情報漏えい原因調査レポート　No.015

メール配信「アララメッセージ」への不正アクセス、約7,700万件（精査中）と委託元25組織の公表で何が分かり、何が分かっていないのか

2026年10月27日から31日にかけて、アララ株式会社のメール配信サービス「アララメッセージ」が第三者の不正アクセスを受けた。アララは11月2日の第2報で、契約企業の環境サーバー97台（最大約380社）から、メールアドレス約7,700万件（精査中）が持ち出されたと公表した。影響を受けたと自ら公表した委託元のうち、公表文を開いて確かめた25組織について、件数、流出した項目、アララとのあいだに入る事業者を数えた。

2026年11月3日公開KEYRING編集部2026年11月3日時点の公開情報にもとづく読了の目安約15分

数字で見る今回の事案

アララの第2報（11月1日時点の数字）と、委託元25組織の公表文による

持ち出されたメールアドレス: 約7,700万件
精査中。契約企業の環境から持ち出されたもの（持ち出された恐れを含む）。最終ユーザー数ではないとアララは書いている
侵入された契約企業の環境: 97台
サーバーの台数。対象の契約企業は最大約380社（推計、精査中）
共用環境から持ち出されたメールアドレス: 3,386,187件
重複を除いた件数。契約企業61社の分。うち5社は氏名などを含む顧客データ最大411,827件
カード会社を装った不審メール: 最大約713万通
10月28日〜30日に、アララの環境から送信元 news@arara.com で送られた
公表文を確かめた委託元: 25組織
企業19、自治体6。KEYRING編集部が公表文の原文を開いたもの
アララとのあいだに別の事業者が入る: 10組織
委託先、マーケティングツール、TKC などを通じて、アララのサービスを使っていた

エグゼクティブ
サマリー

アララは、影響を3つの区分に分けて公表した。契約企業の環境から持ち出されたメールアドレスが約7,700万件（精査中）、共用環境から持ち出されたメールアドレスが3,386,187件（重複を除く）、カード会社を装った不審メールが最大約713万通。区分の間で同じメールアドレスが重複している可能性があるため、アララは件数を合算していない。
委託元の公表は11月2日に集中した。KEYRING編集部が公表文を開いて確かめた25組織のうち、件数を書いたのは11組織だった。大きいものから、アソビューの15,821,184件、ビックカメラなどのグループ合計約1,490万件（流出した可能性）、TKCの最大223万812件と続く。9組織は確認中・調査中、5組織は件数に触れていない。
流出した項目は、多くがメールアドレスだった。メールアドレスのほかの項目を挙げたか「等」と書いたのは7組織で、アソビューは氏名、生年月日、電話番号、チケットの購入・利用の情報などを挙げた。アララ自身も、共用環境の契約企業5社について、氏名などを含む顧客データ最大411,827件が持ち出されたとしている。
25組織のうち10組織は、アララとのあいだに別の事業者が入っていた。委託先、マーケティングツール、自治体向けのサービスを提供する TKC などを通じて、アララのサービスを使っていた。公表した市町の5団体は、すべて TKC などを通じた利用だった。
侵入の開始時期と経路は、調査が続いている。アララは原因を、Webサーバーの脆弱性に加え「システム環境における問題」が関係していたと改めた。サービスの再開は未定で、再開時には契約企業に認証情報の再設定を求めるとしている。

1はじめに

2026年11月2日、アララ株式会社は、メール配信サービス「アララメッセージ」への不正アクセスについて第2報を出しました。10月28日の時点では、共用の環境から「メールアドレス約301万件の流出を確認」としていましたが、第2報では、契約企業ごとの環境サーバー97台にも侵入され、メールアドレス約7,700万件（精査中）が持ち出されたとしています。

同じ日から翌日にかけて、アララのサービスを使っていた企業や自治体が、次々に影響を公表しました。メールを配信する仕組みには、配信先のメールアドレスの一覧が置かれます。配信を外部のサービスに任せていた組織は、自社のシステムが侵入されていなくても、預けていた一覧が外に出たことになります。

KEYRINGは、アララの公表と、影響を自ら公表した委託元の公表文を読み、次の論点を整理しました。

アララは、何が、どれだけ持ち出されたと公表したのか
不正アクセスは、いつ始まり、いつ止まったのか
どの組織が影響を公表し、件数と項目はどう書かれたのか
委託元とアララのあいだに、どんな事業者が入っていたのか
メールを受け取る人と、配信を委託する組織は、何を確かめればよいのか

調査の方法と範囲

アララの第2報（11月2日）とアララメッセージのお知らせ（11月3日15時の更新まで）、委託元が自らのウェブサイトで出した公表文を対象にしました。報道は公表文を探す手がかりにだけ使い、KEYRING編集部が原文を開いて確かめた25組織を数えました。アララの社名も、第2報と同じ数字（最大約380社分、約7,700万件）も確かめられなかった1組織と、公表文を開けなかった組織（栃木銀行、生活協同組合ユーコープ、TBSグロウディアなど）は数えていません。北陸電力は、公表文にアララの社名はありませんが、同じ数字を引いているため含めました（6章）。アララは対象の契約企業を最大約380社と推計しているため、25組織は影響を受けた組織の一部です。件数と表現は公表文の原文どおりに書き、公表文に書かれていないことは推測で埋めていません。

2アララが公表した3つの区分と件数

アララの第2報は、影響を3つの区分に分けています。件数は11月1日時点のものです。

図表1アララメッセージへの不正アクセスの区分

区分	発生	把握	対象	件数
本サービスを経由した不正アクセス	10月28日〜31日	10月31日	契約企業の環境サーバー97台（最大約380社）。メールアドレスと会員情報	メールアドレス約7,700万件（精査中）
共用環境への不正アクセス	10月27日〜28日	10月28日	共用環境を使う契約企業61社。うち5社は、氏名、会社名などを含む顧客データ	メールアドレス3,386,187件（重複を除く）。顧客データ最大411,827件
不審メールの送信	10月28日〜30日	10月28日	カード会社を装ったメール。送信元は news@arara.com	最大約713万通（2つの環境の合計）

出典：アララ株式会社第2報（2026年11月2日）。発生と把握の期間は第2報の区分の表記による。契約企業の環境からのデータの持ち出しの時刻は、別表1では10月29日1時36分〜30日2時22分。区分の間で同じメールアドレスが重複している可能性があるため、アララは件数を合算していない

約7,700万件について、アララは「持ち出された恐れのあるもの」を含み、記録の読み取り量から判断したと書いています。また、1人が複数のメールアドレスを持つ場合もあるため、最終的な人数を示すものではないとしています。共用環境の件数は、10月28日の「約301万件」から、重複を除いた3,386,187件に改められました。

原因について、アララは10月29日に「Webサーバーの脆弱性を悪用した不正アクセス」と公表していました。第2報では、脆弱性に加えて「システム環境における問題」も関係していたことが分かったと改めています。一連の不正アクセスは、攻撃元が共通していることなどから、同じ第三者によるものとみているとしました。侵入の開始時期と経路は調査中です。

アララの最初の公表は、KEYRINGの速報「アララ「アララメッセージ」でメールアドレス約301万件が流出」（No.0325）でも取り上げています。

3偵察から第2報まで

第2報の別表とお知らせ、委託元の公表から、経緯を日付の順に並べました。

図表2アララメッセージへの不正アクセスの経緯（2026年）

10月22日
PHPの脆弱性への対応で、アララメッセージが一時停止
TKC の発表による。今回の不正アクセスとの関係は公表されていない。
出典：TKC（11月2日第1報）
10月27日 8時36分
偵察とみられるアクセス
10月27日〜28日に、第三者が共用環境の管理画面に不正にログインし、データの出力機能などを使って持ち出した。
出典：アララ第2報別表1
10月28日
カード会社を装った不審メールを確認。共用環境を緊急停止
7時に外部からのアクセスを停止し、16時31分に共用環境を緊急停止した。同じ日に「メールアドレス約301万件の流出を確認」と公表した。
出典：アララ（10月28日）、第2報
10月29日
個人情報保護委員会に速報、警察に通報
原因を「Webサーバーの脆弱性を悪用した不正アクセス」と公表した。JIPDECにも速報した。
出典：アララ（10月29日）、第2報
10月29日〜30日
契約企業の環境を経由した持ち出し
10月29日1時36分から30日2時22分にかけて、本サービスのサーバーを経由して多数のサーバーに侵入し、データベースの内容を持ち出した（別表1の時刻）。10月30日には、別の環境でも不審メールの送信が続いていたことが分かり、通信を遮断した。
出典：アララ第2報
10月31日
契約企業の環境への侵入を把握し、全サービスを停止
不正に使われた認証情報を無効にし、各サーバーの通信を遮断した。アララメッセージの停止は同日19時53分に完了した（お知らせのページは14時50分からと書いている）。
出典：アララ第2報、お知らせ
11月2日
第2報。約7,700万件（精査中）、97台、最大約380社
原因について、Webサーバーの脆弱性に加え「システム環境における問題」も関係していたと改めた。委託元の公表もこの日に集中した。
出典：アララ第2報、親会社ペイクラウドホールディングスの適時開示
11月3日
お知らせを更新。再開は未定
再開には、侵入経路の特定、認証情報の全面的な変更、システムの安全性の確認などを行ったうえで判断するとしている。
出典：アララお知らせ

停止の時刻は資料によって異なる。アララのお知らせは「10月31日14時50分〜」、第2報は「同日19時53分に停止完了」と書く。TKC は自社の環境を17時10分と17時37分に止めたとし、大阪市は17時40分ごろからメールが送れなくなったとしている

共用環境への侵入は10月28日に把握され、その日のうちに止められました。一方、契約企業ごとの環境への侵入が把握されたのは10月31日で、持ち出しは10月29日から30日にかけて行われていました。委託元の公表の多くは、対象が広がった第2報と同じ11月2日に出ています。松竹マルチプレックスシアターズ、パリミキアセットマネジメント、日本サブウェイの3組織は、10月28日〜30日に一度は「対象外」や「流出なし」と案内し、11月2日に改めています。

4影響を公表した委託元25組織

公表文を開いて確かめた25組織を、公表日の順に並べました。件数と項目は公表文の表記のままです。

図表3アララメッセージの件で影響を公表した組織（2026年11月3日時点）

公表日	組織	件数	流出した情報	アララとの関係
10月29日11月2日続報	e-CHANNEL（ほいくis）	確認中	記載なし	メール配信をアララに委託。10月29日に本件について知らせ、11月2日の続報で、新たに判明した不正アクセスの対象ではないとした
10月29日11月2日第2報	日本サブウェイ合同会社	含まれる可能性を排除せず、再調査を要請	記載なし	アララが提供するシステムを利用。10月29日には対象外と案内していた
11月2日	株式会社ビックカメラ（コジマ、ソフマップを含むグループ）	グループ合計約1,490万件（流出した可能性）	メールアドレス等。カード情報と通販のログイン情報は含まれない	メール配信等をアララに委託
11月2日	株式会社TKC	最大223万812件	メールアドレス（第1報は「メールアドレスや氏名等」）	メール配信業務をアララに委託
11月2日	北陸電力株式会社（ほくリンク）	約55万件	メールアドレスに限る	委託先の運営会社が利用するメール配信サービス。公表文にアララの社名はないが、「最大約380社分、約7,700万件」に触れている
11月2日	イッツ・コミュニケーションズ株式会社	メルマガ配信数232,376件	メールアドレス	アララの「repica」を利用
11月2日	株式会社近鉄・都ホテルズ（都プラス）	129,153件	メールアドレス	委託先が再委託したアララ
11月2日	株式会社小田急トラベル	63,006件	メールアドレスだけ（10月8日〜29日に配信した分）	マーケティングツールを通じてアララのサービスを利用
11月2日	両備ホールディングス（両備バス）	延べ43,221件	メールアドレス	アララの「repica」を利用
11月2日	株式会社神戸新聞社（神戸新聞NEXT）	約4万件	メールアドレスだけ	アララメッセージを利用
11月2日	大阪ガス株式会社（FitDish）	34,489件	メールアドレス（10月8日〜29日に配信した分）	メール配信をアララに委託
11月2日	松竹マルチプレックスシアターズ（SMT Members）	確認中	メールアドレス	アララメッセージを利用。10月29日・30日には流出なしと案内していた
11月2日	パリミキアセットマネジメント株式会社	記載なし	メールアドレス（ほかの項目は確認中）	アララメッセージを利用。10月28日には対象外としていた
11月2日	キンコーズ・ジャパン株式会社	確認中	メールアドレス	アララメッセージを利用
11月2日	株式会社ヴァンドームヤマダ（プラスヴァンドーム）	記載なし	メールアドレス（10月8日〜29日に配信した分）。漏えいの可能性	メール配信をアララに委託
11月2日	株式会社ブラデリスニューヨーク	記載なし	メールアドレスだけ。流出の可能性	利用するマーケティングツールが連携するアララのサービス
11月2日	株式会社Zaif	対象かどうか調査中	メールアドレスだけを登録していた	アララメッセージを利用
11月2日連絡を受けた日	堺市	記載なし	メールアドレス（可能性）	ウイングアーク NEX を通じてアララのサービスを利用
11月2日以降掲載日の記載なし	富士宮市	市の分は明らかになっていない	メールアドレス等	TKC を通じ、再委託先のアララ
掲載日の記載なし	姫路市	記載なし	メールアドレス、氏名等（可能性）	TKC を通じ、再委託先のアララ
11月3日	アソビュー株式会社	15,821,184件	メールアドレス、氏名、性別、生年月日、電話番号、郵便番号、地域、チケットの購入・利用の情報など	アララメッセージを利用
11月3日	株式会社ゴルフネットワーク	総数209,460件	メールアドレス	配信ツールの提供会社が提携するアララの「repica」
11月3日	大阪市	確認中	メールアドレスや氏名等（可能性）	TKC を通じ、再委託先のアララ
11月3日	高根沢町（栃木県）	調査中	予約番号、生年月日、メールアドレス、電話番号、交付の予約日時など（おそれ）	TKC を通じ、アララ
11月3日更新	岡山県（医療安全情報等のお知らせ）	調査中	メールアドレスだけ	アララから連絡を受けた

出典：各組織の公表文（参考文献に一覧）。姫路市の公表文には掲載日がない。堺市は連絡を受けた日、富士宮市は TKC から連絡を受けた日以降であることだけが分かる

このうち、北陸電力、大阪市、小田急トラベルの件は、KEYRINGの速報（No.0356、No.0355、No.0357）でも取り上げています。

5委託元が公表した件数

25組織のうち、件数を書いたのは11組織でした。9組織は確認中・調査中とし、5組織は件数に触れていません。

図表4件数の書き方

件数を書いた11組織

確認中・調査中9組織

記載なし5組織

25組織の公表文をもとにKEYRING編集部が数えたもの。富士宮市は TKC 全体の件数を引用しているが、市の分は明らかになっていないとしているため「確認中・調査中」に含めた。日本サブウェイは再調査を要請中としているため、同じく「確認中・調査中」に含めた

図表5委託元が公表した件数（件数を書いた11組織）

アソビュー15,821,184件

ビックカメラ等約1,490万件

TKC最大223万812件

北陸電力約55万件

イッツコム232,376件

ゴルフネットワーク209,460件

近鉄・都ホテルズ129,153件

小田急トラベル63,006件

両備バス延べ43,221件

神戸新聞社約4万件

大阪ガス34,489件

出典：各組織の公表文。数え方は組織ごとに異なる。ビックカメラは「流出した可能性」のある件数、イッツコムは「メルマガ配信数」、両備バスは「延べ」の件数、TKC は「最大」の件数。人数ではなく件数で、組織の間で重複している場合がある

アソビューの15,821,184件と、ビックカメラなどのグループ合計約1,490万件で、11組織の件数の合計の大半を占めます。ただし、数え方は組織ごとに異なり、同じ人が複数の組織に登録している場合もあるため、これらを合計しても影響を受けた人数にはなりません。

6委託元とアララのあいだに入る事業者

25組織のうち15組織は、アララのサービスを直接使っていたか、アララにメール配信を委託していました。残る10組織は、アララとのあいだに別の事業者が入っていました。

図表6アララとの関係

アララと直接15組織

あいだに別の事業者10組織

25組織の公表文をもとにKEYRING編集部が分類したもの。「repica」はアララのサービスのため、イッツコムと両備バスは「アララと直接」に含めた。ゴルフネットワークは配信ツールの提供会社を通じた利用のため「あいだに別の事業者」に含めた。岡山県は、あいだに入る事業者の記載がないため「アララと直接」に含めた

あいだに入っていた事業者は、公表文によると次のとおりです。

自治体向けのサービスの提供会社。大阪市、姫路市、高根沢町、富士宮市は TKC を通じて、堺市はウイングアーク NEX を通じて、アララのサービスを使っていた。公表した市町の5団体は、すべてこの形だった（岡山県はアララから連絡を受けたとしている）
マーケティングツール。小田急トラベルとブラデリスニューヨークは、利用していたマーケティングツールが、アララのサービスと連携していたとした
委託先や配信ツールの提供会社。近鉄・都ホテルズは委託先がアララに再委託していたとし、北陸電力は委託先の運営会社が利用するメール配信サービスとした。ゴルフネットワークは、配信ツールの提供会社が提携するアララのサービスとした

北陸電力の公表文には、アララの社名は出てきません。ただし、「最大約380社分、約7,700万件」とアララの第2報と同じ数字に触れているため、この件の一つとして数えました。

委託先での事故は、原因別の一覧「委託先での事故」でも読めます。同じ10月には、メール配信サービス「ブラストメール」でも、委託元に影響が広がる事案が起きています（調査レポート No.009）。

7メールアドレスのほかに流出した項目

25組織の多くは、流出したのはメールアドレスだと書いています。メールアドレスのほかの項目を挙げたか、「等」と書いたのは、次の7組織でした（可能性やおそれを含む）。項目を具体的に挙げたのは、アソビュー、高根沢町、大阪市、姫路市、TKC（第1報）の5組織です。

アソビュー：会員ID・会員番号、氏名、性別、生年月日、会員登録日、最終ログイン日、電話番号、郵便番号、お住まいの地域、チケットの購入日時・種類・枚数、利用した施設名・日時、参加人数など
高根沢町：予約番号、生年月日、電話番号、交付の予約日時など（おそれ）
大阪市：メールアドレスや氏名等（可能性）
姫路市：メールアドレス、氏名等（可能性）
TKC：第1報では「メールアドレスや氏名等」と書き、第2報ではメールアドレスとした
ビックカメラ、富士宮市：「メールアドレス等」と書き、ほかの項目は挙げていない

メール配信のサービスには、配信先のメールアドレスのほかに、差し込みや配信先の絞り込みに使う会員の情報を一緒に置くことがあります。アララも第2報で、契約企業の環境から「メールアドレスと会員情報」が持ち出されたとし、共用環境では5社について氏名や会社名を含む顧客データ最大411,827件が持ち出されたとしています。どの組織がどの項目を置いていたかは、組織ごとの公表を待つ必要があります。

8分かっていること、分かっていないこと

項目	分かっていること	分かっていないこと
件数	契約企業の環境からメールアドレス約7,700万件（精査中）。共用環境から3,386,187件（重複を除く）	重複を除いた最終的な件数と人数。対象の契約企業の数（最大約380社と推計）
原因	Webサーバーの脆弱性と「システム環境における問題」が関係していた。管理画面への不正なログインと、データの出力機能の悪用があった（共用環境）	侵入の開始時期と経路。10月22日の一時停止との関係
委託元	公表文を確かめられた25組織。うち10組織は、あいだに別の事業者が入っていた	公表していない契約企業と、その委託元
項目	多くはメールアドレス。7組織がほかの項目を挙げたか「等」と書いた	確認中・調査中の組織で、何が持ち出されたか
二次被害	アララの環境から、カード会社を装った不審メールが最大約713万通送られた。アソビューとビックカメラなどは、悪用による被害は確認されていないとした	不審メールによる被害の有無と規模
再開	アララは侵入経路の特定、認証情報の全面的な変更、安全性の確認のあとに判断するとした	再開の時期

アララの第2報、お知らせ、25組織の公表文をもとにKEYRING編集部が整理したもの（2026年11月3日時点）

9メールを受け取る人が確かめること

アララと委託元の公表で呼びかけられていたことを挙げます。

10月28日〜30日に、送信元 news@arara.com から届いたメールは、本文のURLを開かずに削除する。リンク先でカード情報などを入力した場合は、すぐにカード発行会社に連絡する（アララ）
カード会社や、登録していたサービスを装うメールが届いても、URLを開かず、IDやパスワード、カード情報を入力しない（小田急トラベルなど）
心当たりのない連絡は、そのメールのリンクではなく、公式サイトのお知らせと照らし合わせて確かめる（編集部の推奨）

登録していたサービスが今回の対象かどうかは、サービスの公式サイトのお知らせで確かめられます。対象者に個別に連絡するとした組織もあります。

10メール配信を委託する組織が確かめること

今回の公表から、メール配信を外部に任せている組織が確かめておく項目を整理しました。侵入の経路と原因の詳細が公表されていないため、どの対策で防げたかは分かりません。ここに挙げるのは、公表された出来事をもとにした、KEYRING編集部の推奨です。

図表7メール配信を委託する組織が確かめる項目

一覧自社のメールが、どの配信サービスから送られているかを一覧にしているか
25組織のうち10組織は、マーケティングツールや委託先、TKC などを通じてアララのサービスを使っていた。ツールや委託先の先にある配信サービスまで書き出す。
置く情報配信サービスに、メールアドレスのほかに何を置いているか
アソビューのように、会員の情報や購入の情報を一緒に置いていた例がある。配信に使わない項目は置かない。
認証情報配信サービスの管理画面とAPIの認証情報を、誰が持っているか
共用環境では、管理画面への不正なログインとデータの出力機能の悪用があった。アララは再開時に、管理画面のパスワードとAPIキーなどの再設定を求めるとしている。
連絡の受け方委託先から連絡を受けたときに、対象かどうかを判断する手順があるか
3組織は一度「対象外」や「流出なし」と案内し、のちに改めた。配信した期間とリストを特定し、続報が出たときに見直せるようにしておく。
報告個人情報保護委員会への報告を、誰がどう出すかを決めているか
アララは、契約企業と連名での報告や、代わりに報告する方法を案内している。自社で出すか、連名にするかを決める。