対象：アララ株式会社のメール配信サービス「アララ メッセージ」（ASP repicaシリーズを含む）を使う企業・団体から、メールマガジンや通知メールを受け取っている人と、このサービスを使っている企業・団体。本記事はアララ株式会社と、影響を公表した利用企業・団体の公式発表にもとづく解説で、攻撃の手順は扱いません。
続報待ち：この記事は公式発表に合わせて更新します
- 対象者
アララ株式会社のメール配信サービス「アララ メッセージ」（ASP repicaシリーズを含む）を使う企業・団体から、メールマガジンや通知メールを受け取っている人と、このサービスを使っている企業・団体。
- 影響が確認された範囲表で見る ↓
- 個人情報の持ち出し（契約企業の環境）
- メールアドレスの件数
- 共用環境
さらに6件
- 環境B
- 持ち出しの期間
- 会員情報の項目
- 不審メールの送信
- サービスの状況
- 公的機関への届出
- 未確認事項
- メールアドレスのみ／属性情報を伴うものの内訳（精査中）
- 対象になる契約企業の数と名前（最大約380社は推計）
- 各社の対象者と項目（アララから各社へ個別に案内中。環境Bの契約企業にも個別に連絡）
さらに4件
- 契約企業の担当者の情報（管理画面を使う人の氏名・メールアドレス等）への影響
- 侵入の開始時期と経路
- サービスの再開時期
- 業績への影響（精査中）
- 今やること手順を見る ↓
- news@arara.com から届いたカード会社名のメールは、開かずに削除する
- 配信元の企業を名乗るメールのリンクや添付ファイルを、今後しばらく開かない
- 使っているサービスが公表していないか、下の表で確かめる
さらに1件
- パスワードやカード番号を求められても入力しない
- 最終確認日時
- 2026年11月7日（日本時間）時点（アララのお知らせページの最終更新は11月6日21時。次回更新は11月7日12時ごろの予定で、確認した時点では未掲載）
発表の続報予定と確認の記録
アララ株式会社は、11月6日の第3報で、メールアドレスの件数に環境Bの分を加えて更新しました。メールアドレスのみ／属性情報を伴うものの内訳は精査中で、業績への影響も引き続き精査中、サービスの再開時期は未定です。お知らせページには、お客様ごとの影響状況は、調査結果が確定した契約企業から順次個別に案内している、と書かれています。
メールを受け取る人が今日やること
アララ株式会社のサービスは、企業や団体がメールマガジンやお知らせを送るための仕組みです。メールを受け取る人は、アララではなく、配信元の企業や団体にメールアドレスを登録しています。そのため、自分が対象かは、配信元の企業のお知らせで確かめます。
news@arara.com から届いたカード会社名のメールは、開かずに削除する
アララ株式会社は、10月28日から30日に、同社のサービスが不正に使われ、クレジットカード会社を装った不審メールが最大約713万通送られたと発表しています。送信元は「news@arara.com」、件名は「利用内容確認のご依頼」「ご利用明細確認のご依頼」などです。
同社は、受信した場合は本文のURLにアクセスせずメールを削除するよう呼びかけています。リンク先でクレジットカード情報などを入力した場合は、速やかにカード発行会社へ連絡してください。送信先は第三者が外部から持ち込んだメールアドレスで、このメールが届いたことは、あなたのアドレスが持ち出された証拠ではありません。
配信元の企業を名乗るメールのリンクや添付ファイルを、今後しばらく開かない
持ち出されたアドレスや会員情報を悪用して、配信元の企業を名乗る偽のメールやSMSが届くおそれがあります。氏名や会員番号が書かれていても、本物とは限りません。確かめるときは、公式アプリか、自分でブックマークした公式サイトから開きます（見分け方は フィッシングとは）。
使っているサービスが公表していないか、下の表で確かめる
下の「影響を公表した利用企業・団体」の表に、各社のお知らせを並べています。表にない企業も、これから発表する可能性があります。メールマガジンを受け取っている企業の公式サイトのお知らせ欄を、ときどき確認してください。個別の連絡が来る場合も、メールのリンクからでなく、公式サイトのお知らせと照らし合わせると確実です。
パスワードやカード番号を求められても入力しない
アララ株式会社は、同社からパスワードやクレジットカード情報などの入力をお願いするメールを送ることはないとしています。利用企業各社も同様の案内を出しています。入力を求めるメールが来たら、メールからではなく公式サイトから確かめます。
送信先は「持ち出されたアドレス」とは限らない
アララ株式会社の第2報によれば、不審メールの送信先は「第三者が外部から持ち込んだメールアドレス」です。同社のサービスが不正に利用された（同社）ため、送信元がnews@arara.comと表示されます。逆に、このメールが届かなくても、あなたのアドレスが持ち出されていないとは言えません。
影響を公表した利用企業・団体
アララ株式会社のサービスを使う企業・団体が、それぞれお知らせを出しています。以下は、当サイトが各社・各団体の公式ページを11月5日から7日に開いて内容を確認したもので、お知らせの中でアララ株式会社（または同社のサービス名）を挙げているものだけです。発表の古い順に並べています。
各社の状態は、各社の言葉どおりに書いています。アララ株式会社は対象の契約企業の名前を公表していません。各社の件数は、約8,133万件と足したり比べたりできません（各社の件数どうしにも、同じ人のアドレスが重なっている可能性があります）。
| 企業・団体 | 配信に使っていたもの（各社の発表） | 対象になりうる情報（各社の発表） | 状態 | 発表日 |
|---|---|---|---|---|
| 鹿児島銀行・南日本銀行・鹿児島相互信用金庫・鹿児島信用金庫（Payどん） | 「Payどん」アプリのメール通知（メール送信をアララ株式会社に委託）。メール通知機能と新規登録を停止 | Payどんのユーザーと加盟店のメールアドレス、決済情報（日時、店舗名、お支払い金額）。件数の記載なし。二次被害の報告はなし | 可能性（4行庫） | 10月28日 |
| 沖縄県（離島とのつながり促進事業「島まーる」） | メールマガジン（事業の受託事業者がアララ メッセージを利用） | メールアドレス2,560件。名前などの情報の漏洩はない | 可能性（県） | 10月29日 |
| スズキ（スズキメディアサイト） | 報道関係者向けニュースリリース等の配信（サービス提供事業者の下でアララ株式会社がメール配信を担当） | 登録されたメールアドレス最大2,575件。氏名・住所等は含まれない。悪用や二次被害は確認されていない | 可能性（同社） | 10月30日 |
| ビックカメラ・コジマ・ソフマップ（3社連名） | メール配信等を委託。アララ株式会社提供のメール配信システム | メールアドレス等。グループ合計約1,490万件。クレジットカード情報と各社ネット通販サイトのログイン情報は当該サービスで扱っておらず対象外。具体的な二次被害は確認されていない | 可能性（各社） | 11月2日 |
| 大阪ガス（おかずの定期便「FitDish」） | 「FitDish」のお客さまへのメール配信 | メールアドレス34,489件（10月8日〜29日に配信されたもの）。氏名、住所、電話番号、クレジットカード情報、購買データ等は含まれない | 漏えいを確認（同社） | 11月2日 |
| キンコーズ・ジャパン | スマートメンバーシップ会員向けのメールマガジン | メールアドレス（件数は確認中）。氏名、会員証番号、登録日、誕生日、お気に入り店舗は、現時点では流出は確認されていない。当初は対象外との回答を受けていたが、第2報後の再確認で流出が確認された | 漏えいを確認（同社）。ほかの項目は確認されていない | 11月2日 |
| アソビュー（当サイトの解説） | アソビュー！会員向けのメール配信（アララ株式会社のサービスに会員情報を預託） | 15,821,184件。メールアドレス、会員ID・会員番号、氏名、性別、生年月日、電話番号、郵便番号、地域、チケットの購入・利用情報など。パスワードとクレジットカード情報は預託しておらず対象外。対象の会員の特定はこれから | 漏えいを確認（同社） | 11月3日 |
| 横浜ゴム | 「ニュースリリース配信」「ニュースメール配信」（メール配信を委託している事業者経由） | 登録されている会社名とメールアドレス。件数の記載なし。当初はアララ株式会社から関連する漏洩は確認されていないとの報告だったが、11月3日に漏洩の連絡を受けた | 漏えいを確認（同社） | 11月3日 |
| ワークマン | 「ワークマンオンラインストアメールマガジン」。オンラインサイトの各種通知メール（アプリ内通知を含む）は同サービスを使っておらず影響なし | メールアドレス、最大約145万件。メールアドレス以外の情報流出はない。10月29日には会員のアドレスは含まれないとの連絡だったが、11月2日に流出の緊急報告を電話で受けた（書面で確認中） | 漏えいを確認（同社） | 11月4日 |
| JR九州 | 分譲マンションのモデルルーム来場者・資料請求者向けのメールマガジン（配信業務を委託した事業者がアララ株式会社のサービスを利用） | 氏名、メールアドレス。最大約13,000件。住所、電話番号等は漏洩の可能性はない。二次被害は確認されていない | 可能性（同社） | 11月4日 |
| TKC | TKCのシステムを使う顧客向けのメール配信（配信業務をアララ株式会社に委託）。TKCの各サービスはメールを送れない状態 | メールアドレス、最大2,230,812件。メール本文、マイナンバー、市町村への申請情報等は漏えいしていない。どの顧客のアドレスかは調査中（第3報） | 漏えいを確認（同社） | 11月4日 |
| 琉球銀行（第2報） | メール配信の外部サービス「repica」（アララ株式会社提供）。配信は停止中 | メールアドレス96,477件（10月8日〜29日に配信したメールの一部）。氏名、住所、口座情報、暗証番号等の流出は確認されていない。対象者は特定中（第2報） | 漏えいを確認（同行） | 11月4日 |
| Zaif | 各種お知らせメールの配信（アララ株式会社のサービス）。配信を一時停止 | メールアドレス380,536件（重複を除く）。氏名等の属性情報とメール本文は含まれない。パスワード等の認証情報も含まれない。現在の利用者の件数は確認中（第2報） | 漏えいを確認（同社） | 11月4日 |
| IIJ（IIJmio） | IIJmioのお客様へのメール配信 | メールアドレス983,458件（解約済みを含む）。お客様属性情報の詳細はアララ株式会社に確認中。クレジットカード情報は連携しておらず対象外 | 漏えいを確認（同社） | 11月4日 |
| はせがわ | メール配信サービスと連携したアララ株式会社の「repica」のサーバー | メールアドレス305件（10月8日〜29日に配信されたもの）。同社が保存する氏名・購買データと、メールの件名・本文は対象外（第一報） | 漏えいを確認（同社） | 11月4日 |
| トライベック | 同社のメール配信用の情報（配信ログ）。ビジネス書式サイト「bizocean」のサイト・会員情報と広告サービス（メルマガ配信を含む）は同サービスを利用しておらず対象外 | 61,213件（重複・テストメール含む）。メールアドレスと差し込み文字列（氏名など、メールの差し込み項目として設定した情報） | 漏えいを確認（同社） | 11月4日 |
| ちょびリッチ | 会員向けのメール配信（アララ メッセージ）。メール配信を停止し、会員への連絡はサイト上のお知らせで行う | メールアドレス1,348,525件（会員数ではない）。メールアドレス、会員番号、ニックネーム、生年月日、性別、居住地（都道府県のみ）、保有ポイント数が流出した可能性。氏名、電話番号、パスワード、銀行口座情報は預けておらず対象外。対象の会員の特定はこれから | 可能性（同社） | 11月4日 |
| モスフードサービス | 「モスWEB会員」向けのメールマガジン等の配信（「repica」、提供元アララ株式会社） | 7,517,087件。メールアドレス、年齢、性別、お住まいの都道府県等。クレジットカード情報等の決済関連情報は含まれない | 漏えいを確認（同社） | 11月4日 |
| GMOペイメントサービス | 同社の委託先の法律事務所が、メール配信に使っていた「アララ メッセージ」。2026年7月20日から10月30日にメール配信の対象になった人の情報 | メールアドレスのみ最大101,226件。メールアドレス、氏名、請求金額、請求内容（購入・利用店舗、商品等）、問い合わせ番号、通知内容の分が最大5,771件。合計最大106,997件（同社の記載）。対象の人には個別にメールで案内。同社のシステムとサービスへの影響はない | 漏えいを確認（同社） | 11月5日 |
| サイバード | 複数のサービスでアララ株式会社のメール配信サービスを利用。対象のサービスと人は特定できていない | メールアドレス98,738件。アララから報告を受けている流出情報はメールアドレスのみ。同社の各サービスへの不正アクセスは確認されていない | 漏えいを確認（同社） | 11月6日 |
| パシフィックリーグマーケティング（パ・リーグ5球団のメール配信） | 球団公式サイトの有料会員で対象サービスのメール配信を希望し、球団が2026年7月1日以降に配信したアドレスが対象。試合速報などのメール配信（日本ハム、楽天、西武、ロッテ、ソフトバンク）。5球団はアララのサービスの利用を停止。オリックスは同サービスを使っていない | メールアドレスのみ。球団ごとに日本ハム3,575件、楽天1,165件、西武2,693件、ロッテ2,618件、ソフトバンク3,660件（同社の合計の記載は13,711件）。ファンクラブ会員情報は対象外。二次被害は確認されていない。なお、同じお知らせにある千葉ロッテマリーンズの球団公式サイトへの不正アクセスは、アララとは別の事象として書かれている | 漏えいを確認（同社） | 11月6日 |
「影響がない」と言われていた企業が、後から対象になった
ワークマン、横浜ゴム、キンコーズ・ジャパンのお知らせには、10月28日から29日の最初の連絡では自社の環境は対象外（または関連する情報漏洩は確認されていない）とされていたのに、11月2日の第2報の前後に流出の連絡を受けたと書かれています。第2報で、不正アクセスが確認されたサーバーが、共用環境から契約企業の環境へ広がったためです。自社や利用中のサービスが「当初は影響なし」と案内されていても、続報で変わることがあります。
何が起きたのか（アララ株式会社の発表より）
以下は、アララ株式会社の2026年11月6日の第3報と、11月2日の第2報（同社の発表資料と、親会社の同日の適時開示）、お知らせページにもとづきます。同社は、10月29日の第1報で、共用環境のメールアドレス約301万件の流出を公表していました。
10月27日
偵察とみられるアクセスがあった（第3報で、第2報の「10月27日から28日」を訂正）。10月28日
第三者が、共用環境の管理画面に不正にログインし、データの出力機能などを悪用してデータを持ち出した。同社は16時31分に、この環境を緊急停止した（第2報、第3報）。10月28日
同社のサービスの一部の環境が不正に使われ、クレジットカード会社を装った不審メールの送信が始まった（3時59分ごろ）。7時に、この環境への外部からのアクセスを停止した。8時47分ごろから別の環境でも不正な送信が続いていた（10月30日に判明）。10月29日
第1報を公表し、個人情報保護委員会に速報を提出、警察に通報、JIPDECに速報した。10月28日〜31日
第三者が、同社のサービスのサーバーを経由して多数のサーバーに侵入し、データベースの内容を外部に持ち出した（契約企業の環境のサーバー97台）。第2報も10月28日〜31日と記載していた。同社は11月6日、11月2日に一部の取引先へ個別に伝えた「10月28日から29日までの間のいずれか」を誤りと訂正し、持ち出しは10月28日から31日の停止まで継続していた（日時はサーバーにより異なる）とした。別のクラウド環境（環境B）でも、この期間に認証情報を不正に使ったアクセスとデータの持ち出しがあった（第3報）。10月30日
不審メールの送信を把握し、13時26分に該当環境の通信を遮断した（13時32分を最後に新たな送信は確認されていない）。10月31日
午前に、サービスを経由したデータの持ち出しを把握。不正に使われた認証情報の無効化と各サーバーの通信の遮断を順次行い、サービスの提供をすべて停止した（停止開始は14時50分、完了は19時53分）。環境Bの認証情報も無効化し、環境Bを停止した（第3報）。11月2日
第2報を公表（親会社は同日、適時開示）。個人情報保護委員会へ今回判明した事項を報告する予定、JIPDECへ中間報を出す予定としている。11月6日
第3報を公表。環境Bのメールアドレス3,249,492件の持ち出しを加え、区分間の重複を除いた合計を81,329,467件とした。第2報の共用環境の件数は2,842,400件に訂正した。同日、お知らせページで、11月2日に一部の取引先へ個別に伝えた持ち出し期間（「10月28日から29日までの間のいずれか」）の誤りを訂正した。
メールの受信者・会員
配信元の企業にメールアドレスを登録している（氏名や会員番号などを登録している場合もある）
やること：配信元を名乗るメールのリンクを開かない
配信元の企業・団体（契約企業）
配信リストを管理し、アララ株式会社のサービスに登録してメールを送る。個人データを管理する立場
やること：対象かを確かめ、報告・通知の要否を判断
アララ株式会社（アララ メッセージ）
環境Aのサービス経由78,102,937件、共用環境2,842,400件、環境B3,249,492件。区分間の重複を差し引いた合計が81,329,467件
項目は契約企業ごとに違い、調査中
- サービス
- メール配信サービス「アララ メッセージ」とASP repicaシリーズ。停止中なのは、アララ メッセージGUI、API v1・v2、ASP repica editor・sender・auto-mail、BMAエラーリスト取得機能。オンプレミス版のrepicaは対象外。その他の同社サービスは影響なし
- 区分（1）サービス経由（環境A）
- 10月28日から、31日の停止まで継続（持ち出しの日時はサーバーにより異なる。11月2日の一部取引先への個別連絡の誤りを11月6日に訂正）、契約企業の環境のサーバー97台（最大約380社）でメールアドレスと会員情報の持ち出しを確認。第2報は約7,700万件（11月1日時点）、第3報は78,102,937件（メールアドレスのみ31,346,375件、属性情報を伴うもの46,756,562件）
- 区分（2）既報の共用環境（環境A）
- 10月27日は偵察とみられるアクセス、不正ログインと持ち出しは10月28日、契約企業61社。メールアドレスと属性情報等。第2報の3,386,187件を、第3報で2,842,400件（メールアドレスのみ2,507,311件、属性情報を伴うもの335,089件）に訂正し、一部テキスト情報が含まれていたとした。第2報の「うち5社の顧客データ最大411,827件」は、第3報では更新されていない
- 区分（4）環境B（第3報で追加）
- 10月28日〜31日に、認証情報を不正に使って環境Bにアクセスし、メールアドレス3,249,492件（メールアドレスのみ）を持ち出し。新たな不正アクセスではない。環境Bは、本サービスの他のサーバーとは別のクラウド上にある。第2報の時点では調査中で件数を確認できておらず、含めていなかった。10月31日に認証情報を無効化して停止
- 区分（3）不正利用
- 10月28日〜30日、2つの環境から不審メールを最大約713万通送信。メールアドレス以外の流出は、この送信自体では確認されていない
- 件数の注意
- 第3報の合計81,329,467件は、区分の間の重複を差し引いた数（メールアドレスのみ34,285,087件、属性情報を伴うもの47,044,380件。この内訳は精査中）。第2報は区分ごとの件数を重複がないものとして足すと80,386,187件で、第3報はそれより943,280件多い。件数はメールアドレスの数で、人数ではない。「持ち出された恐れ」は、記録の読み取り量から判断したもの（第2報）
- 項目
- メールアドレスと、契約企業が登録した項目（氏名、性別、生年月日、電話番号、会員番号、住所等。企業により異なる）、配信の宛先等の記録。クレジットカード番号は保有していない。管理画面を使う担当者の氏名・メールアドレス等への影響は確認中
- 原因として説明されたこと
- Webサーバーの脆弱性と、システム環境における問題が関係。侵入の開始時期と経路は調査中。一連の不正アクセスは、攻撃元の共通性などから、既報の不正アクセスを行った第三者によるものとみられる、としている
- 再開
- 侵入経路の特定、認証情報の全面的な変更、システムの安全性の確認などを行ったうえで判断する。時期は未定（第3報でも同じ）。再開にあたっては、契約企業に管理画面のパスワードやAPIキー等の再設定をお願いする予定
- 問い合わせ
- 契約企業向けのサポート窓口 03-5414-3611。直接契約の顧客専用で、販売代理店経由の場合は契約先へ（お知らせページより）
分かっていること・分かっていないこと
2026年11月7日時点の状態です。続報が出たら、この表の状態欄を書き換えます。
| 項目 | 発表の内容 | 状態 |
|---|---|---|
| 個人情報の持ち出し（契約企業の環境） | サーバー97台で、メールアドレスと会員情報の外部への持ち出しを確認（持ち出された恐れのあるものを含む。第2報） | 漏えいを確認（同社。恐れを含む） |
| メールアドレスの件数 | 81,329,467件（区分間の重複を除く。第3報）。第2報は約7,700万件。人数ではない。メールアドレスのみ34,285,087件、属性情報を伴うもの47,044,380件の内訳は精査中 | 確定（同社。内訳は精査中） |
| 対象の契約企業の数 | 最大約380社（第2報の推計。第3報は共用環境の61社と環境Bの社数を含むと説明）。名前は公表されていない | 調査中 |
| 共用環境 | 契約企業61社、2,842,400件（重複を除く。第2報の3,386,187件から訂正、第1報の約301万件から更新）。第2報の5社の顧客データ最大411,827件は第3報で更新なし | 漏えいを確認（同社） |
| 環境B | 3,249,492件、メールアドレスのみ。10月28日〜31日の一連の不正アクセスの期間中で、新たな不正アクセスではない。10月31日に認証情報を無効化して停止 | 漏えいを確認（同社） |
| 持ち出しの期間 | 10月27日は偵察とみられるアクセス。不正ログインと持ち出しは10月28日から、31日の停止まで継続（サーバーにより異なる）。11月2日の一部取引先への個別連絡の誤り（「10月28日〜29日のいずれか」）を11月6日に訂正（公表資料の第2報は28日〜31日と記載） | 確定（同社） |
| 会員情報の項目 | 氏名、性別、生年月日、電話番号、会員番号、住所等（契約企業により異なる）と、配信の宛先等の記録 | 漏えいを確認（同社。項目は企業ごとに違う） |
| クレジットカード番号 | 同社のサービスでは一切保有していない（第2報・第3報） | 含まれない（同社） |
| 管理画面・APIの認証情報 | 不正に使われた認証情報は無効化済み。再開時に再設定をお願いする予定。第2報の別表2の該当欄は「利用停止中」（サービス経由）「該当なし」（共用環境）で、持ち出されたかどうかは明記されていない | 記載なし |
| 契約企業の担当者の情報 | 管理画面を使う担当者の氏名・メールアドレス等への影響は確認中 | 調査中 |
| 不審メールの送信 | 10月28日〜30日、2つの環境から最大約713万通。送信元news@arara.com。送信先は第三者が外部から持ち込んだアドレス | 確定（同社） |
| 原因 | Webサーバーの脆弱性と、システム環境における問題。侵入の開始時期・経路は調査中 | 調査中 |
| 漏えいした情報の悪用 | アララの発表に記載なし。ビックカメラ・コジマ・ソフマップ、アソビュー、Zaifは、お知らせで現時点の二次被害・悪用は確認されていないとしている | 確認されていない（各社） |
| サービスの状況 | 10月31日に全サービスを停止。再開は未定（第3報）。予約済みの配信も実行されない | 確定（同社） |
| 公的機関への届出 | 個人情報保護委員会に10月29日に速報、11月2日に中間報告、11月6日に追加報告する予定。総務省関東総合通信局に11月4日に報告、11月6日に追加報告の予定。警察に10月29日通報済み。JIPDECに10月29日速報、11月4日に中間報告、11月6日に追加報告の予定 | 確定（11月4日までの分。11月6日の追加報告は予定と記載） |
| 業績への影響 | 引き続き精査中（第3報） | 調査中 |
各社の件数と、約8,133万件は比べられない
81,329,467件（約8,133万件）は、アララ株式会社が区分の間の重複を除いて示した、同社全体のメールアドレスの数です。ワークマンの最大約145万件やアソビューの15,821,184件のような各社の件数は、その一部にあたる可能性がありますが、どの企業がいくつ含まれるかは公表されていません。数え方が違うので、足したり引いたりできません。
メールアドレスや会員情報で何が起きうるか
一般に、次の組み合わせがそろうと、次のような悪用が起きえます。今回それが起きたという意味ではありません。
- メールアドレス＋配信元の企業名：その企業を名乗る偽のメールが、本物のメルマガと同じ宛先に届く。受け取る人は「いつもメルマガが来る会社」と思い込みやすい
- 氏名＋電話番号＋住所：本文に本名を入れた偽メールや偽SMS、電話による本人確認の偽装が作れる
- 会員番号＋氏名＋生年月日：会員サービスからの連絡らしく装い、「本人確認」を理由に追加の情報を聞き出す材料になる
- 利用履歴（購入した券の種類、利用施設、決済の日時・金額など）：実際の予約や決済にもとづく、もっともらしい「キャンセル」「返金」の連絡の材料になる
1つの配信サービスから、それを使う多数の組織の宛先が漏れた事案には、2026年10月の ユミルリンクのメール配信「Cuenote FC」への不正アクセス や 「ブラストメール」への不正アクセス もあります。いずれも、自分が対象かは、メールを受け取っている組織のお知らせで確かめる形でした。
アララ メッセージを使っている企業・団体がやること
アララ株式会社は、第2報の公表後速やかに、すべての契約企業に連絡し、各社の環境が対象かどうかと流出した情報の内容を個別に連絡するとしています。第3報では、環境Bを利用していた契約企業にも個別に連絡するとしています。表のとおり、最初の連絡では対象外とされていた企業が後から対象になった例もあります。
自社の環境が対象かを、アララ株式会社の個別連絡と問い合わせ窓口で確かめる
同社の連絡を待つだけでなく、契約企業向けのサポート窓口（03-5414-3611、直接契約の顧客専用。販売代理店経由の場合は契約先）に確かめます。連絡のあった項目と件数を、自社で配信システムに登録していた項目と照らし合わせてください。
個人情報保護委員会への報告は、連名報告の申込期限（11月9日18時）を確認する
アララ株式会社は、民間の企業・団体は同社と連名で、行政機関・地方公共団体等は同社が代行して、個人情報保護委員会へ報告できるとしています。申し込みの期限は2026年11月9日（月）18時です。申し込んだ場合は自社での報告は不要で、速報の目安期間を超えても報告の遅れとして扱わない旨を同委員会に確認していると書かれています。自社で個別に報告する場合は、申し込みは不要です。
プライバシーマークの付与事業者がJIPDECへ報告する場合は、連名報告の対象外で、自社で対応します。手続きは 同社の案内ページ にあります。本人への通知が必要かの判断は、同委員会の窓口や専門家に相談してください。
11月2日の個別連絡で持ち出し期間を伝えられた場合は、訂正後の期間に直す
同社のお知らせページによれば、11月2日に一部の取引先へ個別に伝えた持ち出し期間（「10月28日から29日までの間のいずれか」）は誤りで、正しくは、10月28日から31日にサービスを停止するまでの間、継続して各サーバーからデータが持ち出されていました（日時はサーバーにより異なる）。個人情報保護委員会等への報告や社内の説明に前の期間を使っている場合は、訂正後の期間に改めてください。
予約済みの配信は停止中は実行されない。重要な連絡は別の手段に切り替える
お知らせページによれば、サービス停止中は、管理画面とAPIが使えず、予約済みのメール配信も実行されません。予約配信にしていた請求、期限、キャンペーンなどの連絡が届かない状態です。重要な連絡は、公式サイトへの掲載やアプリの通知など、別の手段で知らせます。TKCやはせがわのように、別のメール配信の基盤への切り替えを進めている例もあります。
再開前に、自社側の認証情報を見直す
アララ株式会社は、再開にあたって管理画面のパスワードやAPIキー等の再設定をお願いする予定としています。当サイトの助言として、同じパスワードを他のサービスでも使っていないか、APIキーを自社の他のシステムや設定ファイルに書き込んでいないかを、再開前に確かめておくと、再設定が早く済みます。
受信者に注意を呼びかける
お知らせでは、各社とも、自社を名乗る不審なメールのリンクを開かないよう呼びかけています。呼びかけのメールそのものにリンクを入れない、配信を止めている間は届くメールが偽物の可能性が高いと伝える、といった工夫が役立ちます。
当サイトの視点：配信システムが止まったとき、メールだけに頼る連絡が止まる
今回は、配信システムの情報が漏れたことに加えて、サービスが全面停止し、予約済みの配信も実行されない状態が続いています。表の企業にも、「メール通知機能を停止（Payどん）」「各種お知らせメールの配信を一時停止（Zaif）」「TKCの各サービスがメールを送信できない」とあるように、止まる範囲は企業によって違います。
メールで送っている連絡を、種類ごとに一覧にする
請求・期限の通知、認証コード、予約の確認、キャンペーンなどを分け、配信システムが数日止まったとき困るものに印を付けます。
止まったときの代替手段を決めておく
同じ事業者に頼らない別の配信基盤、公式サイトのお知らせ、アプリの通知などを、止まる前に決めておきます。表の企業のように、止まった後に切り替えを探すと、その間の連絡が空きます。
配信システムに登録する項目を最小限にする
表のとおり、同じ事案でも、メールアドレスだけの企業から、氏名・生年月日・購入情報まで登録していた企業まで、影響の大きさが大きく違います。差し込みや絞り込みに使っていない項目は、登録をやめます。
出典（公開記録）
本記事の事実関係は以下の公開情報にもとづきます。公表されていない不正アクセスの手口は推測していません。
- アララ株式会社「当社が提供する「アララメッセージ」への不正アクセスによる情報流出およびサービス停止について（第３報）」（2026年11月6日） — arara.com
- アララ株式会社「【重要】アララ メッセージのサービス停止および個人情報流出に関するお詫びとご報告」（2026年11月6日21:00更新のお知らせページ。11月7日に確認。持ち出し期間の訂正を含む） — am.arara.com
- アララ株式会社「当社が提供する「アララメッセージ」への不正アクセスによる情報流出およびサービス停止について（第2報）」（2026年11月2日） — arara.com
- アララ株式会社「個人情報保護委員会への連名報告・代行報告に関するご案内」 — am.arara.com
- ペイクラウドホールディングス株式会社「当社連結子会社が提供する「アララメッセージ」への不正アクセスによる情報流出およびサービス停止について（第2報）」（2026年11月2日、適時開示） — xj-storage.jp
- 株式会社鹿児島銀行ほか3行庫「Ｐａｙどんへの不正アクセスによる個人情報漏えいの可能性に関するお知らせとお詫び」（2026年10月28日） — kagin.co.jp
- 沖縄県「「離島とのつながり促進事業（島まーる）」における、メールマガジン配信サービスに対する不正アクセスによる情報漏洩の可能性について」（2026年10月29日） — pref.okinawa.jp
- スズキ株式会社「弊社委託先における個人情報漏洩の可能性について」（2026年10月30日） — suzuki.co.jp
- 株式会社ビックカメラ・株式会社コジマ・株式会社ソフマップ「業務委託先への不正アクセスによるメールマガジン登録のお客様情報漏えいに関するお詫びとお知らせ」（2026年11月2日） — biccamera.com
- 大阪ガス株式会社「当社委託先のメール配信サービスへの不正アクセスによるお客さま情報の流出について」（2026年11月2日） — osakagas.co.jp
- キンコーズ・ジャパン株式会社「メール配信サービス「アララメッセージ」への不正アクセスによるお客様のメールアドレス流出に関するお詫びとお知らせ（第一報）」（2026年11月2日） — kinkos.co.jp
- アソビュー株式会社「委託先メール配信サービスへの不正アクセスに関するお詫びとお知らせ」（2026年11月3日） — asoview.co.jp
- 横浜ゴム株式会社「当社利用のメール配信サービスにおける個人情報漏洩について」（2026年11月3日） — y-yokohama.com
- 株式会社ワークマン「アララ社の不正アクセスによるワークマンオンラインストアメールマガジン会員様メールアドレスの流出に関するお詫びとお願い」（2026年11月4日） — workman.co.jp
- 九州旅客鉄道株式会社「メール配信サービスの提携先（アララ社）への不正アクセスに伴う電子メールアドレス等の漏洩の可能性について」（2026年11月4日） — jrkyushu.co.jp
- 株式会社TKC「メール配信委託先への不正アクセスによる情報漏えいに関する件（第3報）」（2026年11月4日） — tkc.jp
- 株式会社琉球銀行「当行委託先提供のメール配信サービスへの不正アクセスによるお客さまメールアドレス流出について（第2報）」（2026年11月4日） — ryugin.co.jp
- Zaif「業務委託先（アララ株式会社）への不正アクセスに伴う情報流出について（第2報・2026年11月4日）」 — corp.zaif.jp
- 株式会社インターネットイニシアティブ「当社が利用するメール配信サービスへの不正アクセスによるお客様情報の漏えいについて」（2026年11月4日） — iij.ad.jp
- 株式会社はせがわ「メール配信委託先への不正アクセスに伴う個人情報の漏洩に関するお詫びとお知らせ（第一報）」（2026年11月4日） — hasegawa.jp
- トライベック株式会社「アララ株式会社への不正アクセスによる個人情報漏えいに関するお詫びとお知らせについて」（2026年11月4日） — tribeck.jp
- 株式会社ちょびリッチ「委託先メール配信サービスへの不正アクセスに関するお詫びとお知らせ」（2026年11月4日） — chobirich.co.jp
- 株式会社モスフードサービス「委託先メール配信サービスへの不正アクセスによるお客様情報の流出に関するお詫びとお知らせ」（2026年11月4日） — mos.co.jp
- GMOペイメントサービス株式会社「アララ株式会社で発生した不正アクセスに伴う個人情報の漏洩について」（2026年11月5日） — gmo-ps.com
- 株式会社サイバード「【重要なお知らせ】メール配信サービス（アララ株式会社）への不正アクセスによる個人情報流出に関するお詫びとお知らせ」（2026年11月6日） — cybird.co.jp
- パシフィックリーグマーケティング株式会社「不正アクセスによるお客様メールアドレス等流出のお詫びとお知らせ」（2026年11月6日。スポーツマニア掲載のプレスリリース） — sportsmania.jp
- 個人情報保護委員会「漏えい等の対応とお役立ち資料」 — ppc.go.jp
更新履歴
2026-11-07：第3報（11月6日）を反映し、持ち出されたメールアドレスを約7,700万件から、区分間の重複を除いた81,329,467件（約8,133万件）に改めた。別のクラウド環境（環境B）の3,249,492件の加算、共用環境の件数の訂正（3,386,187件から2,842,400件）、11月2日の一部取引先への個別連絡の持ち出し期間の訂正（10月28日から31日の停止まで継続）を書き、利用企業の表にトライベック、ちょびリッチ、モスフードサービス、GMOペイメントサービス、サイバード、パシフィックリーグマーケティングを加えた。お知らせページは11月6日21時の更新で、11月7日12時ごろの更新予定は確認時点では出ていない。
2026-11-05：初版。アララ株式会社の11月2日の第2報（約7,700万件、最大約380社、不審メール最大約713万通）と、利用企業・団体15件の公式お知らせにもとづく。お知らせページの最終更新は11月4日21時で、11月5日12時ごろの更新予定は、この記事の作成時点では出ていない。
次に読む
- 同じ型の事案：ユミルリンクのメール配信「Cuenote FC」への不正アクセス ／ メール配信「ブラストメール」への不正アクセス ／ JR東日本・ビューカード・JR九州のメールアドレス漏えい
- 利用企業の個別の解説：アソビュー！の会員情報の漏えい
- 偽メールの見分け方：フィッシングとは ／ 自分のアドレスから迷惑メールが届いたとき
- 送信元の確かめ方（運営者向け）：SPF・DKIM・DMARCの基本
- 2026年の他の事案：情報漏えい・サイバー攻撃の一覧（国内・海外）