适用对象：收到使用 Arara Inc. 电子邮件投递服务 Arara Message（包括 ASP repica 系列）的企业和机构所发电子报或通知邮件的人，以及使用该服务的企业和机构。本文基于 Arara Inc. 及已披露影响的客户机构的官方通知撰写，不涉及攻击手法的细节。
事态发展中：本文将随机构发布更多信息而更新
- 适用对象
收到使用 Arara Inc. 电子邮件投递服务 Arara Message（包括 ASP repica 系列）的企业和机构所发电子报或通知邮件的人，以及使用该服务的企业和机构。
- 已确认的影响范围查看表格 ↓
- 被获取的个人数据（客户环境）
- 电子邮件地址数量
- 共用环境
另外6项
- 环境B
- 获取期间
- 会员数据项目
- 伪造邮件的发送
- 服务状态
- 向主管部门的报告
- 尚未确认的事项
- 仅邮件地址与含属性地址的划分（核实中）
- 受影响客户企业的数量和名称（最多约380家为估计）
- 各企业受影响的人员和项目（Arara 正在逐一通知客户，包括环境B的客户）
另外4项
- 对客户工作人员数据的影响（使用管理控制台的人员的姓名和电子邮件地址）
- 入侵何时以及如何开始
- 服务何时恢复
- 对业绩的影响（仍在审查中）
- 现在要做的事查看步骤 ↓
- 对来自 news@arara.com、冒充信用卡公司的邮件，不要打开，直接删除
- 暂时不要打开声称来自您订阅的发件人的邮件中的链接或附件
- 在下方表格中查看您所用的服务
另外1项
- 被要求输入密码或卡号时，不要输入
- 最后核实
- 截至2026年11月7日（日本时间；Arara 的通知页面最后更新于11月6日21:00；下一次更新预定在11月7日12:00前后，核对时尚未出现）
续报计划与核实记录
Arara Inc. 在11月6日的第三次报告中，加入环境B更新了电子邮件地址的数量。公司表示，仅邮件地址与含属性地址的划分以及对业绩的影响仍在审查中，恢复日期尚未确定。其通知页面称，正在从结果已确认的客户开始，逐一向各客户企业通知其各自受到的影响。
电子邮件收件人今天应该做什么
Arara Inc. 的服务是企业和机构用来发送电子报和通知的服务。收件人是向发件企业或机构登记了电子邮件地址，而不是向 Arara 登记，因此请通过发件方自己的通知来确认是否受影响。
对来自 news@arara.com、冒充信用卡公司的邮件，不要打开，直接删除
Arara Inc. 表示，10月28日至30日，其服务被滥用，发送了最多约713万封冒充信用卡公司的伪造邮件。发件人为“news@arara.com”，主题包括请求确认信用卡使用情况或使用账单。
公司请收件人不要打开正文中的网址，并删除该邮件。如果您已在链接中输入了卡片信息，请立即联系发卡机构。收件人是第三方从外部带入的电子邮件地址，因此收到这类邮件并不能证明您的地址被获取。
暂时不要打开声称来自您订阅的发件人的邮件中的链接或附件
被获取的地址和会员数据可能被用于以发件企业名义发送的伪造邮件或短信。即使消息显示了您的姓名或会员号码，也可能不是真的。如需核实，请打开官方应用或您已收藏的官方网站（如何识别假冒信息：什么是网络钓鱼？）。
在下方表格中查看您所用的服务
下方表格列出了各企业的通知。不在表格中的企业日后仍可能发布通知。请不时查看您收到其电子报的网站的通知页面。如果您收到了个别通知，请与官方网站上的通知对照，而不要依赖邮件中的链接。
被要求输入密码或卡号时，不要输入
Arara Inc. 表示，其不会发送要求输入密码或卡片信息的邮件，客户企业也有类似的说明。如果邮件要求您输入这些信息，请改为通过官方网站核实。
收到伪造邮件的地址不一定是被获取的地址
根据 Arara Inc. 的第二次报告，伪造邮件发往的是“第三方从外部带入的电子邮件地址”。公司的服务被滥用（据公司），因此发件人显示为 news@arara.com。反过来，没有收到伪造邮件也不代表您的地址没有被获取。
已披露影响的客户机构
使用 Arara Inc. 服务的机构已发布各自的通知。下表列出的是本站在11月5日至7日打开各机构官方页面核实过的、且明确提到 Arara Inc.（或其服务）的通知。按公布顺序排列，最早的在前。
各状态均遵循该机构自己的措辞。Arara Inc. 没有公布其客户企业的名称。各机构给出的数量不能与约8130万相加或比较（同一个人的地址也可能出现在多家机构的数量中）。
| 机构 | 用该服务做什么（如其所述） | 可能受影响的数据（如其所述） | 状态 | 日期 |
|---|---|---|---|---|
| Kagoshima Bank、Minami-Nippon Bank、Kagoshima Sogo Shinkin Bank 和 Kagoshima Shinkin Bank（Pay-don） | “Pay-don”应用的邮件通知（邮件发送委托给 Arara Inc.）。邮件通知和新用户注册已暂停 | Pay-don 用户和商户的电子邮件地址，以及支付信息（日期时间、店铺名称、支付金额）。未给出数量。未报告二次危害 | 可能（四家银行） | 10月28日 |
| 冲绳县（离岛交流项目“Shimamaru”） | 电子报（该项目的承包方使用了 Arara Message） | 2,560个电子邮件地址。姓名等其他数据未泄露 | 可能（县） | 10月29日 |
| Suzuki（Suzuki Media Site） | 向媒体发送新闻稿（该网站服务提供商下的邮件投递由 Arara Inc. 负责） | 最多2,575个已登记的电子邮件地址。不含姓名和地址。未确认滥用或二次危害 | 可能（公司） | 10月30日 |
| Bic Camera、Kojima 和 Sofmap（联合通知） | 邮件投递委托给承包方；邮件投递系统由 Arara Inc. 提供 | 电子邮件地址等数据。集团合计约1490万。信用卡信息和网店登录信息不由该服务处理，不在范围内。未确认具体的二次危害 | 可能（各公司） | 11月2日 |
| Osaka Gas（“FitDish”餐食订购服务） | 发送给“FitDish”客户的邮件 | 34,489个电子邮件地址（10月8日至29日收到邮件的人）。不含姓名、地址、电话号码、信用卡信息和购买数据 | 已确认泄露（公司） | 11月2日 |
| Kinko's Japan | 发送给 Smart Membership 会员的电子报 | 电子邮件地址（数量核查中）。姓名、会员号码、注册日期、生日和常去门店：目前未确认泄露。该公司起初被告知其环境不在范围内，在第二次报告后重新核查才确认了泄露 | 已确认泄露（公司）；其他项目未确认 | 11月2日 |
| Asoview（本站解说） | 发送给 Asoview! 会员的邮件（会员数据委托给 Arara Inc. 的服务） | 15,821,184条记录。电子邮件地址、会员 ID 或号码、姓名、性别、出生日期、电话号码、邮政编码、地区、门票购买和使用数据等。密码和信用卡信息未委托，不在范围内。受影响会员的确认尚待进行 | 已确认泄露（公司） | 11月3日 |
| The Yokohama Rubber Co. | 新闻稿和新闻邮件的投递（经由负责邮件投递的承包方） | 已登记的公司名称和电子邮件地址。未给出数量。Arara Inc. 起初称无相关泄露，11月3日又告知该公司存在泄露 | 已确认泄露（公司） | 11月3日 |
| Workman | “Workman Online Store 电子报”。其网站上的通知邮件（包括应用内通知）不使用该服务，不受影响 | 电子邮件地址，最多约145万个。其他数据未泄露。10月29日被告知会员的地址不在其中，11月2日又接到泄露的紧急电话报告（书面确认待定） | 已确认泄露（公司） | 11月4日 |
| JR Kyushu | 发送给参观过公寓样板房或索取过资料的人的电子报（负责投递的承包方使用 Arara Inc. 的服务） | 姓名和电子邮件地址。最多约13,000条。住址和电话号码不存在泄露的可能。未确认二次危害 | 可能（公司） | 11月4日 |
| TKC | 向使用 TKC 系统的客户投递邮件（投递委托给 Arara Inc.）。TKC 的服务目前无法发送邮件 | 电子邮件地址，最多2,230,812个。邮件正文、My Number 和向市町村提交的申请未泄露。具体是哪些客户的地址仍在调查中（第三次报告） | 已确认泄露（公司） | 11月4日 |
| Bank of the Ryukyus（第二次报告） | 外部邮件服务“repica”（由 Arara Inc. 提供）。投递已暂停 | 96,477个电子邮件地址（10月8日至29日所发邮件的一部分）。未确认姓名、地址、账户信息和密码的泄露。受影响者的确认（第二次报告） | 已确认泄露（银行） | 11月4日 |
| Zaif | 通知邮件（Arara Inc. 的服务）。投递已暂时暂停 | 380,536个电子邮件地址（剔除重复）。不含姓名等属性，不含邮件正文，不含认证信息。当前用户的数量核查中（第二次报告） | 已确认泄露（公司） | 11月4日 |
| IIJ（IIJmio） | 发送给 IIJmio 客户的邮件 | 983,458个电子邮件地址（含已解约的合同）。客户属性的详情正与 Arara Inc. 确认中。信用卡信息未提供给该服务，不在范围内 | 已确认泄露（公司） | 11月4日 |
| Hasegawa | 与其邮件投递服务相关联的 Arara Inc. 的“repica”服务器 | 305个电子邮件地址（10月8日至29日收到邮件的人）。其保存的客户数据（姓名、购买数据）以及邮件主题和正文不在范围内（第一次报告） | 已确认泄露（公司） | 11月4日 |
| Tribeck | 其邮件投递信息（投递日志）。其表单网站“bizocean”及广告服务（包括电子报）的网站和会员数据不使用该服务，不在范围内 | 61,213条记录（含重复和测试邮件）。电子邮件地址和合并字符串（设为合并字段的项目，例如姓名） | 已确认泄露（公司） | 11月4日 |
| Chobirich | 向会员投递邮件（Arara Message）。已停止发送，改在其网站上通知会员 | 1,348,525个电子邮件地址（不是会员人数）。电子邮件地址、会员号码、昵称、出生日期、性别、居住都道府县和积分余额可能已泄露。姓名、电话号码、密码和银行账户信息未委托，不在范围内。受影响会员的确认尚待进行 | 可能（公司） | 11月4日 |
| MOS Food Services | 发送给“MOS WEB 会员”（“repica”，由 Arara Inc. 提供）的电子报等邮件 | 7,517,087条记录。电子邮件地址、年龄、性别、居住都道府县等。不含信用卡信息等与支付相关的信息 | 已确认泄露（公司） | 11月4日 |
| GMO Payment Service | 该公司承包方的律师事务所使用 Arara Message 发送邮件。2026年7月20日至10月30日期间邮件投递对象的数据 | 仅电子邮件地址：最多101,226个。电子邮件地址、姓名、账单金额、账单详情（使用或购买的店铺和商品）、咨询编号和通知内容：最多5,771个。合计最多106,997个（公司自己给出的数字）。受影响者通过电子邮件逐一通知。自身系统和服务未受影响 | 已确认泄露（公司） | 11月5日 |
| CYBIRD | 多项服务使用 Arara Inc. 的电子邮件投递服务。受影响的服务和人员尚未确定 | 98,738个电子邮件地址。Arara 向其报告的泄露项目只有电子邮件地址。未确认其自身服务遭到未经授权访问 | 已确认泄露（公司） | 11月6日 |
| Pacific League Marketing（五家太平洋联盟球队的邮件投递） | 向球队官方网站的付费会员中申请了该服务者，发送比赛动态等邮件，对象为各球队自2026年7月1日起发送过邮件的地址（Nippon-Ham、Rakuten、Seibu、Lotte、SoftBank）。五家球队已停止使用 Arara Inc. 的服务。Orix 不使用该服务 | 仅电子邮件地址。各球队：Nippon-Ham 3,575、Rakuten 1,165、Seibu 2,693、Lotte 2,618、SoftBank 3,660（公司给出的合计为13,711）。球迷俱乐部会员数据不在范围内。未确认二次危害。同一通知还提到千叶 Lotte Marines 官方网站遭未经授权访问，公司将其视为与 Arara 无关的另一件事 | 已确认泄露（公司） | 11月6日 |
被告知未受影响的企业，后来被发现受到影响
Workman、The Yokohama Rubber 和 Kinko's Japan 的通知称，在10月28日或29日的首次联系中，其自身环境被告知不在范围内（或未确认相关泄露），而在11月2日第二次报告前后又被告知存在泄露。原因是确认存在未经授权访问的服务器，从共用环境扩大到了客户企业的环境。即使起初被告知某项服务未受影响，后续也可能发生变化。
事件经过（依据 Arara Inc. 的通知）
以下内容基于 Arara Inc. 11月6日的第三次报告、11月2日的第二次报告（其新闻稿，以及其母公司当天的适时披露）及其通知页面。在10月29日的第一次报告中，公司曾公布共用环境中约301万个电子邮件地址泄露。
10月27日
发生了疑似侦察的访问（第三次报告更正了第二次报告的“10月27日至28日”）。10月28日
第三方未经授权登录共用环境的管理控制台，通过滥用数据导出等功能获取了数据。公司于16:31对该环境进行了紧急停止（第二次和第三次报告）。10月28日
该服务的部分环境被滥用，开始发送冒充信用卡公司的伪造邮件（约3:59）。7:00，公司停止了对该环境的外部访问。另一个环境中也从约8:47起继续发送伪造邮件（10月30日发现）。10月29日
公司发布第一次报告，向个人信息保护委员会提交初次报告，通知警方，并向 JIPDEC 发送初次报告。10月28日至31日
第三方通过该服务的服务器进入多台服务器，获取了数据库内容（客户企业环境中的97台服务器）。第二次报告已写明10月28日至31日。11月6日，公司更正了11月2日向部分客户个别告知的期间（“10月28日至29日之间的某个时间”）：数据从10月28日起持续被获取，直到10月31日停止（时间因服务器而异）。在另一个云环境（环境B）中，同一时期也有凭证被未经授权使用、数据被获取（第三次报告）。10月30日
公司发现了伪造邮件的发送，并于13:26切断了与该环境的通信（13:32之后未确认有新的发送）。10月31日
上午，公司发现数据是通过该服务被获取的。公司使被滥用的凭证失效，依次切断各服务器的通信，并停止了该服务的全部功能（14:50开始停止，19:53完成）。公司还使环境B的凭证失效并停止了环境B（第三次报告）。11月2日
公司发布第二次报告（其母公司当天提交了适时披露）。公司表示，计划向个人信息保护委员会报告新发现的事项，并向 JIPDEC 发送中期报告。11月6日
公司发布第三次报告。公司加入了从环境B被获取的3,249,492个地址，将剔除类别间重复后的总数定为81,329,467个，并将共用环境的数量更正为2,842,400个。同一天，其通知页面更正了11月2日向部分客户个别告知的获取期间（“10月28日至29日之间的某个时间”）。
电子邮件收件人和会员
向发件方登记了电子邮件地址（有时还有姓名、会员号码等）
应对：不要打开以发件方名义发来的邮件中的链接
发件的企业和机构（客户）
管理邮件列表，并将其登记到 Arara Inc. 的服务中以发送邮件。对个人数据负有责任
应对：确认是否受影响，并决定报告和通知事宜
Arara Inc.（Arara Message）
环境A中经由该服务的78,102,937个、共用环境中的2,842,400个、环境B中的3,249,492个。扣除重叠后的总数为81,329,467个
项目因客户而异；调查中
- 服务
- 电子邮件投递服务 Arara Message 以及 ASP repica 系列。已停止的部分为 Arara Message GUI、API v1 和 v2、ASP repica 编辑器、发送器和自动邮件，以及 BMA 错误列表功能。本地部署版 repica 不在范围内。公司的其他服务不受影响
- 类别（1）：经由该服务（环境A）
- 从10月28日起持续到10月31日停止（时间因服务器而异；11月2日向部分客户个别告知的期间已于11月6日更正）：已确认客户环境中的97台服务器上的电子邮件地址和会员数据被获取（最多约380家企业）。第二次报告称约7700万个（截至11月1日）；第三次报告称78,102,937个（仅邮件地址31,346,375个，含属性46,756,562个）
- 类别（2）：第一次报告中的共用环境（环境A）
- 10月27日是疑似侦察的访问；未经授权的登录和数据获取发生在10月28日。61家客户企业。电子邮件地址和属性信息。第三次报告将第二次报告的3,386,187个更正为2,842,400个（仅邮件地址2,507,311个，含属性335,089个），并称其中包含部分文本信息。第二次报告中的“五家企业最多411,827条客户数据”在第三次报告中没有更新
- 类别（4）：环境B（第三次报告新增）
- 10月28日至31日，凭证被未经授权使用而访问了环境B，3,249,492个电子邮件地址（仅邮件地址）被获取。这不是新的入侵。环境B位于与该服务其他服务器不同的云上。第二次报告时仍在调查，无法确认数量，因此未计入。凭证已失效，并于10月31日停止
- 类别（3）：滥用
- 10月28日至30日：从两个环境发出最多约713万封伪造邮件。未确认发送行为本身泄露了电子邮件地址以外的内容
- 关于数量
- 第三次报告的总数81,329,467个已扣除类别间的重叠（仅邮件地址34,285,087个，含属性47,044,380个；这一划分核实中）。将第二次报告的各类别当作没有重叠直接相加是80,386,187个，第三次报告比其多943,280个。该数量是电子邮件地址的数量，不是人数。“可能被获取”是根据读取的记录量判断的（第二次报告）
- 项目
- 电子邮件地址；客户登记的项目（姓名、性别、出生日期、电话号码、会员号码、地址等，因客户而异）；以及投递目标等记录。不保存信用卡号码。对使用管理控制台的工作人员的姓名和电子邮件地址的影响正在核查
- 所称原因
- Web 服务器的漏洞以及系统环境的问题与之有关。入侵何时以及如何开始仍在调查中。公司表示，从访问来源相同来看，这一系列入侵似乎与前一次报告中的是同一第三方
- 恢复
- 在查明途径、全面更换凭证并确认系统安全后决定。日期尚未确定（第三次报告相同）。恢复时，计划请客户重置管理控制台密码以及 API 密钥等凭证
- 联系方式
- 客户企业支持电话 03-5414-3611。仅限直接客户；通过经销商签约的客户请联系经销商（来自通知页面）
已知与未知
截至2026年11月7日的情况。有新消息时，本表的状态栏将被改写。
| 项目 | 通知所述 | 状态 |
|---|---|---|
| 被获取的个人数据（客户环境） | 已确认97台服务器上的电子邮件地址和会员数据被获取（包括可能被获取的数据；第二次报告） | 已确认泄露（公司；含可能） |
| 电子邮件地址数量 | 剔除类别间重复后为81,329,467个（第三次报告）。第二次报告称约7700万个。不是人数。仅邮件地址34,285,087个与含属性47,044,380个的划分核实中 | 已确认（公司；划分核实中） |
| 受影响的客户企业数量 | 最多约380家（第二次报告的估计；第三次报告说明其中包括共用环境的61家和环境B的企业）。名称未公布 | 调查中 |
| 共用环境 | 61家客户企业，2,842,400个（剔除重复；由第二次报告的3,386,187个更正，并由第一次报告中的约301万个更新而来）。第二次报告中五家企业最多411,827条客户数据在第三次报告中没有更新 | 已确认泄露（公司） |
| 环境B | 3,249,492个，仅邮件地址。10月28日至31日同一系列访问期间；不是新的入侵。凭证已失效，并于10月31日停止 | 已确认泄露（公司） |
| 获取期间 | 10月27日：疑似侦察的访问。未经授权的登录和数据获取从10月28日起持续到10月31日停止（因服务器而异）。11月2日向部分客户个别告知的“10月28日至29日之间的某个时间”有误，已于11月6日更正（已发布的第二次报告写的是10月28日至31日） | 已确认（公司） |
| 会员数据项目 | 姓名、性别、出生日期、电话号码、会员号码、地址等（因客户而异），以及投递目标等记录 | 已确认泄露（公司；项目因客户而异） |
| 信用卡号码 | 该服务完全不保存（第二次和第三次报告） | 不包含（公司） |
| 管理控制台和 API 凭证 | 被滥用的凭证已失效。计划在恢复时请客户重置。在第二次报告的表格中，相关单元格写为“使用已停止”（经由该服务）和“不适用”（共用环境），未说明是否被获取 | 未说明 |
| 客户工作人员数据 | 使用管理控制台的人员的姓名和电子邮件地址所受的影响正在核查 | 调查中 |
| 伪造邮件的发送 | 10月28日至30日，从两个环境发出最多约713万封。发件人为 news@arara.com。收件人是第三方从外部带入的地址 | 已确认（公司） |
| 原因 | Web 服务器的漏洞以及系统环境的问题。开始时间和途径调查中 | 调查中 |
| 泄露数据的滥用 | Arara 未说明。Bic Camera、Kojima 和 Sofmap、Asoview 以及 Zaif 在通知中表示，目前未确认二次危害或滥用 | 未确认（各公司） |
| 服务状态 | 10月31日全部服务停止。恢复日期未定（第三次报告）。已预约的发送不会执行 | 已确认（公司） |
| 向主管部门的报告 | 个人信息保护委员会：10月29日初次报告，11月2日中期报告，计划11月6日追加报告。总务省（关东总合通信局）：11月4日已报告，计划11月6日追加报告。警方：10月29日已通知。JIPDEC：10月29日初次报告，11月4日中期报告，计划11月6日追加报告 | 已确认（截至11月4日的事项）；11月6日的追加报告为计划 |
| 对业绩的影响 | 仍在审查中（第三次报告） | 调查中 |
各企业的数量无法与约8130万比较
81,329,467个（约8130万个）是 Arara Inc. 就整个事件给出的、剔除类别间重复后的电子邮件地址数量。Workman 最多约145万个、Asoview 15,821,184条这类数量可能是其中的一部分，但各企业各占多少尚未公布。各数量的统计口径不同，请勿相加或相减。
电子邮件地址和会员数据可被用来做什么
一般而言，以下组合可能带来以下类型的滥用。这并不表示本次事件中已经发生。
- 电子邮件地址加发件方名称：以该企业名义的伪造邮件会发到与真实电子报相同的地址，人们容易以为是平时的发件人
- 姓名加电话号码加地址：使用真实姓名的伪造邮件和短信，以及通过电话进行的假冒身份确认
- 会员号码加姓名加出生日期：冒充会员服务，以“身份确认”为借口索取更多数据
- 使用记录（购买的门票种类、使用的设施、支付日期和金额）：基于真实预订和支付，编造看似可信的“取消”或“退款”消息的材料
2026年10月，Ymirlink 的电子邮件投递服务 Cuenote FC 以及 Blastmail 发生的事件，同样是众多机构的地址从一个投递服务中泄露的案例。在这些事件中，您都是通过您收到其邮件的机构的通知来确认自己是否受影响的。
使用 Arara Message 的企业和机构应该做什么
Arara Inc. 表示，将在第二次报告后尽快联系所有客户企业，逐一告知其环境是否受影响以及泄露了哪些数据。第三次报告中公司表示，也将个别联系使用过环境B的客户。如表所示，也有起初被告知未受影响、后来被发现受到影响的情况。
通过 Arara Inc. 的个别联系及其支持电话，确认您的环境是否受影响
不要只等对方联系，请主动拨打客户支持电话（03-5414-3611，仅限直接客户；通过经销商签约的请询问经销商）。将对方告知的项目和数量，与您在投递系统中登记的项目进行比对。
向个人信息保护委员会报告时，请确认联合报告的截止时间（11月9日18:00）
Arara Inc. 表示，民营企业和机构可以与其联合向个人信息保护委员会报告，政府机关和地方政府可以由其代为报告。申请截止时间为2026年11月9日（周一）18:00。公司表示，如果申请，则您无需自行报告，并且已与委员会确认，超过初次报告的参考期限不会被视为迟报。如果您自行报告，则无需申请。
联合报告不包括 Privacy Mark 持有者向 JIPDEC 的报告；这部分请自行办理。具体流程见其指引页面。是否必须通知当事人，请咨询委员会的咨询窗口或专家。
如果11月2日被告知了获取期间，请更正为修订后的期间
根据 Arara Inc. 的通知页面，11月2日向部分客户个别告知的期间（“10月28日至29日之间的某个时间”）有误。正确的期间是从10月28日起，各服务器的数据被持续获取，直到10月31日服务停止（时间因服务器而异）。如果您已在向个人信息保护委员会的报告或内部说明中使用了之前的期间，请改为更正后的期间。
服务停止期间，已预约的发送不会执行；请将重要消息转到其他渠道
根据通知页面，服务停止期间无法使用管理控制台和 API，已预约的邮件不会发送。您预约的账单、截止日期和活动通知将不会送达。请通过其他方式发布重要消息，例如在官方网站上发布公告或使用应用内通知。TKC 和 Hasegawa 等一些企业已在切换到其他邮件投递平台。
恢复前请检查自己的凭证
Arara Inc. 计划在恢复时请客户重置管理控制台密码以及 API 密钥等凭证。作为本站的建议，请事先检查相同的密码是否也用于其他服务，以及 API 密钥是否写入了其他系统或配置文件；这样重置会更快。
提醒您的收件人
表格中的企业在通知中都请收件人不要打开以其名义发来的可疑邮件中的链接。提醒邮件本身最好不要放链接，并说明在投递停止期间收到的邮件很可能是伪造的。
本站的看法：投递系统停止时，仅依赖邮件的沟通也会随之中断
在本次事件中，除了数据泄露，服务还完全停止，已预约的发送也不会执行。表中各企业受影响的程度不同：“邮件通知功能暂停（Pay-don）”“通知邮件暂时暂停（Zaif）”“TKC 的服务无法发送邮件”。
按类型列出您通过邮件发送的内容
区分账单和截止日期通知、验证码、预订确认和活动通知，并标出投递系统停止数日就会造成麻烦的那些。
在服务停止之前决定备用方案
事先确定不依赖同一提供商的另一个投递平台、官方网站上的公告以及应用内通知。如果等到停止之后才开始找替代方案，期间沟通会出现空档，就像表中的企业那样。
将登记在投递系统中的项目控制在最低限度
如表所示，同一事件中受到的影响，从只持有电子邮件地址的企业，到登记了姓名、出生日期和购买数据的企业，各不相同。对于不用于合并字段或分群的项目，请停止登记。
信息来源（公开记录）
本文中的事实基于以下公开信息。对于未披露的攻击手法，我们不作推测。
- Arara Inc.，“因 Arara Message 遭未经授权访问导致的信息泄露及服务停止（第三次报告）”（2026年11月6日）— arara.com
- Arara Inc.，“【重要】关于 Arara Message 服务停止及个人信息泄露的致歉与报告”（通知页面更新于2026年11月6日21:00；11月7日核对；含对获取期间的更正）— am.arara.com
- Arara Inc.，“因 Arara Message 遭未经授权访问导致的信息泄露及服务停止（第二次报告）”（2026年11月2日）— arara.com
- Arara Inc.，“关于向个人信息保护委员会联合报告及代为报告的指引”— am.arara.com
- PayCloud Holdings Co., Ltd.，“关于合并子公司提供的 Arara Message 遭未经授权访问导致的信息泄露及服务停止（第二次报告）”（2026年11月2日，适时披露）— xj-storage.jp
- Kagoshima Bank 等四家机构，关于 Pay-don 遭未经授权访问可能导致个人信息泄露的通知（2026年10月28日）— kagin.co.jp
- 冲绳县，关于离岛交流项目“Shimamaru”电子报投递服务遭未经授权访问可能导致信息泄露的通知（2026年10月29日）— pref.okinawa.jp
- Suzuki Motor Corporation，“承包方可能发生个人信息泄露”（2026年10月30日）— suzuki.co.jp
- Bic Camera、Kojima 和 Sofmap，关于承包方遭未经授权访问导致电子报登记者数据泄露的致歉与通知（2026年11月2日）— biccamera.com
- Osaka Gas Co., Ltd.，“承包方邮件投递服务遭未经授权访问导致客户信息泄露”（2026年11月2日）— osakagas.co.jp
- Kinko's Japan Co., Ltd.，关于 Arara Message 遭未经授权访问导致客户电子邮件地址泄露的致歉与通知（第一次报告，2026年11月2日）— kinkos.co.jp
- Asoview, Inc.，“关于承包方邮件投递服务遭未经授权访问的致歉与通知”（2026年11月3日）— asoview.co.jp
- The Yokohama Rubber Co., Ltd.，“我们所用邮件投递服务发生个人信息泄露”（2026年11月3日）— y-yokohama.com
- Workman Co., Ltd.，关于 Workman Online Store 电子报会员电子邮件地址泄露的致歉与请求（2026年11月4日）— workman.co.jp
- Kyushu Railway Company，关于合作方邮件投递服务遭未经授权访问可能导致电子邮件地址泄露的通知（2026年11月4日）— jrkyushu.co.jp
- TKC Corporation，“邮件投递承包方遭未经授权访问导致信息泄露（第三次报告）”（2026年11月4日）— tkc.jp
- The Bank of the Ryukyus，“承包方邮件投递服务遭未经授权访问导致客户电子邮件地址泄露（第二次报告）”（2026年11月4日）— ryugin.co.jp
- Zaif，“承包方遭未经授权访问导致信息泄露（第二次报告，2026年11月4日）”— corp.zaif.jp
- Internet Initiative Japan Inc.，“我们所用邮件投递服务遭未经授权访问导致客户信息泄露”（2026年11月4日）— iij.ad.jp
- Hasegawa Co., Ltd.，“关于邮件投递承包方遭未经授权访问导致个人信息泄露的致歉与通知（第一次报告）”（2026年11月4日）— hasegawa.jp
- Tribeck Corporation，关于因 Arara Inc. 遭未经授权访问导致个人信息泄露的致歉与通知（2026年11月4日）— tribeck.jp
- Chobirich Co., Ltd.，关于承包方电子邮件投递服务遭未经授权访问的致歉与通知（2026年11月4日）— chobirich.co.jp
- MOS Food Services, Inc.，关于承包方电子邮件投递服务遭未经授权访问导致客户信息泄露的致歉与通知（2026年11月4日）— mos.co.jp
- GMO Payment Service, Inc.，“Arara Inc. 遭未经授权访问导致个人信息泄露”（2026年11月5日）— gmo-ps.com
- CYBIRD Co., Ltd.，“【重要通知】关于电子邮件投递服务（Arara Inc.）遭未经授权访问导致个人信息泄露的致歉与通知”（2026年11月6日）— cybird.co.jp
- Pacific League Marketing, Inc.，“关于遭未经授权访问导致顾客电子邮件地址泄露的致歉与通知”（2026年11月6日；Sportsmania 刊载的新闻稿）— sportsmania.jp
- 个人信息保护委员会，“泄露等事件的应对及参考资料”— ppc.go.jp
更新记录
2026-11-07：反映11月6日的第三次报告：被获取的电子邮件地址由约7700万个变为剔除类别间重复后的81,329,467个（约8130万个）。新增了从另一个云环境（环境B）被获取的3,249,492个、共用环境数量的更正（3,386,187个改为2,842,400个）以及11月2日向部分客户个别告知的获取期间的更正（从10月28日起持续到10月31日停止），并在客户表格中新增 Tribeck、Chobirich、MOS Food Services、GMO Payment Service、CYBIRD 和 Pacific League Marketing。通知页面最后更新于11月6日21:00；预定在11月7日12:00前后的更新在核对时尚未出现。
2026-11-05：首次发布。依据 Arara Inc. 11月2日的第二次报告（约7700万个、最多约380家企业、最多约713万封伪造邮件）以及15家客户机构的官方通知。通知页面最后更新于11月4日21:00；撰写本文时，预定在11月5日12:00前后的更新尚未出现。
延伸阅读
- 类似案例：Ymirlink Cuenote FC 遭未经授权访问 / Blastmail 遭未经授权访问 / JR东日本、View Card 与 JR九州电子邮件地址泄露
- 单个客户的解说：Asoview 会员数据泄露
- 识别假邮件：什么是网络钓鱼？ / 来自您自己邮箱地址的垃圾邮件
- 核查发件人（面向运营者）：SPF、DKIM 与 DMARC 基础
- 其他2026年事件：2026年的数据泄露与网络攻击（日本及全球）