日本脆弱性総合ポータル

アララ / アララメッセージ：メール配信サービスの不正アクセスで会員情報が外部に持ち出され、提供を停止

重要度
業務やサービスの停止・約77百万件
公表日
2026.10.28
原因の分類
製品・サーバーの脆弱性、認証情報・シークレット
対策可能性
判定保留

この記事の3行まとめ

  1. アララメッセージの会員情報約77百万件が外部に持ち出された
  2. Webサーバーの脆弱性と、システム環境の問題が関係していた
  3. 送信元news@arara.comのメールはURLを開かず削除する

アララ株式会社が運営するメール配信サービス「アララメッセージ」で不正アクセスが判明した。既報の環境ではWebサーバーの脆弱性が悪用され、利用企業が保有するメールアドレス等が外部に持ち出された。第2報では本サービスの多数のサーバーにも侵入され、会員のメールアドレス等が外部に持ち出されたことが判明し、その件数は約77百万件とされた。子会社は2026年10月31日に本サービスの提供をすべて停止し、再開時期は未定である。

確認された経路・公表元の推定

  1. 10月27日08時36分頃、第三者による偵察とみられるアクセスがあった。
  2. 10月28日03時59分頃から、本サービスの一部環境が不正利用され、クレジットカード会社を装った不審メールが最大約713万通送信された。
  3. 10月28日11時09分から15時43分にかけ、既報の環境の管理画面に不正ログインし、データを持ち出した。10月28日16時31分、子会社が当該環境を緊急停止した。
  4. 10月28日から31日にかけ、本サービスのサーバーを経由して多数のサーバーに侵入された。10月29日01時36分から10月30日02時22分にかけ、データベースの内容が外部に持ち出された。
  5. 10月31日、不正に使用された認証情報とアカウント・鍵を無効化し、各サーバーの通信を順次遮断した。同日19時53分に本サービスの提供停止を完了した。

根拠の要点

既報の環境では運営元が「Webサーバーの脆弱性を第三者に悪用されたもの」と公表し、その後の調査で当該脆弱性に加えシステム環境における問題も関係していたと判明したと説明している。本サービス経由の侵入は、攻撃元の共通性などから既報の第三者によるものとみられるが、侵入の開始時期と経路は調査中である。AIの利用に関する記載はない。

資料の基準時点：2026年11月1日時点の件数（第2報は2026年11月2日公表）

当時、対策できたのか

判定保留

侵入の開始時期と経路は調査中で、脆弱性の製品名や識別情報、修正の有無、攻撃時点の対策状況は資料に書かれていない。対策の欠落も発覚時の未発見も示されていないため、判定を保留とした。

公表された対策

  • 当該サーバーをネットワークから切り離した（既報）
  • 共用環境を緊急停止した（10月28日16時31分）
  • 不正利用された本サービスの環境への外部アクセスを停止し（10月28日07時00分）、別環境の通信を遮断した（10月30日13時26分）
  • 不正に使用された認証情報とアカウント・鍵を無効化し、各サーバーの通信を遮断した（10月31日）
  • 本サービスの提供をすべて停止した（10月31日、19時53分に停止完了）
  • 今後、認証情報の全面的な変更、システムの再構築、監視体制の強化等の再発防止策に取り組む
  • 外部の専門機関と連携し、侵入の経路・開始時期および影響範囲を調査する
  • 全サービスの脆弱性箇所を再点検し、セキュリティ管理体制を強化する（既報）
  • 再開は、侵入経路の特定、認証情報の全面的な変更、システムの安全性の確認等を行ったうえで判断する
  • 再開時にご契約企業へ管理画面のパスワードや認証情報（APIキー等）の再設定を依頼する予定
  • ご契約企業へ個別に連絡する
  • 最終ユーザーに、心当たりのない連絡のURLにアクセスせず、news@arara.comからのメールは削除するよう呼びかけた
  • 個人情報保護委員会と警察へ報告し、JIPDECへも報告した（JIPDECへの中間報は11月2日予定）

この事例を理解するための動画

まだ分からないこと

  • 本サービス経由の不正アクセスの開始時期と侵入経路
  • 既報の環境で悪用された脆弱性の具体的な内容と、システム環境における問題の詳細
  • 約77百万件の精査結果（件数は今後変わる可能性がある）
  • 区分の間で件数が重複しているかどうか（件数は合算していない）
  • 既報の環境で持ち出された顧客データ（最大411,827件、5社分）の精査結果
  • 対象となるご契約企業の数（精査中。現時点の推計は最大約380社）
  • 持ち出された情報が悪用されたかどうか
  • ご契約企業の担当者の情報の確認結果
  • 攻撃者の身元と手口の詳細
  • サービスの再開時期と、当社業績への影響

関連する事例

同じ原因分類の事例

事例の一覧に戻る