ニュース｜社会・くらし
アララ メッセージ不正アクセス｜時系列と件数の違い、公表企業一覧
結論
- メール配信サービス「アララ メッセージ」は、11月2日の第2報で被害が大きく広がりました。持ち出されたメールアドレスは約7,700万件（持ち出された恐れを含む・精査中）で、人数ではありません。
- 最大約713万通の不審メールは、流出した約7,700万件宛てではなく、第三者が外部から持ち込んだ宛先に送られました。カード番号はサービス内に保有していないとしています。
- アララは利用企業の名前を公表していません。各社の公式発表を確認できたのは19件で、「対象外」とした6件も第2報より前の説明です（一部は同日に追記あり）。
- news@arara.com からの「利用内容確認のご依頼」などは、URLを開かず削除してください。
いずれも11月2日の第2報の数字で、精査中または最大値です。今後変わる可能性があります。
公式発表の時系列（10月22日〜11月2日）
アララの第2報の経緯表とサービスのお知らせページを合わせて、日本時間で整理しました。
| 日時 | できごと |
|---|---|
| 10/22 | PHPの重大な脆弱性への対応で緊急メンテナンス。今回の侵入との関係は特定されていません（セキュリティ対策Labの整理） |
| 10/27 8:36 | 第三者による偵察とみられるアクセス |
| 10/28 3:59頃 | 不審メールの送信が始まる。7時に当該環境への外部アクセスを停止 |
| 10/28 8:47頃 | 別の環境で不審メールの送信が始まる（判明は10/30） |
| 10/28 11:09〜15:43 | 共用環境の管理画面に不正ログインし、データを持ち出し。16:31に共用環境を緊急停止 |
| 10/28〜29 | アララが「約301万件」の流出を公表、ペイクラウドHDも開示。29日に個人情報保護委員会へ速報、警察へ通報 |
| 10/29 1:36〜10/30 2:22 | サービスのサーバーを経由して、契約企業の環境からデータを持ち出し |
| 10/30 13:08〜13:32 | 別環境の不審メールを把握し、13:26に通信遮断。13:32を最後に送信なし |
| 10/31 午前 | 契約企業の環境からの持ち出しを把握。12:58から認証情報の無効化と通信遮断を順次実施 |
| 10/31 19:53 | サービスの提供停止が完了（案内ページの停止開始は14:50） |
| 11/2 | 第2報。約7,700万件、最大約380社、最大約713万通を公表。第3報で精査結果を知らせるとしています |
| 11/2 18:00 | お知らせを更新。第3報と新しい件数はありません。影響範囲が判明した企業へ流出件数を順次個別に案内中で、再開は未定。次回更新は21時頃の予定 |
時刻を計算すると、別環境の不審メールは遮断まで約52時間39分、契約企業の環境からの持ち出しは約24時間46分続いたことになります（当サイト計算）。10月30日の案内は「対象環境以外の流出はない」という内容でしたが、第2報の経緯表では、その日の2時22分まで持ち出しが続いていました。第2報の本文は、この不正アクセスの期間を10月28〜31日としています。
原因の説明は、当初の「Webサーバーの脆弱性」に「システム環境における問題」が加わりました。侵入の開始時期と経路は調査中です。
数字の整理：流出の恐れ・送信数・社数の違い
| 数字 | 何の数か | 注意点 |
|---|---|---|
| 約7,700万件 | 契約企業の環境（サーバー97台）から持ち出されたアドレス | 持ち出された恐れを含む。読み取り量からの判断で精査中。人数ではない |
| 3,386,187件 | 共用環境から持ち出されたアドレス（61社） | 初報の「約301万件」を更新。重複を除いた数 |
| 最大411,827件 | 共用環境のうち5社が登録した顧客データ | 氏名・会社名などを含む |
| 最大約713万通 | 送信された不審メールの数（2環境の合計） | 流出数ではない。宛先は第三者が持ち込んだアドレス |
| 最大約380社 | サーバー97台に関わる契約企業 | 推計で精査中。共用環境の61社とは別の区分 |
会社は、区分の間でアドレスが重複している可能性があるとして、件数を合算していません。約7,700万件は初報の約301万件の約25.6倍ですが（当サイト計算）、精査前の数字です。「7,700万人分の流出」と読むのは正確ではありません。
報道の見出しは「7700万件流出」「7700万件漏えい」など断定の形が目立ちます（テレビ朝日系、時事通信）。第2報の表現は「持ち出された恐れのあるものを含みます」です。
契約企業の環境で持ち出された情報は、アドレスに加え、企業が登録した氏名・性別・生年月日・電話番号・会員番号・住所など（企業により異なる）と配信の宛先の記録です。クレジットカード番号は保有していないとしています。契約企業の担当者情報は「確認中」です。
影響を公表した利用企業・団体の一覧（19件）
第2報に社名の一覧はありません。11月2日15時台までに当サイトが各社の公式ページで本文を確認できた19件を、説明の内容で分けました。Payどんの4金融機関とひょうご防災ネットの市町版は、それぞれ1件と数えています。網羅ではなく、最大約380社のごく一部です。
| 企業・団体 | 公表 | 各社の説明（公表時点） |
|---|---|---|
| 流出した、または流出の可能性があると説明（7件） | ||
| Payどん（鹿児島銀行・南日本銀行・鹿児島相互信金・鹿児島信金） | 10/28 | メールアドレスに加え決済日時・店舗名・金額も漏えいの可能性。件数の記載なし |
| 沖縄県（離島事業「島まーる」のメルマガ） | 10/29 | 2,560件のアドレスに漏えいの可能性 |
| しまたび（島旅サイトのメルマガ） | 10/29 | アドレスのみ流出の可能性。件数は特定中 |
| ほいくis（e-CHANNEL） | 10/29 | メールアドレスが閲覧・取得された可能性。件数は確認中 |
| スズキ（報道関係者向けメディアサイト） | 10/30 | 最大2,575件のアドレスに漏えいの可能性 |
| 岡山県法人会連合会（かわら版） | 10/30 | 配信用アドレスの一部が流出したと思われるとの説明 |
| ロジメーター（お知らせメール） | 10月末 | 利用環境が対象に含まれ流出の可能性。実際の流出は調査中 |
| 含まれるか確認中（5件） | ||
| 土木学会（メールニュースほか） | 10/29 | 含まれるか調査中 |
| 川口市（施設予約システムのお知らせメール） | 10/29 | メール停止。影響範囲は調査中 |
| MultiPost（メールマガジン） | 10月末 | 含まれるか確認中 |
| 日刊工業新聞社 | 10/30 | 含まれるか確認できておらず調査中 |
| ココヘリ（会員制捜索サービス） | 10/30 | 含まれるか判明していない。メール案内も停止 |
| 対象外・別環境と説明（6件） | ||
| ＝LOVE ファンクラブ | 10/28 | 別環境で影響は極めて低いとの報告。配信は停止 |
| ≠ME ファンクラブ | 10/28 | 別環境で影響は極めて低いとの報告。配信は停止 |
| ひょうご防災ネット（姫路市・加東市などの市町版を含む） | 10/28・30 | 約301万件に含まれないと確認。30日再開→31日から再び停止（28日の事案とは関連がない予防措置と説明） |
| サブウェイ | 10/29 | 提供元に確認した結果、流出の対象外。クーポン画面に影響 |
| ベルク（ベルクラブ） | 10/29 | 別環境で漏えいの可能性はないとの報告。11/2追記で配信休止 |
| unbanked（金価格メール） | 10/30 | 対象外と確認。11/2更新で配信再開は調査次第 |
| 配信停止の案内（1件） | ||
| SMT Members（松竹マルチプレックスシアターズ） | 11/2 | メール配信を再び停止。再開は未定。チケット購入などは通常どおり |
「対象外」は第2報の前の説明です
対象外や別環境とした6件の説明は、共用環境の約301万件を前提にしたものです。第2報で契約企業の環境も対象になったため、判断が変わる可能性があります（当サイトの見方）。アララは各社の環境が対象かどうかを個別に連絡するとしており、各社の続報を確認してください。
不審メールが届いたときの対処
- 送信元 news@arara.com、件名「利用内容確認のご依頼」「ご利用明細確認のご依頼」など（10月28〜30日）のメールは、本文のURLを開かず削除します。これが第2報の案内です。
- リンク先でカード情報を入力した場合は、すぐカード発行会社に連絡します。連絡先はメール内ではなく、カード裏面などで確認してください。
- ID・パスワードも入力した場合は、そのパスワードを変更し、同じものを使っている他のサービスも変えます（当サイトからの一般的な案内です）。
- 今後はアララや利用企業を名乗るメール・SMS・電話・郵便物にも注意します。アララとペイクラウドHDは、パスワードやカード情報の入力をメールで求めることはないとしています。
- 相談・報告先は、フィッシング対策協議会の報告窓口と、消費者ホットライン188（国民生活センターの案内）です。
届いた＝自分のアドレスが流出、ではありません
不審メールの宛先は第三者が外部から持ち込んだアドレスです。また、今回はサービス自体が悪用されて送信されました。カード会社の連絡なのにメール配信会社のアドレスから届く点は不自然ですが、送信元の表示だけで本物と判断しないようにしてください。
アララ メッセージ不正アクセスのよくある質問
Q. 自分のアドレスが流出したか調べられますか。
A. 11月2日時点で、利用者が自分で調べるページは第2報に案内されていません。アララは契約企業に個別に連絡するとしているため、メルマガなどを登録している企業の公式発表を確認してください。第2報の問い合わせ窓口は契約企業向けです。
Q. クレジットカード番号は漏れましたか。
A. アララはサービス内にカード番号を一切保有していないと説明しています。ただし、偽メールのリンク先で入力すると、この事案とは別に盗まれるおそれがあります。
Q. メールが届かないのはこの影響ですか。
A. アララ メッセージとASP repicaシリーズの全サービスが停止中で、再開は未定です（オンプレミス版のrepicaは対象外）。一覧のように、企業のメルマガやクーポン、通知のメールが止まっている例があります。
Q. ペイクラウドHDとの関係は何ですか。
A. アララはペイクラウドホールディングス（東証グロース、4015）の連結子会社です。業績への影響は精査中としています。
あわせて読みたい
出典・参考資料
- アララ：第2報（2026年11月2日・PDF）／初報（10月29日）／サービスのお知らせ（11月2日18時更新）
- ペイクラウドホールディングス：第2報（TDnet・PDF）
- 10月22日のメンテナンス：セキュリティ対策Lab（10月29日）
- 報道：テレビ朝日系／時事通信／朝日新聞（いずれも11月2日）
- 利用企業・団体の発表：上の一覧の各リンク
一覧の分類・件数と時間の計算は当サイトによるものです。アイキャッチ写真：Carl Lender／Wikimedia Commons（CC BY 2.0）。明るさ調整・文字入れあり。
コメント