アララのメール配信に不正アクセス、約301万件のアドレス流出

アララ株式会社は2026年10月29日、同社が提供するメール配信サービス「アララメッセージ」の一部システムが第三者から不正アクセスを受け、利用企業が保有するメールアドレス約301万件が外部へ持ち出されたと発表した。親会社のペイクラウドホールディングスも同日、適時開示で事実関係を説明した。約301万件はアドレスの件数であり、重複を除いた被害人数が301万人と確定したわけではない。

10月28日に侵害確認、対象サーバーを切り離し

アララによると、10月28日に一部システムで不正アクセスが発生したことを確認し、対象サーバーを直ちにネットワークから切り離した。サービス利用企業向けの同日付案内では、流出対象を配信先のエンドユーザーリストに登録されたメールアドレスとし、対象環境を「bvam001」と明記している。メールアドレス以外の情報の流出は、案内時点で確認されていない。

10月28日の利用企業向け案内では、対象環境のサービス再開時期は未定と説明されている。各利用企業のどのメールアドレスが対象になったのかについても、詳細な調査が続いている。したがって、サービスを利用するすべての企業や、メールを受け取ったことのあるすべての人が被害対象だと断定することはできない。個別の対象範囲や復旧状況は、今後の公式案内を待つ必要がある。

原因はWebサーバーの脆弱性悪用

10月29日の会社発表では、第三者が一部環境のWebサーバーの脆弱性を悪用したことが原因だと説明された。ただし、悪用された脆弱性の識別番号、侵入に使われた具体的な手順、攻撃者の属性などは公表されていない。10月22日には別途、PHPの脆弱性に伴う緊急メンテナンスの案内があったが、今回の侵害との因果関係は確認できないため、同一の問題だったとは扱わない。

利用企業とメール受信者への影響

メール配信サービスは、複数の企業が顧客への案内やメールマガジンを送る際の基盤として使われる。今回のように配信先リストが持ち出された場合、流出したアドレスが迷惑メールや偽の通知に悪用される可能性はある。ただし、実際にフィッシング被害が発生したかどうかは今回の発表からは分からない。受信者は、届いたメールの差出人表示だけで正規の連絡と判断しないことが重要だ。

アララは、不審なメールに記載されたURLを開かず、返信や添付ファイルの開封、ID・パスワードなどの入力を控えるよう呼び掛けている。利用企業にとっては、自社の配信先リストが対象環境に含まれるか、配信停止によってどの通知業務に影響があるかを把握することが課題となる。今回確認された情報はメールアドレスだが、追加の調査結果によって対象や対応が変わる可能性もある。

全サービスの再点検へ、続報を待つ段階

アララと親会社は、外部の専門機関と連携して全サービスの脆弱性箇所を再点検し、セキュリティ管理体制を強化するとしている。攻撃に関する情報は利用企業や関係機関と共有する方針だ。親会社は業績への影響も精査中としており、金額などは示していない。10月30日朝時点で確認できる公式説明では、個別の流出対象や再開日について確定情報はなく、今後の追加発表が焦点となる。