📡 Signal｜アララのメール配信に侵入、最大約380社・7,700万件に拡大

メール配信サービス「アララメッセージ」を運営するアララは11月2日、第三者が10月28日から31日にかけて同サービスのサーバー97台に侵入し、最大約380社分の会員情報を持ち出したと発表した。持ち出されたメールアドレスは、持ち出された恐れのあるものを含めて約7,700万件で、10月29日の初報の約301万件から桁が一つ上がった。

同じ日、北陸電力は会員サービス「ほくリンク」の会員のメールアドレス約55万件が外部に流出したと公表した。北陸電力の文書は配信サービスの名前を出していないが、委託先から受けた連絡として書いた「10月28日から31日」「最大約380社分、約7,700万件」「サービスの提供を全て停止」は、アララの第2報の数字と一致する。企業が自社で守っていたはずの顧客名簿が、委託の先にある1つの配信基盤を通じて、数百社分まとめて外へ出た。

第2報で何が広がったか

10月29日の初報で、アララが流出を認めたのは1つの共用環境だけだった。第2報では、それとは別に、サービスのサーバー1台を足場に多数のサーバーへ侵入し、データベースの中身を持ち出した経路が見つかった。

• 経路の発見: 10月31日の午前、原因を調べる過程で把握した。同日12時58分から不正に使われたアカウントと鍵を無効化し、各サーバーの通信を順に遮断した
• 範囲: 契約企業の環境のうちサーバー97台。対象の企業数は精査中で、現時点の推計が最大約380社
• 中身: メールアドレスに加え、契約企業が登録した氏名・性別・生年月日・電話番号・会員番号・住所など。項目は企業ごとに違う。クレジットカード番号は保有していない
• 件数: メールアドレス約7,700万件。1人が複数のアドレスを持ちうるため、人数を示す数字ではないと断っている

初報の共用環境も更新された。10月27日から28日にかけて管理画面に不正にログインされ、データの出力機能を使って持ち出された。関係する契約企業は61社、メールアドレスは重複を除いて338万6,187件で、うち5社では氏名や会社名を含む顧客データが最大41万1,827件出た。原因は初報の「Web サーバーの脆弱性」に、システム環境の問題が加わった。

配信サービス自体が、なりすましの送信元になった

持ち出しと並行して、サービスそのものが詐欺メールの送信に使われていた。10月28日から30日にかけて、2つの環境から、クレジットカード会社を装ったメールが最大約713万通送られた。送信元は news@arara.com、件名は「利用内容確認のご依頼」「ご利用明細確認のご依頼」など。宛先は攻撃者が外から持ち込んだアドレスだった。

最初の環境は10月28日7時に外部からのアクセスを止めたが、別の環境では同じ日の8時47分ごろから送信が続いていた。気づいたのは30日で、13時32分を最後に新たな送信は止まった。アララは10月31日19時53分にサービスの提供をすべて止め、再開の時期は未定としている。

名前と住所と電話番号がメールアドレスに結びついた名簿は、宛名入りのなりすましに使える。アララは、自社や契約企業を名乗るメール・SMS・電話・郵便物に注意するよう呼びかけた。北陸電力も、ほくリンクの会員に不審なメールへの注意を求めている。

委託の先の、さらに先

北陸電力の構図は二段になっている。ほくリンクの会員向けメールの配信を外部の運営会社に委託し、その運営会社が配信に使っていたのが外部のサービスだった。北陸電力が流出を知ったのは、運営会社からの連絡による。

同じ形は他の公表にも出ている。沖縄県は10月29日に更新したページで、「島まーる」のメールマガジン会員のアドレス2,560件が漏えいした可能性があると公表した。県の事業を受託した共同企業体が、配信に使っていたのがアララメッセージだった。

法人向けのメール配信サービスへの侵入は、10月に入って続いている。ラクスライトクラウドの「ブラストメール」は10月21日、API 用のサーバーに侵入され、全契約者の会社名・担当者名・連絡先などが持ち出されたと公表した。どちらも、1社の配信基盤に、多数の企業の顧客名簿が預けられていた。

企業の情報管理は、自社のシステムと直接の委託先までは点検されやすい。委託先がさらに使う外部のサービスは、その企業の目録に載りにくい。今回、数百社が同時に影響を受けたのは、その層に名簿が集まっていたからだ。

次に見るもの

アララとペイクラウドホールディングスは、件数と対象企業の精査の結果、業績への影響を「第3報」で示すとしている。確認先は東証の適時開示に出るペイクラウドホールディングス (証券コード 4015) の第3報と、アララのサイトのお知らせ欄だ。最大約380社と推計された契約企業が、北陸電力のように順に自社の会員への連絡を公表していくはずで、自治体や公益事業者の名前がどこまで並ぶかが、この侵害の実際の広さを示す。

ことば

• メール配信サービス — 企業がメールマガジンや会員向けのお知らせを大量に送るために使う外部のサービス。送るために会員のアドレスや属性を預けるので、名簿の保管場所にもなる。
• 再委託 — 委託を受けた会社が、仕事の一部をさらに別の会社やサービスに任せること。元の企業から見えにくい層に、顧客の情報が置かれることがある。
• 個人情報保護委員会 — 個人情報の取り扱いを監督する国の機関。漏えいが起きた事業者は報告を求められ、アララは10月29日に速報を出し、11月2日に続きを報告する予定とした。

🔗 一次ソース

• 北陸電力「北陸電力会員サービス『ほくリンク』会員のメールアドレス外部流出について」(2026年11月2日・約55万件と委託先からの連絡内容)rikuden.co.jp
• アララ「『アララメッセージ』への不正アクセスによる情報流出およびサービス停止について (第2報)」(2026年11月2日・サーバー97台・約7,700万件・不審メール最大約713万通)arara.com
• ペイクラウドホールディングス 適時開示 第2報 (2026年11月2日)contents.xj-storage.jp
• ペイクラウドホールディングス 適時開示 初報 (2026年10月29日・約301万件)contents.xj-storage.jp
• アララメッセージ お知らせ一覧am.arara.com
• 沖縄県「島まーる」メールマガジン会員のアドレス漏えいの可能性 (2026年10月29日更新・2,560件)沖縄県公式ホームページ
• ブラストメール「お知らせ」(2026年10月21日公表・API 用サーバーへの侵入)info.blastmail.jp