日本脆弱性総合ポータル

アララ / アララメッセージ：メール配信サービス「アララメッセージ」への不正アクセスで、約8,100万件のメールアドレスが流出

重要度
業務やサービスの停止・81,329,467件（約8,100万件）
公表日
2026.10.28
原因の分類
製品・サーバーの脆弱性、認証情報・シークレット、サプライチェーン
対策可能性
判定保留

この記事の3行まとめ

  1. メール配信会社アララへの不正アクセスで、約8,100万件のメールアドレスが流出した。
  2. 原因はWebサーバーの脆弱性とシステム環境の問題とされ、侵入経路は調査中だ。
  3. 利用者は心当たりのないメールのURLを開かず、削除するよう呼びかけられている。

メール配信サービス「アララメッセージ」を運営するアララ株式会社が第三者による不正アクセスを受け、約8,100万件のメールアドレスが外部に持ち出された。一部の契約企業では氏名や住所などの会員情報も含まれる。また、クレジットカード会社を装った不審メールが送信された。セガや鹿児島の金融機関4社、東京観光財団の委託先事業者などが流出を公表した。サービスは2026年10月31日から停止中で、侵入経路は調査中である。

確認された経路・公表元の推定

  1. 2026年10月27日8時36分頃、第三者による偵察とみられるアクセスがあった。
  2. 10月27日から28日にかけて、共用環境の管理画面に不正ログインされ、データの出力機能が悪用されて持ち出された。
  3. 10月28日3時59分頃、本サービスで不審メールの送信が始まり、7時に当該環境への外部からのアクセスを停止した。
  4. 10月28日16時31分、共用環境を緊急停止した。
  5. 10月29日、既報でWebサーバーの脆弱性を悪用されたと公表した。
  6. 10月29日1時36分から10月30日2時22分にかけて、本サービスを経由してデータベースの内容が外部に持ち出された。
  7. 10月30日13時26分、不審メールの送信に使われた別環境の通信を遮断した。
  8. 10月31日、本サービス経由の持ち出しを把握し、不正に使用されたアカウントと鍵を無効化した。同日、本サービスの提供をすべて停止した。
  9. 11月2日、第2報で、持ち出されたメールアドレスを約77百万件とし、顧客データの流出も明らかにした。
  10. 11月4日、鹿児島の金融機関4社が、委託先からの報告を受けて漏えいを公表した。
  11. 11月6日、第3報で、持ち出されたメールアドレスを重複を除いて81,329,467件とした。
  12. 11月9日、東京都産業労働局が、東京観光財団の委託先が利用していた本サービスでの漏えいを報道発表した。

根拠の要点

既報の環境では、公表元がWebサーバーの脆弱性を第三者に悪用されたものと説明し、第2報でシステム環境の問題も関係していたと更新した。本サービス経由の侵入は、攻撃元の共通性などから既報の第三者によるものとみられるが、侵入経路と開始時期は調査中である。鹿児島の金融機関4社は委託先からの報告で漏えいを公表しており、侵入経路の記載はない。AIの利用に関する記載はない。

資料の基準時点：2026年11月9日現在（セガ公表）、アララ第3報は2026年11月6日時点

当時、対策できたのか

判定保留

既報の環境では、公表元がWebサーバーの脆弱性の悪用を説明しているが、修正の時期と攻撃時点の防御状況は資料に書かれていない。本サービス経由の侵入経路も未特定で、対策の欠落は確認できないため判定を保留とした。

公表された対策

  • 10月28日7時に不審メールに使われた環境への外部からのアクセスを停止し、16時31分に共用環境を緊急停止した。
  • 10月30日13時26分に別の環境の通信を遮断した。
  • 10月31日、不正に使用されたアカウントと鍵を無効化し、各サーバーの通信を遮断した。
  • 2026年10月31日、本サービスの提供をすべて停止した。
  • 外部の専門機関と連携し、侵入の経路・開始時期と影響範囲を調査している。
  • 認証情報の全面的な変更、システムの再構築、監視体制の強化などを再発防止策として進める。
  • システムの安全性の抜本的な見直し、異常の早期発見と迅速な対応のための体制整備、グループ全体の管理体制の強化に取り組む。
  • サービスの再開は、侵入経路の特定、認証情報の全面的な変更などを経て判断するとしている。
  • 送信元news@arara.comのメールは、URLにアクセスせず削除するよう利用者に呼びかけている。
  • 東京観光財団は、メール配信サービスの利用を停止し、同社に原因と再発防止策の詳細な報告を求めている。
  • セガは、流出情報の確認と安全性の確認が取れるまで、アララのメール配信システムを使ったメールマガジンの配信を見合わせるとしている。
  • 鹿児島の金融機関4社は、当該システムのセキュリティ対策と管理体制の抜本的な見直しと強化を図るとしている。
  • 近畿大学は、UCAROに登録した受験者に、心当たりのないメールを開封せず削除するよう呼びかけている。

この事例を理解するための動画

まだ分からないこと

  • 本サービス経由の侵入の開始時期と経路（最初にアクセスされた原因）は調査中で、資料では特定されていない。
  • 既報の環境で悪用された脆弱性の具体的な内容、CVE、影響を受けたバージョンは資料に記載がない。
  • システム環境における問題の詳細は資料に書かれていない。
  • 精査中の環境があるため、件数は今後変わる可能性がある。
  • 対象となる契約企業の数は精査中で、現時点の推計は最大約380社である。
  • 持ち出された情報の項目は契約企業により異なり、契約企業の担当者の情報は確認中である。
  • 東京都の公表（メールアドレスのみ132件、氏名とメールアドレス2件）が、全体の件数に含まれるかは資料に示されていない。
  • セガ分の配信に付随する情報（92,273件）の内容は調査中である。
  • 流出情報の悪用について、セガと鹿児島の金融機関は現時点で確認されていないとしている。今後の悪用の有無は資料にない。
  • 送信先のメールアドレスの入手元は資料に書かれていない。
  • 近畿大学のUCAROに登録されたメールアドレスの流出件数と範囲は、詳細を調査中とされている。
  • 松竹マルチプレックスシアターズは10月29日時点で会員情報の流出はないと確認したが、その後の状況は資料にない。
  • サービスの再開時期は未定である。
  • 対象者への個別通知の時期は資料に書かれていない。
  • 親会社のペイクラウドホールディングスの業績への影響（2027年8月期）は精査中である。

同じ会社の記事

アララの事例をすべて見る

関連する事例

同じ原因分類の事例

事例の一覧に戻る