アララ メッセージ不正アクセスで配信リストのメールアドレスが流出

【2026-10-29夕追記】アララは10月29日のコーポレートサイトのお知らせで、原因を「当社のシステムの一部の環境において、Webサーバーの脆弱性を第三者に悪用されたもの」と説明した。不正アクセスを受けたのはメール配信サービスのサーバーシステムのうち1システムで、そこを使う利用企業が持つメールアドレス約301万件が持ち出された。該当サーバーはネットワークから切り離した。ほかの影響は現時点で確認されていないとし、外部の専門機関と全サービスの脆弱性箇所を再点検するとしている。どの脆弱性かは書かれていない（アララ「アララメッセ－ジへの不正アクセスによる情報流出およびサービス停止について」）。

【2026-10-31追記】アララは10月30日の続報で、個人情報保護委員会に10月29日15時ごろ、プライバシーマークの審査機関に同日15時30分ごろ報告したと公表した（アララ 10月30日）。

【2026-11-02夕追記】親会社ペイクラウドホールディングスは11月2日8時50分の適時開示（第2報）で、第三者が本サービスのサーバーを経由して10月28日〜31日に契約企業の環境のサーバー97台（最大約380社、精査中）に侵入し、データベースを持ち出したと公表した。持ち出されたメールアドレスは約7700万件（持ち出された恐れを含む、精査中）で、氏名・性別・生年月日・電話番号・会員番号・住所など契約企業が登録した項目と配信の宛先等の記録も含む。クレジットカード番号は保有していない。アララは10月31日午前にこれを把握し、不正に使われたアカウント・鍵の無効化と各サーバーの通信遮断を進め、同日19時53分に本サービスの提供をすべて停止した。再開は未定（ペイクラウドHD 第2報）。

【2026-11-02夕追記】既報の共用環境（10月28日に約301万件と公表）は、10月27日〜28日に管理画面への不正ログインとデータ出力機能等の悪用で持ち出されたもので、重複を除くメールアドレス338万6187件と、契約企業5社が登録した氏名・会社名等を含む顧客データ最大41万1827件が対象だった。関係する契約企業は61社。原因は既報の「Webサーバーの脆弱性」に加え、「システム環境における問題」も関係していたとした。10月27日8時36分には偵察とみられるアクセスがあった。一連の不正アクセスは攻撃元の共通性などから同じ第三者によるものとみられる（同上）。

【2026-11-02夕追記】10月28日〜30日には、本サービスの2つの環境が不正に使われ、送信元「news@arara.com」、件名「利用内容確認のご依頼」「ご利用明細確認のご依頼」等のクレジットカード会社を装う不審メールが最大約713万通送信された。送信先は第三者が外部から持ち込んだアドレスで、10月30日13時32分を最後に送信は確認されていない。個人情報保護委員会には11月2日に追加報告、JIPDECには同日に中間報告の予定で、警察には10月29日に通報済み。再開時には契約企業に管理画面のパスワードやAPIキー等の再設定を求める予定（同上）。

【2026-11-03追記】TKCは11月2日、一部システムのメール配信を委託するアララの「アララメッセージ」への不正アクセスで、漏えい対象に同社システムを使う顧客のメールアドレスが最大223万812件含まれていることがわかったと公表した（第2報）。第1報によると、10月30日にはアララから「TKCの利用環境からの情報漏えいはない」と報告を受けていたが、10月31日にTKCの利用環境が緊急停止された（会計事務所事業17時10分、地方公共団体事業17時37分）。会計事務所・企業・弁護士・法科大学院・自治体向けシステム（マイナンバーカード交付予約・管理システムなど）からメールを送れない状態で、再開は未定。TKCのシステムとデータセンターへの不正アクセスは確認されていない（TKC 第1報、TKC 第2報）。

【2026-11-03追記】TKCにオンライン手続きポータルサイトの構築を委託する姫路市は11月2日、同サイトに登録されたメールアドレスや氏名などが漏えいした可能性があるとして、市に関係する情報の有無を確認中と公表した。申請完了通知などのメールが届かない状態になっている（姫路市）。

【2026-11-03追記】北陸電力は11月2日、会員サービス「ほくリンク」のメール配信を委託する外部の運営会社が使うメール配信サービスへの不正アクセス（10月28日〜31日）で、会員のメールアドレス約55万件が流出したと公表した。流出はメールアドレスに限られるとしている。発表は配信サービスの社名を書いていないが、北國新聞は運営会社がアララのサービスを使っていたと報じた（北陸電力（PDF）、北國新聞）。

【2026-11-03夕追記】大阪市は11月3日13時、行政オンラインシステムの提供事業者TKCから、利用するアララのメール配信サービスへの不正アクセスで、利用者のメールアドレスや氏名等が漏えいした可能性があると11月2日に報告を受けたと公表した。件数は漏えいの有無も含めて確認中。10月31日17時40分頃からメールを送れず、利用者登録・メールアドレス変更・パスワード再設定ができない。同システムとTKCのデータセンターへの不正アクセスは確認されていない（大阪市 報道発表（第1報））。

【2026-11-03夕追記】JERAは11月2日、映画割引サービス「JERAサンデイ」が使う外部サービスからの流出の可能性について続報を出し、対象はメールアドレス約11万件と判明したと公表した。氏名・住所・電話番号・パスワード・カード情報は取得しておらず対象外。外部サービスの社名は書いていないが、10月28日〜30日に news@arara.com から届いた不審メールへの注意を呼びかけている（JERA 続報）。

【2026-11-04追記】横浜ゴムは11月3日、ニュースリリースなどのメール配信に使う「アララメッセージ」への不正アクセスで、「ニュースリリース配信」「ニュースメール配信」の登録者の会社名とメールアドレスが漏えいしたと公表した。10月28日にメール配信の委託事業者から不正アクセスの連絡を受け、当初アララからは同社に関連する漏えいは確認されていないと報告されていたが、11月3日に漏えいしたと連絡を受けた。10月28日から両配信を止め、個人情報保護委員会に報告している。件数は書かれていない（横浜ゴム）。

【2026-11-04夕追記】アソビューは11月3日、アララメッセージに預けていた「アソビュー！」会員の情報1582万1184件が流出したと公表した。メールアドレスのほか、会員ID・氏名・性別・生年月日・最終ログイン日、電話番号・郵便番号・居住地域、チケットの購入日時・種類・利用施設名・利用日時・参加人数などを含む。パスワードとカード情報は預けていない。どの会員のものかは特定できておらず、アララから情報を受け取り照合して個別に連絡する。11月2日に報告を受け、同日すべての配信を止め、管理画面パスワード・APIキー等を無効化した（アソビュー）。

【2026-11-04夕追記】TKCは11月4日の第3報で、アララの調査により漏えいしたのはメールアドレス（最大223万812件）のみで、メール本文、マイナンバー、市町村への申請情報などは漏えいしていないと確認されたと公表した。どの顧客のアドレスかは調査中で、別のメール基盤から送れるよう対処している（TKC 第3報）。

【2026-11-04夕追記】琉球銀行は11月4日の第2報で、メール配信に使う「repica」（アララ提供）から、10月8日〜29日に配信したメールの一部のメールアドレス9万6477件が流出したと公表した。氏名・住所・口座情報・暗証番号などの流出は確認されていない（琉球銀行 第2報）。同日、ダスキンも会員サイト「DDuet」のメール配信に使うrepica経由で、メールアドレス65万7886件が漏えいしたと公表した（メールアドレスのみ）（ダスキン（PDF））。

【2026-11-04夕追記】世田谷区は11月4日13時の第2報で、「せたがやPay」のシステムベンダーが使うアララの環境全体でメールアドレス59万4799件が対象と公表した（せたがやPay分の件数・内訳とメールアドレス以外の流出の有無は確認中）。別のメール配信システムに切り替え、決済などの機能は通常どおり動いている（世田谷区 第2報）。

【2026-11-05追記】TKCは11月4日の第4報で、同日アララから漏えいしたメールアドレスの情報提供を受け、どの顧客のどのシステムのアドレスかを分類する作業に着手したと公表した。メールを送れない各システムは、別のメール基盤から送れるよう開発・対処中で、復旧時期は未定（TKC 第4報）。

【2026-11-05追記】大阪市は11月4日14時の第2報で、TKCから、漏えいした可能性のある情報はメールアドレスのみで、メール本文・マイナンバー・申請情報などは漏えいしていないと報告を受けたと公表した。行政オンラインシステムの利用者のアドレスが含まれるかは引き続き確認中。利用者登録、メールアドレスの変更、パスワードの再設定ができない状態が続く（大阪市 報道発表（第2報））。

【2026-11-05追記】鹿児島銀行・南日本銀行・鹿児島相互信用金庫・鹿児島信用金庫は11月4日、アララから情報漏えいの事実があったと報告を受け、Payどんの利用者と加盟店のメールアドレス最大25万7639件が漏えいしたと公表した。氏名、銀行口座情報、パスワードなどは含まれない。対象者はアララが調査中で、判明次第アプリなどで個別に知らせる。11月5日から専用窓口を設ける（鹿児島銀行ほか 11月4日）。

【2026-11-05追記】モスバーガーは11月4日、会員サービス「モスWEB会員」の登録者のメールアドレス751万7087件が流出したと公表した（モスバーガー）。

【2026-11-05追記】ビックカメラ、コジマ、ソフマップは11月2日、メールマガジン登録者のメールアドレスなど3社合計約1490万件が流出した可能性があると連名で公表した。クレジットカード情報や通販サイトのログイン情報は対象外と報じられている（ITmedia NEWS）。

【2026-11-05夕追記】ワークマンは11月4日、オンラインストアのメールマガジン会員のメールアドレス最大約145万件が流出したと公表した。10月28日にアララから連絡を受け、29日には当社会員のアドレスは含まれないと報告されていたが、11月2日に流出の電話連絡を受けた。メールアドレス以外の流出はないとしている（ワークマン（PDF））。

【2026-11-05夕追記】IIJは11月4日、IIJmio契約者（解約済み含む）のメールアドレス98万3458件が漏えいしたと公表した。カード情報はアララに連携しておらず対象外（IIJ）。

【2026-11-05夕追記】住友不動産は11月4日、委託先データXが使うアララの配信サービスへの不正アクセスで、分譲住宅の問い合わせ客のメールアドレス20万5208件（10月8日〜29日配信分）が流出したと公表した。氏名・住所などは含まれない（住友不動産（PDF））。

【2026-11-05夕追記】ちょびリッチは11月4日、会員のメールアドレス134万8525件が流出した可能性があると公表した（メールアドレスの件数であり会員数ではない）。会員番号・ニックネーム・生年月日・性別・居住地（都道府県）・保有ポイント数も対象になり得る。氏名・電話番号・パスワード・口座情報は預けていない（ちょびリッチ）。

【2026-11-05夕追記】三井住友銀行は11月5日、アララメッセージ経由で配信したメールの宛先アドレス22万7216件（2026年7月1日〜10月31日）が漏えいしたと公表した。口座番号・暗証番号・IBのID・パスワードなどは含まれない。主に法人向けで、一部個人事業主向けも含む（三井住友銀行（PDF））。

【2026-11-05夕追記】三井不動産は11月5日、オフィステナント向け「&BIZ」のメールマガジン送信先メールアドレス13万3323件が漏えいしたと公表した。氏名などのほかの個人情報は当該配信システムで扱っておらず漏えいしていない（三井不動産（PDF））。

【2026-11-05夕追記】AIRDOは11月4日、外部のメール配信システムへの不正アクセスで、利用客のメールアドレス最大67万3920件が流出したと公表した。予約・運航状況・My AIRDO関連などのメール配信を停止している（AIRDO）。報道は委託先をアララとしている（日テレNEWS）。

【2026-11-05夕追記】ソラシドエアは11月4日特定・11月5日更新で、外部メール送信システムへの不正アクセスによりメールアドレス約49万件が漏えいしたと公表した。氏名・住所・電話番号・カード情報は漏えいしていない。経緯（10月28日連絡→30日影響なし報告→31日範囲拡大→11月2日持ち出しの可能性）はアララメッセージの一連の経緯と一致する（ソラシドエア）。

【2026-11-06追記】カカクコムは11月5日、アララへの不正アクセスで食べログ・価格.com・スマイティ・求人ボックス・icottoの利用者のメールアドレスなど約570万件が漏えいしたと公表した。メール本文は対象外。食べログと求人ボックスは配信を復旧済み、価格.com・スマイティ・icottoは一時停止。アララの配信は再開せず別委託先へ切り替え中（カカクコム（PR TIMES））。

【2026-11-06追記】モンテローザは11月4日、メルマガ会員のメールアドレス62万5429件が流出したおそれがあると公表した。任意登録の生年月日・性別・都道府県などを含むものはうち3万1333件。氏名・住所・カード番号は保有しておらず対象外（モンテローザ（PDF））。

【2026-11-06追記】フジテレビジョンは11月5日、「フジテレビクラブ」会員2万6273人分の氏名・メールアドレス・会員番号・キャンペーン当選実績が漏えいしたと公表した。住所・電話番号・生年月日・パスワード・カード情報は対象外（フジテレビジョン（PDF））。

【2026-11-06追記】コングレは11月5日、IMAGINUSなど一部事業のメルマガ宛先メールアドレス計3万9144件が流出したと公表した（メールアドレスのみ）（コングレ）。

【2026-11-06追記】NTTタウンページは11月5日、委託先が使うrepica経由で10月8日〜31日にメルマガ配信した顧客のメールアドレス14万2126件が流出したと公表した。メールアドレス以外の顧客データ・本文・件名の流出は確認されていない（NTTタウンページ）。

【2026-11-06追記】コナカは11月5日、連結子会社サマンサタバサジャパンリミテッド・バーンデストローズジャパンリミテッドが使うrepica経由で、サマンサタバサ・バーンデストローズ・フィットハウス各公式オンラインショップおよびフィットハウスアプリのメールアドレス計43万4414件が流出したと公表した。氏名・住所・電話番号・パスワード・カード情報の流出は確認されていない（コナカ（PDF））。

【2026-11-07追記】ペイクラウドHDは11月6日の第3報で、環境Aとは別のクラウド環境Bからメールアドレス3,249,492件（メールアドレスのみ）が持ち出されていたと公表した。一連の不正アクセス期間（10月28日〜31日）中のもので、新たな侵入ではない。重複を除いた持ち出し件数は81,329,467件（約8,100万件）。第2報の区分合算80,386,187件より約94万件多い。共用環境（区分2）の件数は3,386,187件から2,842,400件に改められた。サービス再開は未定、業績影響は精査中（第3報 PDF、アララのお詫び）。

【2026-11-08追記】JERAは11月7日、映画割引サービス「JERAサンデイ」の続報で、調査の結果、利用者のメールアドレス30,337件が外部サービスへの不正アクセスにより流出したことを確認したと公表した。11月2日時点では流出の可能性があるメールアドレスを約11万件としていた。氏名・住所・電話番号・パスワード・カード情報は取得しておらず対象外。対象者には改めて知らせるとしている（JERA 11月7日）。

【2026-11-09夕追記】セガは11月9日、セガとセガ フェイブの一部メールマガジン（2026年7月〜10月の11配信）の配信先メールアドレス2,196,044件が流出したと公表した。うち92,273件には「配信に付随する情報」も含まれ、その中身はアララと調査中。氏名・生年月日・性別・住所・電話番号・カード情報・ログインパスワードは含まれず、「SEGA Account」の登録アドレスは別の配信システムのため対象外。10月29日にアララへ照会した時点では「情報流出は確認されていない」と回答されていたが、11月3日に流出確認の通知を受け、11月5日〜8日の追加確認を経て正式報告を受けた。個人情報保護委員会にはアララとの連名で報告する予定（セガ）。

【2026-11-09夕追記】キンコーズ・ジャパンは11月9日の第二報で、スマートメンバーシップ会員のメールアドレス266,395件の流出を確認したと公表した。第一報（11月2日）ではメールアドレスのみとしていたが、アララの追加報告で、うち262,875件は氏名・生年月日・会員証番号・会員ステージ・よく利用する店舗・会員登録日時も流出していたとわかった。カード情報は保持しておらず対象外（キンコーズ・ジャパン 第二報）。

【2026-11-10追記】学研ホールディングスは11月9日の第2報で、アララと調査した結果、学研HD・Gakken・桐原書店・文理・学研ココファンなどグループ17社で計793,060件の情報漏えいを確認したと公表した。漏えいした情報は主にメールアドレスで、要配慮個人情報とカード番号は含まれない（学研ホールディングス 第2報）。

【2026-11-10追記】TKCは11月9日の第6報で、メールアドレスが漏えいしたシステムは、会計事務所向けの事務所通信デジタル版とFXシリーズ「連絡先登録機能」の登録完了メール、自治体向けのスマート申請システム、マイナンバーカード交付予約・管理システム、申請管理システム、緊急連絡先登録システムに絞られたと公表した。11月6日の第5報のとおり新しいメール送信基盤でシステムごとに送信を再開しており、自治体向けは11月10〜11日に再開予定（申請管理システムは代替機能で対応済み）（TKC 第6報、TKC 第5報）。

【2026-11-11夕追記】利用企業の公表が続いた。JALエービーシーは11月10日、マイページ会員のメールアドレス最大約45万件の漏えいを公表した（氏名・住所・電話番号・決済情報・パスワード・メール本文は含まれない）（JALエービーシー）。バルテス・ホールディングスも11月10日、ソフトウェア品質プラットフォーム「Qbook」の会員のメールアドレス47,502件（重複除く）が流出したと公表した（バルテス・ホールディングス）。日本サッカー協会は11月11日、JFA STOREの後払い決済を提供するGMOペイメントサービスの委託先がアララメッセージを使っており、後払い利用者11名分のメールアドレスが漏えいしたと報告を受けたと公表した。JFAのシステムへの不正アクセスはないとしている（日本サッカー協会）。

【2026-11-12追記】内閣府は11月11日、同府のメールマガジン14種類と運用管理用（テストデータ104件）のメールアドレス計62,863件（重複除外61,751件）が漏えいしたと公表した。件数が多いのは「内閣府 公益法人メールマガジン」19,685件、「内閣府食品安全委員会e-マガジン」10,922件など。登録時に入力した氏名・性別・年齢層・職業・所属などは「漏えいしたおそれのある情報」としてアララが調査中で、原因は「Webサーバの脆弱性及びシステム環境における問題」と説明している。配信は停止中（内閣府（PDF））。同日、三菱UFJフィナンシャル・グループは、電子ギフト贈呈業務の委託先ギフトパッドが使うアララのシステム経由で、2026年7月に当選メールを受け取った株主のメールアドレス20,000件が漏えいしたと公表した（株主番号などの属性情報とメール本文は含まれない）（MUFG（PDF））。日本経済新聞によると、同じくギフトパッドに委託する野村ホールディングスも株主のメールアドレス1万3500件の流出を公表した（日本経済新聞）。

【2026-11-12夕追記】キユーピーは11月12日、グループ5社のキャンペーン応募や問い合わせで自動返信メールを受け取った客（2023年9月12日〜2026年10月31日）のメールアドレス12万5788件が流出したと発表した。該当する自動返信メールは安全が確認されるまで停止を続ける（日本経済新聞）。