中小企業にとって、自社の顧客情報が委託先から漏れ、配信も止まる事態への備えが問われる事例である。
背景
第2報によると、被害は3つに分かれる。区分の間でメールアドレスが重複している可能性があるため、件数は合算されていない。
- 契約企業の環境への侵入：10月28日から31日にかけて、第三者がアララメッセージのサーバーを経由して多数のサーバーに侵入し、データベースの内容を持ち出した。対象はサーバー97台（最大約380社、精査中）で、メールアドレス約7,700万件（精査中）
- 共用環境での持ち出し：10月27日から28日にかけて管理画面に不正ログインされ、データの出力機能などで持ち出された。契約企業61社に関係するメールアドレス3,386,187件と、5社が登録した氏名・会社名などの顧客データ最大411,827件
- 不審メールの送信：10月28日から30日にかけて、サービスが不正に使われ、送信元「news@arara.com」からクレジットカード会社を装うメールが最大約713万通送られた
持ち出された会員情報は、契約企業が登録した項目によって異なり、氏名、性別、生年月日、電話番号、会員番号、住所などが含まれる。アララのサービスはクレジットカード番号を保有していない。原因は「Webサーバーの脆弱性とシステム環境における問題」とされ、侵入の開始時期と経路は調査中である。
アララは10月31日、不正に使われた認証情報を無効にし、各サーバーの通信を遮断したうえでサービスを停止した。再開の際には、契約企業に管理画面のパスワードやAPIキーなどの認証情報の再設定を求める予定としている。契約企業の担当者の情報が影響を受けたかどうかは確認中である。
リスクの全体像
メール配信サービスには、メルマガの宛先だけでなく、氏名や会員番号、住所まで登録されていることが多い。配信の文面に名前を差し込んだり、会員の種類で送り分けたりするためである。そのため配信サービスが侵害されると、自社の会員情報が丸ごと持ち出される。今回の持ち出しは、自社のシステムに一切触れずに起きている。
次に、自社の名前を使った詐欺の連絡が届くおそれがある。持ち出された宛先と氏名があれば、「〇〇株式会社からのお知らせ」を装ったメールを本物らしく作れる。今回は実際に、配信サービスそのものを使ってカード会社を装うメールが最大約713万通送られた。配信サービスの送信元は、普段から正規のメールを送っている経路なので、受信側の迷惑メール判定をすり抜けやすい。
3つ目は、配信が止まることである。アララメッセージは10月31日から停止しており、再開時期は未定である。予約の確認、パスワード再設定、請求のお知らせなど、業務に必要なメールを同じサービスで送っていれば、その連絡も止まる。顧客への注意喚起を出したくても、いつもの配信手段が使えない。10月にはブラストメールやCuenote FCでも同様の侵害が続いており、1社だけの問題と見るべきではない。
チェックリスト
メルマガや通知メールを外部の配信サービスに任せている企業は、次の点を確かめる。
- アララメッセージを使っている場合、アララからの個別連絡で、自社の環境が対象か、どの項目が流出したかを確認したか
- 配信サービスに登録している項目を一覧にしているか。メールの送信に不要な住所、生年月日、電話番号まで登録していないか
- 配信サービスの管理画面に、誰がアクセスできるか把握しているか。退職者や外部の制作会社のアカウントが残っていないか
- 管理画面のパスワードとAPIキーを、他のサービスと使い回していないか。多要素認証を有効にしているか
- 配信サービスが止まったとき、予約確認やパスワード再設定などの業務メールを別の手段で送れるか
- 委託先が侵害されたとき、自社から顧客へ出す注意喚起の文面と、個人情報保護委員会への報告の担当を決めているか
打ち手
まず、配信サービスに預けている情報を減らす。メールを送るのに必要なのは、宛先と、文面に差し込む名前くらいである。住所や生年月日、電話番号を登録しているなら、送り分けに本当に使っているかを確かめ、使っていない項目は削除する。退会した会員や長く開封していない宛先も、期間を決めて消す。預けた量がそのまま、侵害されたときの被害の量になる。
次に、管理画面の入口を固める。配信サービスの管理画面のアカウントを棚卸しし、使っていないアカウントを止め、多要素認証を有効にする。APIキーは用途ごとに分け、定期的に作り直す。アララメッセージを使っている企業は、再開時の再設定の依頼を待たず、同じパスワードを他のサービスで使っていればそちらを先に変える。
最後に、止まったときの手段と、顧客への知らせ方を決めておく。業務に欠かせないメールは、マーケティング用のメルマガと別の経路で送れるようにしておくと、片方が止まっても連絡が途絶えない。委託先から事故の連絡が来たら、自社のサイトで「当社を装ったメールに注意してください」と知らせる。その文面と、個人情報保護委員会への報告を誰が進めるかを、平時のうちに決めておく。
配信サービスに預けた顧客情報は、自社のシステムを通らずに漏れる。
あわせて読みたい
- 店舗向けPOS「FreePOS」や勤怠・経費精算「MOT」のバルテックに不正アクセス、利用企業875社分の売上データなどが流出
- ECサイト構築サービス「futureshop」に不正アクセス、1店舗の会員約315万件が流出 — SaaS型ECで出店する中小企業が確かめること
- お名前.com デスクトップクラウドに不正アクセス、最大2万6,739台のサーバーから情報が持ち出し
Omamori AI の結論
- 事実: アララメッセージで、契約企業の環境のサーバー97台（最大約380社）からメールアドレス約7,700万件と会員情報が持ち出された、またはそのおそれがある。共用環境では61社分の3,386,187件が流出し、サービスの不正利用で最大約713万通の不審メールも送られた。サービスは10月31日から停止している。
- 判断軸: 委託先が侵害されることを前提に、預ける情報の量、管理画面の守り、止まったときの代わりの手段を問う。
- 打ち手: 配信に不要な項目を配信サービスから消し、管理画面のアカウントを棚卸しして多要素認証を付ける。業務メールは別の経路でも送れるようにし、注意喚起の文面を用意する。
経営者視点で考えるべきこと
メルマガの配信を外部サービスに任せると、費用も手間も小さく済む。その一方で、顧客の名簿を社外に預けていることになる。今回のように委託先が侵害されれば、自社に落ち度がなくても、顧客への説明と個人情報保護委員会への報告は自社の責任で行う。経営者が確かめるべきことは3つある。配信サービスに、送信に不要な顧客情報まで預けていないか。配信サービスが止まったとき、予約や請求など業務に欠かせない連絡を続けられるか。委託先から事故の連絡を受けたとき、顧客への注意喚起を誰が何日以内に出すか決まっているかである。委託先を選ぶときの判断は料金だけでなく、侵害されたときに自社が負う手間まで含めて行いたい。
