日本脆弱性総合ポータル

アララ：メール配信サービスへの不正アクセスで、メールアドレス約301万件が流出し、一部サービスが停止

重要度
業務やサービスの停止・約301万件
公表日
2026.10.28
原因の分類
製品・サーバーの脆弱性
対策可能性
判定保留

この記事の3行まとめ

  1. メール配信サービスに不正アクセスされ、メールアドレス約301万件が持ち出された。
  2. 運営元によると、Webサーバーの脆弱性を第三者に悪用されたことが原因。
  3. 心当たりのない不審なメールは、URLを開かず削除するよう呼びかけられている。

2026年10月28日、アララ株式会社が提供するメール配信サービスの一部システムで不正アクセスが確認された。同社は、Webサーバーの脆弱性を第三者に悪用されたことが原因だと説明している。利用企業が保有するメールアドレス約301万件が外部に持ち出され、被害の拡大を防ぐため一部環境のサービスも一時停止された。10月28日の告知時点では漏えいは未確認とされていたが、10月29日の公表で流出が確認された。

確認された経路・公表元の推定

  1. 2026年10月28日、アララ株式会社がメール配信サービスの一部システムへの不正アクセスを確認した。
  2. 同社のシステムの一部環境で、Webサーバーの脆弱性を第三者に悪用された。
  3. 1システムへの不正アクセスにより、利用企業が保有するメールアドレス約301万件が外部に持ち出された。
  4. 不正アクセスを受けたサーバーをネットワークから直ちに切り離し、被害の拡大を防ぐため、一部環境のサービスを一時停止した。
  5. 10月28日の告知では情報漏えいは未確認とされたが、10月29日の公表で流出が確認された。
  6. 2026年10月29日、利用企業の松竹マルチプレックスシアターズが、SMT Membersのメール配信を停止したと公表した。

根拠の要点

運営元の公表は、Webサーバーの脆弱性を第三者に悪用されたことを原因として挙げ、流出したメールアドレスの件数を示している。製品名や脆弱性の識別情報は書かれていない。AIの利用に関する記載はない。

資料の基準時点：2026年10月29日時点の公表内容（資料は2026年11月2日に取得）

当時、対策できたのか

判定保留

運営元は侵入口を「Webサーバーの脆弱性」と説明しているが、製品名や脆弱性の識別情報、修正の有無、攻撃時点の対策状況は書かれていない。対策の欠落や発覚時の未発見は判断できないため、判定は保留とする。

公表された対策

  • 当該サーバーをネットワークから直ちに切り離し、被害の拡大防止対策を実施している
  • 被害の拡大を防ぐため一部環境のサービスを一時停止し、対象の顧客へ別途連絡した
  • 外部の専門機関と連携し、今後全サービスの脆弱性箇所を再点検するとしている
  • セキュリティ管理体制を強化し、再発防止に取り組むとしている
  • 攻撃に関する情報を利用企業・関係機関と共有するとしている
  • 心当たりのない不審なメールは、URLへのアクセスや返信をせず削除するよう呼びかけている
  • 利用企業の松竹マルチプレックスシアターズは、SMT Membersのオフィシャルメルマガ等のメール配信を停止している

この事例を理解するための動画

まだ分からないこと

  • 悪用されたWebサーバーの製品名と脆弱性の識別情報
  • 脆弱性の修正状況と攻撃時点の対策の有無
  • メールアドレス以外に流出した個人情報の有無
  • 影響の詳細調査の結果
  • サービス停止の範囲と期間。告知は一部の環境の一時停止としているが、松竹の告知は「サービスは現在一時停止」と記載しており、表現が異なる
  • サービスの復旧日時（現時点で未定）
  • 流出したメールアドレスの持ち主である利用企業の一覧と、各社への影響の範囲
  • 不正アクセスの発生時期と侵入時期。資料は確認日を示している
  • 攻撃者の身元と手口の詳細

関連する事例

同じ原因分類の事例

事例の一覧に戻る