アララメッセージ不正アクセス、メールアドレス約7,700万件が流出した可能性

メールアドレス約7,700万件、最大約380社に拡大

10月29日と11月2日の発表の違い（アララの発表より）

対象	10月29日の発表	11月2日の発表
流出を確認した範囲	共用サーバー1システム	共用サーバーと、契約企業ごとのサーバー97台
流出した情報	メールアドレス	メールアドレスと、氏名などの会員情報（契約企業により異なる）
メールアドレスの件数	約301万件	契約企業ごとのサーバーで約7,700万件（精査中）、共用サーバーで338万6,187件
原因	Webサーバーの脆弱性	Webサーバーの脆弱性と、システムの問題
サービス	該当するサーバーを切り離し	10月31日からすべて停止

アララは、10月29日時点で流出が確認されたのは複数企業が共同で使う共用サーバーだけで、11月2日には契約企業ごとのサーバーにまで範囲が拡大したとしています。流出した可能性があるメールアドレスは契約企業ごとのサーバーだけで約7,700万件にのぼり、一部の企業では氏名や住所などの会員情報も流出しました。 対象となる契約企業数はまだ精査中で、アララの推計では最大約380社です。

国内では委託先への不正アクセスによる情報流出の公表が継続しています。企業ごとの件数と原因をまとめた時系列一覧も、あわせてご覧ください。

契約企業のサーバー97台から会員情報も流出している

攻撃者はまず、アララメッセージのサーバーに不正にアクセスしました。その後、アララメッセージのサーバーを経由して10月28日から31日にかけて多数のサーバーへ侵入し、データベースの中身を外部へ持ち出しています。

したがって、流出した情報は契約企業が登録していた会員情報によって異なり、氏名・性別・生年月日・電話番号・会員番号・住所などを登録していた企業では、メールアドレス以外の会員情報まで流出しています。 一方で、アララメッセージはもともとクレジットカード番号を保有していないため、カード番号は流出していません。

約7,700万件は人数ではなく、件数も確定していない

約7,700万件には、流出を確認した件数のほか、攻撃者が読み取ったデータ量から推計した件数も含まれます。ただし、1人が複数のアドレスを持つことがあるため、約7,700万件は被害者の数と一致しません。 アララは件数を精査しており、結果は次回公表する予定です。（2026年11月6日、アララは持ち出されたメールアドレスを約8,100万件〔81,329,467件〕と公表しました。サービスの再開時期は未定です。）

共用サーバーで338万件、なりすましメール最大約713万通

11月2日に明らかになった3種類の被害（アララの発表より）

被害	発生した期間	対象	件数
契約企業ごとのサーバーへの侵入	10月28日〜31日	サーバー97台（最大約380社）	約7,700万件（精査中）
共用サーバーへの侵入	10月27日〜28日	契約企業61社	338万6,187件
なりすましメールの送信	10月28日〜30日	2つの配信システム	最大約713万通

当初アララは、共用サーバーから流出したのはメールアドレスだけだと公表していました。アララは11月2日、共用サーバーから流出した件数が増えたうえ、攻撃者がアララメッセージを使ってカード会社を装うなりすましメールまで送信していたと公表しました。

当初の約301万件は338万6,187件に修正

攻撃者は10月27日から28日にかけて共用サーバーの管理画面へ不正ログインし、データ出力機能などを悪用して情報を抜き取りました。アララが10月29日に約301万件と公表したメールアドレスは、その後の調査で、重複を除いても338万6,187件にのぼることがわかっています。

さらに共用サーバーからは、5社が登録した氏名や会社名を含む顧客データも最大41万1,827件流出していました。 関係する契約企業は61社です。アララは10月28日16時31分に共用サーバーを緊急停止しました。

news@arara.comのカード会社を装うメールは削除

攻撃者は10月28日から30日にかけてアララメッセージにある2つの配信システムを不正に使い、クレジットカード会社を装うメールを送信しました。送信元は「news@arara.com」で、宛先は攻撃者が独自に用意したメールアドレスです。

10月28日から30日に届いた該当メールは開かずに削除し、リンク先でカード番号を入力してしまった人はすぐにカード発行会社へ連絡しましょう。 アララが送信するメールで、パスワードやカード情報の入力を求めることはありません。

契約企業や総務省によると、会員番号や住所まで流出している

アララは、被害有無と流出した情報を、契約企業と個別に共有しています。11月2日以降、連絡を受けた企業や行政機関がそれぞれのサイトで流出を相次いで公表しました。そのため、登録しているサービスごとに、会員情報が流出したかどうかをお知らせで確認しましょう。

企業と行政機関が公表した件数と流出した情報

アララメッセージをメール配信に使っていた企業や行政機関は、アララからの報告を受けて流出内容を公表しました。多くの企業や機関で、流出したのはメールアドレスだけでした。ところが、松竹マルチプレックスシアターズと総務省では、メールアドレス以外の情報も流出していました。

日本デジタル研究所（JDL）は、流出したデータの種類をまだ確認しています。岡山県産業振興財団は、SSNニュース（産業支援ネットワークニュース）の申し込み時に企業名と氏名を登録した人について、それらも漏えいした可能性があると公表しました。

企業と行政機関が公表した流出内容（各社・各機関の発表より）

企業・機関（サービス）	件数	流出した情報
松竹マルチプレックスシアターズ（SMT Members）	332万305件	メールアドレス・会員番号・氏名・性別・生年月日・住所の一部
TKC（TKCシステムを使う顧客へのメール）	最大223万812件	メールアドレス
ワークマン（オンラインストアのメールマガジン）	最大約145万件	メールアドレス
キャメル珈琲（カルディの通販）	82万420件	メールアドレス
ダスキン（DDuet）	65万7,886件	メールアドレス
住友不動産（分譲住宅の問い合わせ）	20万5,208件	メールアドレス
成城石井（成城石井.com）	最大16万8,630件	メールアドレス
両備バス（メールマガジン）	延べ4万3,221件	メールアドレス
岡山県産業振興財団（イベントのお知らせとSSNニュース）	最大2万9,200件	メールアドレス（SSNニュースは申込時に登録した人の企業名・氏名も）
日本デジタル研究所（JDL）	2万8,921件	メールアドレスなど（詳細は未確定）
総務省（英文ニューズレター）	775件	メールアドレス・氏名（21件）

これらの企業・機関で、カード情報の流出を公表したところはありませんでした。

江戸川区も11月5日、マイナンバーカードの受け取り予約で区が送るメールに、委託先がアララメッセージを使っていたと公表しました。区の事業の情報が流出に含まれるかは、まだわかっていないとのこと。

アララから対象外と伝えられた後に、流出がわかった企業もある

松竹マルチプレックスシアターズは10月30日、アララから流出対象外と報告を受け、会員へのメール配信を再開すると公表していました。ところが10月31日にアララのサービスが再び停止し、11月2日には、流出対象に含まれていたとアララから報告を受けました。

ワークマンも10月29日に、流出した情報に自社会員のメールアドレスは含まれないとアララから連絡を受けていました。ところが11月2日には、メールマガジンに登録したメールアドレスが最大約145万件流出したと電話で報告を受けています。

したがって、登録先がアララから対象外と伝えられていても、アララが精査の結果を公表するまでは、新しいお知らせが出ていないかを確認し続けましょう。ソラシドエアのメールアドレス流出も、メール配信の委託先を経由していました。報道では、その委託先はアララと伝えられています。

原因はWebサーバーの脆弱性とシステムの問題

不正アクセスから全面停止までの主な動き（アララの発表より）

日時	出来事
10月27日8時36分	偵察とみられるアクセス
10月28日16時31分	共用サーバーを緊急停止
10月29日1時36分〜30日2時22分	契約企業ごとのサーバーからデータが流出
10月30日13時32分	最後のなりすましメール送信
10月31日12時58分〜	不正に使われたアカウントと鍵を無効化し、通信を遮断
10月31日19時53分	サービスを全面停止

アララは11月2日、Webサーバーの脆弱性に加えて、システムの問題も原因だったと公表しました。侵入の開始時期と経路はまだ判明しておらず、サービス再開時期も未定です。

10月27日に偵察を受け、31日にサービスを全面停止

アララは攻撃元が共通していることなどから、11月2日に明らかにした一連の不正アクセスも、10月29日に公表した件と同じ攻撃者の犯行とみています。最初に確認されたのは、10月27日8時36分の、偵察とみられるアクセスです。以後、31日に全面停止するまでの4日間に、2種類のサーバーから情報が流出し、なりすましメールも送信されました。

アララは10月31日12時58分から、不正に使われたアカウントと鍵を無効にし、各サーバーとの通信を順に遮断しました。サービスをすべて停止したのは、同日19時53分です。

個人情報保護委員会と警察へ報告、再開時期は未定

アララは10月29日に個人情報保護委員会へ速報を提出し、警察にも通報しました。11月2日に判明した内容も、その日のうちに個人情報保護委員会へ報告するとしています。

侵入経路はアララが外部の専門機関と調べている段階で、再開時には契約企業に管理画面のパスワードやAPIキーの再設定を求める予定です。 再発防止策として、アララは認証情報の全面的な変更やシステムの再構築、監視体制の強化に取り組むとしています。

メールの受信者と配信を委託する企業は何をすればいい？

立場ごとの備え（IPAの資料とアララの発表より）

立場	備え
メールマガジンの受信者	登録先やアララを装うメール・SMS・電話・郵便物は詐欺を疑い、リンクにアクセスせず、個人情報も伝えない
配信を委託する企業	配信サービスに預ける会員情報を必要最小限に減らし、管理画面の認証を強化する

受信者のもとには、カード会社を装うなりすましメールが10月28日からすでに届いています。委託元の企業にとっては、配信のためだけに預けた会員情報が流出対象になりました。受信者は登録先を装う連絡を疑い、委託元の企業は預ける会員情報と管理画面の認証を見直す必要があります。

受信者として：アララなどを装う連絡のリンクにアクセスしない

IPAは漏えいした連絡先がリスト化されて売られ、なりすましメールや詐欺電話、不審な郵便物が届く可能性があるとしています。 アララも、アララや契約企業を装う連絡が次の4種類で届く恐れがあると呼びかけました。

• メール
• SMS
• 電話
• 郵便物

突然届くメールやSMSは詐欺と考えて削除

IPAは突然届くメールやSMSを基本的にすべて詐欺と考え、無視して削除するよう勧めています。登録先の名前で届いたメールやSMSでも、身に覚えのない連絡ならリンクにアクセスせずに削除しましょう。

電話や郵便物で届く連絡にも詐欺の恐れがある

松竹マルチプレックスシアターズの会員情報では、市区町村までの住所も流出しました。住所の一部まで流出したサービスの会員は、登録先を装う電話や郵便物が届いたら、登録先の公式サイトにある窓口へご自身から問い合わせて本物か確認しましょう。

利用しなくなったサービスは退会

IPAは日頃の対策として、使わなくなったアカウントは削除するよう勧めています。キャメル珈琲は、過去に配信したメールマガジン会員のアドレスも流出に含まれていたと公表しました。このように過去の配信先まで流出することもあるため、読まなくなったメールマガジンは今のうちに登録を解除しておきましょう。

委託元として：預けた情報とログイン認証に見直しが必要

IPAは10月9日の呼びかけで、最近の漏えい事案は外部公開しているサービスへの侵害やアカウントへの侵害がきっかけになっているとみて、保有情報の見直しと認証機能の強化を勧めています。 今回も、共用サーバーでは管理画面に不正ログインされ、データが流出しました。

預ける会員情報を減らせば流出時の被害を抑えられる

流出した情報がメールアドレスだけだった企業もあれば、会員番号や住所の一部まで流出した企業もありました。メール配信に必要なのはメールアドレスだけなので、氏名や住所まで配信サービスに登録していないかを見直しましょう。登録していない情報は、配信サービスに侵入されても流出しません。

外部公開しているサービスのログを点検

IPAは、外部公開しているアプリケーションのログについて、対象期間を段階的に広げて確認するよう勧めています。今回も流出前に偵察とみられるアクセスがあったため、まず直近1か月分、次に3か月分のログに不審な記録が無いかを点検しましょう。

配信サービスのログイン認証を強化

パスワードだけで入れる管理画面は、パスワードを知られた時点で不正ログインを防げません。点検で異常が見つからなかった場合も、配信サービスの管理画面には多要素認証を設定し、パスワードとAPIキーを使い回していないかも点検しましょう。