アララ / アララメッセージ：メール配信サービスの不正アクセスで会員情報が外部に持ち出され、提供を停止

重要度: 重要度：5段階中5 業務やサービスの停止・約77百万件
公表日: 2026.10.28
原因の分類: 製品・サーバーの脆弱性、認証情報・シークレット
対策可能性: 判定保留

この記事の3行まとめ

アララのメール配信サービスから会員情報が外部に持ち出された
Webサーバーの脆弱性に加え、システム環境の問題も関係した
利用者は心当たりのない連絡のURLを開かず、news@arara.comのメールは削除する

アララが運営するメール配信サービス「アララメッセージ」で不正アクセスが判明した。ご契約企業の環境のサーバー97台から、メールアドレスと会員情報が外部に持ち出された。持ち出されたメールアドレスは、現時点の調査で約77百万件である（精査中）。既報の共用環境でも、メールアドレス3,386,187件が持ち出されていた。本サービスは不審メールの送信にも不正利用され、2026年10月31日に提供を停止した。

確認された経路・公表元の推定

2026年10月27日8時36分頃、第三者による偵察とみられるアクセスがあった
10月27日から28日にかけ、既報の環境の管理画面に不正ログインし、データの出力機能等を悪用してデータを持ち出した
10月28日3時59分頃から、本サービスの一部環境が不正利用され、クレジットカード会社を装った不審メールが送信された
10月28日7時、不正利用された環境への外部からのアクセスを停止した
10月28日16時31分、既報の環境を緊急停止した
10月28日から31日にかけ、本サービスのサーバーに不正アクセスし、当該サーバーを経由して多数のサーバーに侵入した
10月29日1時36分から10月30日2時22分にかけ、本サービス経由でデータベースの内容が外部に持ち出された
10月31日、不正に使用された認証情報とアカウント・鍵を無効化し、各サーバーの通信を遮断した。同日19時53分に本サービスの提供停止を完了した

根拠の要点

既報の環境では、公表元がWebサーバーの脆弱性を第三者に悪用されたと説明し、その後の調査で当該脆弱性に加えシステム環境の問題も関係していたと判明したとしている。本サービス経由の侵入は、攻撃元の共通性などから既報の第三者によるものとみられるが、開始時期と経路は調査中である。AIの利用に関する記載はない。

資料の基準時点：2026年11月1日時点（件数）

当時、対策できたのか

判定保留

侵入の開始時期と経路は調査中で、既報で悪用された脆弱性の具体的な内容、修正時期、攻撃時点の防御状況も資料に書かれていない。対策の欠落も、発覚時点で未発見だったという説明もないため、判定を保留とした。

公表された対策

既報の環境をネットワークから切り離し、10月28日16時31分に緊急停止した
不審メールに利用された環境への外部アクセスを10月28日7時に停止し、別環境の通信を10月30日13時26分に遮断した
10月31日、不正に使用された認証情報・アカウント・鍵を無効化し、各サーバーの通信を遮断した
2026年10月31日、本サービスの提供をすべて停止した（19時53分に停止完了）
今後、認証情報の全面的な変更、システムの再構築、監視体制の強化等の再発防止策に取り組む
外部の専門機関と連携し、侵入の経路・開始時期および影響範囲を調査する
全サービスの脆弱性箇所を再点検し、セキュリティ管理体制を強化する
サービス再開は、侵入経路の特定、認証情報の全面的な変更、システムの安全性の確認等を行ったうえで判断する
再開にあたり、ご契約企業に管理画面のパスワードや認証情報（APIキー等）の再設定を依頼する予定である
ご契約企業へ個別に連絡し、最終ユーザーに心当たりのない連絡のURLへのアクセスや添付ファイルの開封を控えるよう呼びかける
個人情報保護委員会へ速報を提出し、警察へ通報、JIPDECへ速報した

この事例を理解するための動画

まだ分からないこと

本サービス経由の侵入の開始時期と経路（調査中）
既報の環境で悪用された脆弱性の具体的な内容と、システム環境における問題の詳細
約77百万件の精査結果（今後変わる可能性がある）と、区分間で件数が重複しているかどうか
既報の環境で持ち出された顧客データ（最大411,827件、5社分）の精査結果
対象となるご契約企業の数（現時点の推計は最大約380社）
持ち出された情報が悪用されたかどうか
ご契約企業の担当者の情報の確認結果
サービスの再開時期（未定）
親会社の2027年8月期業績への影響（精査中）