適用對象：收到使用 Arara Inc. 電子郵件發送服務 Arara Message（包括 ASP repica 系列）的企業與組織所寄電子報或通知郵件的人，以及使用該服務的企業與組織。本文依據 Arara Inc. 及已揭露影響之客戶組織的官方公告撰寫，不涉及攻擊手法的細節。
事態發展中：本文將隨組織發布更多資訊而更新
- 適用對象
收到使用 Arara Inc. 電子郵件發送服務 Arara Message（包括 ASP repica 系列）的企業與組織所寄電子報或通知郵件的人，以及使用該服務的企業與組織。
- 已確認的影響範圍查看表格 ↓
- 遭取得的個人資料（客戶環境）
- 電子郵件地址數量
- 共用環境
另外6項
- 環境 B
- 取得期間
- 會員資料項目
- 偽造郵件的發送
- 服務狀態
- 向主管部門的報告
- 尚未確認的事項
- 僅郵件地址與含屬性地址的劃分（核實中）
- 受影響客戶企業的數量與名稱（最多約 380 家為估計）
- 各企業受影響的人員與項目（Arara 正在逐一通知客戶，包括環境 B 的客戶）
另外4項
- 對客戶工作人員資料的影響（使用管理主控台的人員的姓名與電子郵件地址）
- 入侵何時以及如何開始
- 服務何時恢復
- 對業績的影響（仍在審查中）
- 現在要做的事查看步驟 ↓
- 對來自 news@arara.com、冒充信用卡公司的郵件，不要開啟，直接刪除
- 暫時不要開啟聲稱來自您訂閱之寄件者的郵件中的連結或附件
- 在下方表格中查看您使用的服務
另外1項
- 被要求輸入密碼或卡號時，不要輸入
- 最後查證
- 截至 2026 年 11 月 7 日（日本時間；Arara 的公告頁面最後更新於 11 月 6 日 21:00；下一次更新預定在 11 月 7 日 12:00 前後，核對時尚未出現）
續報計畫與查證紀錄
Arara Inc. 在 11 月 6 日的第三份報告中，加入環境 B 更新了電子郵件地址的數量。公司表示，僅郵件地址與含屬性地址的劃分以及對業績的影響仍在審查中，恢復日期尚未確定。其公告頁面稱，正在從結果已確認的客戶開始，逐一向各客戶企業通知其各自受到的影響。
電子郵件收件人今天應該做什麼
Arara Inc. 的服務是企業與組織用來寄送電子報與通知的服務。收件人是向寄件企業或組織登記了電子郵件地址，而非向 Arara 登記，因此請透過寄件方自己的公告來確認是否受影響。
對來自 news@arara.com、冒充信用卡公司的郵件，不要開啟，直接刪除
Arara Inc. 表示，10 月 28 日至 30 日，其服務遭濫用，寄出了最多約 713 萬封冒充信用卡公司的偽造郵件。寄件者為「news@arara.com」，主旨包括請求確認信用卡使用情況或使用帳單。
公司請收件人不要開啟內文中的網址，並刪除該郵件。若您已在連結中輸入了卡片資訊，請立即聯絡發卡機構。收件人是第三方從外部帶入的電子郵件地址，因此收到這類郵件並不能證明您的地址遭取得。
暫時不要開啟聲稱來自您訂閱之寄件者的郵件中的連結或附件
遭取得的地址與會員資料可能被用於以寄件企業名義寄出的偽造郵件或簡訊。即使訊息顯示了您的姓名或會員編號，也可能不是真的。如要確認，請透過官方應用程式或您已加入書籤的官方網站（如何辨識假冒訊息：什麼是網路釣魚？）。
在下方表格中查看您使用的服務
下方表格列出了各企業的公告。不在表格中的企業日後仍可能發布公告。請不時查看您收到其電子報之網站的公告頁面。若您收到了個別通知，請與官方網站上的公告對照，而不要依賴郵件中的連結。
被要求輸入密碼或卡號時，不要輸入
Arara Inc. 表示，其不會寄送要求輸入密碼或卡片資訊的郵件，客戶企業也有類似的說明。若郵件要求您輸入這些資訊，請改為透過官方網站確認。
收到偽造郵件的地址不一定是遭取得的地址
根據 Arara Inc. 的第二份報告，偽造郵件寄往的是「第三方從外部帶入的電子郵件地址」。公司的服務遭濫用（據公司說法），因此寄件者顯示為 news@arara.com。反過來說，沒有收到偽造郵件也不代表您的地址沒有遭取得。
已揭露影響的客戶組織
使用 Arara Inc. 服務的組織已發布各自的公告。下表列出的是本站在 11 月 5 日至 7 日開啟各組織官方頁面核實過的、且明確提到 Arara Inc.（或其服務）的公告。按公布順序排列，最早的在前。
各狀態均遵循該組織自己的措辭。Arara Inc. 沒有公布其客戶企業的名稱。各組織給出的數量不能與約 8,130 萬相加或比較（同一個人的地址也可能出現在多家組織的數量中）。
| 組織 | 用該服務做什麼（如其所述） | 可能受影響的資料（如其所述） | 狀態 | 日期 |
|---|---|---|---|---|
| Kagoshima Bank、Minami-Nippon Bank、Kagoshima Sogo Shinkin Bank 與 Kagoshima Shinkin Bank（Pay-don） | 「Pay-don」應用程式的郵件通知（郵件發送委託給 Arara Inc.）。郵件通知與新使用者註冊已暫停 | Pay-don 使用者與商家的電子郵件地址，以及支付資訊（日期時間、店鋪名稱、支付金額）。未提供數量。未通報二次損害 | 可能（四家銀行） | 10 月 28 日 |
| 沖繩縣（離島交流計畫「Shimamaru」） | 電子報（該計畫的承包方使用了 Arara Message） | 2,560 個電子郵件地址。姓名等其他資料未外洩 | 可能（縣） | 10 月 29 日 |
| Suzuki（Suzuki Media Site） | 向媒體發送新聞稿（該網站服務提供商下的郵件發送由 Arara Inc. 負責） | 最多 2,575 個已登記的電子郵件地址。不含姓名與地址。未確認濫用或二次損害 | 可能（公司） | 10 月 30 日 |
| Bic Camera、Kojima 與 Sofmap（聯合公告） | 郵件發送委託給承包方；郵件發送系統由 Arara Inc. 提供 | 電子郵件地址等資料。集團合計約 1,490 萬。信用卡資訊與網路商店登入資訊不由該服務處理，不在範圍內。未確認具體的二次損害 | 可能（各公司） | 11 月 2 日 |
| Osaka Gas（「FitDish」餐點訂購服務） | 寄給「FitDish」客戶的郵件 | 34,489 個電子郵件地址（10 月 8 日至 29 日收到郵件者）。不含姓名、地址、電話號碼、信用卡資訊與購買資料 | 已確認外洩（公司） | 11 月 2 日 |
| Kinko's Japan | 寄給 Smart Membership 會員的電子報 | 電子郵件地址（數量核查中）。姓名、會員編號、註冊日期、生日與常去門市：目前未確認外洩。該公司起初被告知其環境不在範圍內，在第二份報告後重新核查才確認了外洩 | 已確認外洩（公司）；其他項目未確認 | 11 月 2 日 |
| Asoview（本站解說） | 寄給 Asoview! 會員的郵件（會員資料委託給 Arara Inc. 的服務） | 15,821,184 筆。電子郵件地址、會員 ID 或編號、姓名、性別、出生日期、電話號碼、郵遞區號、地區、票券購買與使用資料等。密碼與信用卡資訊未委託，不在範圍內。受影響會員的確認尚待進行 | 已確認外洩（公司） | 11 月 3 日 |
| The Yokohama Rubber Co. | 新聞稿與新聞郵件的發送（經由負責郵件發送的承包方） | 已登記的公司名稱與電子郵件地址。未提供數量。Arara Inc. 起初表示無相關外洩，11 月 3 日又告知該公司存在外洩 | 已確認外洩（公司） | 11 月 3 日 |
| Workman | 「Workman Online Store 電子報」。其網站上的通知郵件（包括應用程式內通知）不使用該服務，不受影響 | 電子郵件地址，最多約 145 萬個。其他資料未外洩。10 月 29 日被告知會員的地址不在其中，11 月 2 日又接到外洩的緊急電話通報（書面確認待定） | 已確認外洩（公司） | 11 月 4 日 |
| JR Kyushu | 寄給參觀過公寓樣品屋或索取過資料者的電子報（負責發送的承包方使用 Arara Inc. 的服務） | 姓名與電子郵件地址。最多約 13,000 筆。住址與電話號碼不可能外洩。未確認二次損害 | 可能（公司） | 11 月 4 日 |
| TKC | 向使用 TKC 系統的客戶發送郵件（發送委託給 Arara Inc.）。TKC 的服務目前無法寄送郵件 | 電子郵件地址，最多 2,230,812 個。郵件內文、My Number 與向市町村提出的申請未外洩。具體是哪些客戶的地址仍在調查中（第三份報告） | 已確認外洩（公司） | 11 月 4 日 |
| Bank of the Ryukyus（第二份報告） | 外部郵件服務「repica」（由 Arara Inc. 提供）。發送已暫停 | 96,477 個電子郵件地址（10 月 8 日至 29 日所寄郵件的一部分）。未確認姓名、地址、帳戶資訊與密碼的外洩。受影響者的確認（第二份報告） | 已確認外洩（銀行） | 11 月 4 日 |
| Zaif | 通知郵件（Arara Inc. 的服務）。發送已暫時暫停 | 380,536 個電子郵件地址（排除重複）。不含姓名等屬性，不含郵件內文，不含認證資訊。目前使用者的數量核查中（第二份報告） | 已確認外洩（公司） | 11 月 4 日 |
| IIJ（IIJmio） | 寄給 IIJmio 客戶的郵件 | 983,458 個電子郵件地址（含已解約的合約）。客戶屬性的細節正與 Arara Inc. 確認中。信用卡資訊未提供給該服務，不在範圍內 | 已確認外洩（公司） | 11 月 4 日 |
| Hasegawa | 與其郵件發送服務相關聯的 Arara Inc. 的「repica」伺服器 | 305 個電子郵件地址（10 月 8 日至 29 日收到郵件者）。其保存的客戶資料（姓名、購買資料）以及郵件主旨與內文不在範圍內（第一份報告） | 已確認外洩（公司） | 11 月 4 日 |
| Tribeck | 其郵件發送資訊（發送日誌）。其表單網站「bizocean」及廣告服務（包括電子報）的網站與會員資料不使用該服務，不在範圍內 | 61,213 筆紀錄（含重複與測試郵件）。電子郵件地址與合併字串（設為合併欄位的項目，例如姓名） | 已確認外洩（公司） | 11 月 4 日 |
| Chobirich | 向會員發送郵件（Arara Message）。已停止傳送，改在其網站上通知會員 | 1,348,525 個電子郵件地址（不是會員人數）。電子郵件地址、會員號碼、暱稱、出生日期、性別、居住都道府縣與點數餘額可能已外洩。姓名、電話號碼、密碼與銀行帳戶資訊未委託，不在範圍內。受影響會員的確認尚待進行 | 可能（公司） | 11 月 4 日 |
| MOS Food Services | 傳送給「MOS WEB 會員」（「repica」，由 Arara Inc. 提供）的電子報等郵件 | 7,517,087 筆紀錄。電子郵件地址、年齡、性別、居住都道府縣等。不含信用卡資訊等與支付相關的資訊 | 已確認外洩（公司） | 11 月 4 日 |
| GMO Payment Service | 該公司承包方的律師事務所使用 Arara Message 傳送郵件。2026 年 7 月 20 日至 10 月 30 日期間郵件發送對象的資料 | 僅電子郵件地址：最多 101,226 個。電子郵件地址、姓名、帳單金額、帳單詳情（使用或購買的店鋪與商品）、諮詢編號與通知內容：最多 5,771 個。合計最多 106,997 個（公司自己給出的數字）。受影響者透過電子郵件逐一通知。自身系統與服務未受影響 | 已確認外洩（公司） | 11 月 5 日 |
| CYBIRD | 多項服務使用 Arara Inc. 的電子郵件發送服務。受影響的服務與人員尚未確定 | 98,738 個電子郵件地址。Arara 向其報告的外洩項目只有電子郵件地址。未確認其自身服務遭到未經授權存取 | 已確認外洩（公司） | 11 月 6 日 |
| Pacific League Marketing（五家太平洋聯盟球隊的郵件發送） | 向球隊官方網站的付費會員中申請了該服務者，傳送比賽動態等郵件，對象為各球隊自 2026 年 7 月 1 日起傳送過郵件的地址（Nippon-Ham、Rakuten、Seibu、Lotte、SoftBank）。五家球隊已停止使用 Arara Inc. 的服務。Orix 不使用該服務 | 僅電子郵件地址。各球隊：Nippon-Ham 3,575、Rakuten 1,165、Seibu 2,693、Lotte 2,618、SoftBank 3,660（公司給出的合計為 13,711）。球迷俱樂部會員資料不在範圍內。未確認二次損害。同一通知還提到千葉 Lotte Marines 官方網站遭未經授權存取，公司將其視為與 Arara 無關的另一件事 | 已確認外洩（公司） | 11 月 6 日 |
被告知未受影響的企業，後來被發現受到影響
Workman、The Yokohama Rubber 與 Kinko's Japan 的公告指出，在 10 月 28 日或 29 日的首次聯絡中，其自身環境被告知不在範圍內（或未確認相關外洩），而在 11 月 2 日第二份報告前後又被告知存在外洩。原因是確認存在未經授權存取的伺服器，從共用環境擴大到了客戶企業的環境。即使起初被告知某項服務未受影響，後續也可能發生變化。
事件經過（依據 Arara Inc. 的公告）
以下內容基於 Arara Inc. 11 月 6 日的第三份報告、11 月 2 日的第二份報告（其新聞稿，以及其母公司當天的適時揭露）及其公告頁面。在 10 月 29 日的第一份報告中，公司曾公布共用環境中約 301 萬個電子郵件地址外洩。
10 月 27 日
發生了疑似偵察的存取（第三份報告更正了第二份報告的「10 月 27 日至 28 日」）。10 月 28 日
第三方未經授權登入共用環境的管理主控台，透過濫用資料匯出等功能取得了資料。公司於 16:31 對該環境進行了緊急停止（第二份與第三份報告）。10 月 28 日
該服務的部分環境遭濫用，開始寄出冒充信用卡公司的偽造郵件（約 3:59）。7:00，公司停止了對該環境的外部存取。另一個環境中也從約 8:47 起持續寄出偽造郵件（10 月 30 日發現）。10 月 29 日
公司發布第一份報告，向個人資訊保護委員會提交初步報告，通知警方，並向 JIPDEC 寄送初步報告。10 月 28 日至 31 日
第三方透過該服務的伺服器進入多台伺服器，取得了資料庫內容（客戶企業環境中的 97 台伺服器）。第二份報告已寫明 10 月 28 日至 31 日。11 月 6 日，公司更正了 11 月 2 日向部分客戶個別告知的期間（「10 月 28 日至 29 日之間的某個時間」）：資料從 10 月 28 日起持續遭取得，直到 10 月 31 日停止（時間因伺服器而異）。在另一個雲環境（環境 B）中，同一時期也有憑證被未經授權使用、資料遭取得（第三份報告）。10 月 30 日
公司發現了偽造郵件的發送，並於 13:26 切斷了與該環境的通訊（13:32 之後未確認有新的發送）。10 月 31 日
上午，公司發現資料是透過該服務遭取得的。公司使被濫用的憑證失效，依次切斷各伺服器的通訊，並停止了該服務的全部功能（14:50 開始停止，19:53 完成）。公司還使環境 B 的憑證失效並停止了環境 B（第三份報告）。11 月 2 日
公司發布第二份報告（其母公司當天提交了即時揭露）。公司表示，計畫向個人資訊保護委員會通報新發現的事項，並向 JIPDEC 寄送中期報告。11 月 6 日
公司發布第三份報告。公司加入了從環境 B 遭取得的 3,249,492 個地址，將排除類別間重複後的總數定為 81,329,467 個，並將共用環境的數量更正為 2,842,400 個。同一天，其公告頁面更正了 11 月 2 日向部分客戶個別告知的取得期間（「10 月 28 日至 29 日之間的某個時間」）。
電子郵件收件人與會員
向寄件方登記了電子郵件地址（有時還有姓名、會員編號等）
因應：不要開啟以寄件方名義寄來的郵件中的連結
寄件的企業與組織（客戶）
管理郵寄名單，並將其登記到 Arara Inc. 的服務中以寄送郵件。對個人資料負有責任
因應：確認是否受影響，並決定通報與通知事宜
Arara Inc.（Arara Message）
環境 A 中經由該服務的 78,102,937 個、共用環境中的 2,842,400 個、環境 B 中的 3,249,492 個。扣除重疊後的總數為 81,329,467 個
項目因客戶而異；調查中
- 服務
- 電子郵件發送服務 Arara Message 以及 ASP repica 系列。已停止的部分為 Arara Message GUI、API v1 與 v2、ASP repica 編輯器、發送器與自動郵件，以及 BMA 錯誤清單功能。本地部署版 repica 不在範圍內。公司的其他服務不受影響
- 類別（1）：經由該服務（環境 A）
- 從 10 月 28 日起持續到 10 月 31 日停止（時間因伺服器而異；11 月 2 日向部分客戶個別告知的期間已於 11 月 6 日更正）：已確認客戶環境中的 97 台伺服器上的電子郵件地址與會員資料遭取得（最多約 380 家企業）。第二份報告稱約 7,700 萬個（截至 11 月 1 日）；第三份報告稱 78,102,937 個（僅郵件地址 31,346,375 個，含屬性 46,756,562 個）
- 類別（2）：第一份報告中的共用環境（環境 A）
- 10 月 27 日是疑似偵察的存取；未經授權的登入與資料取得發生在 10 月 28 日。61 家客戶企業。電子郵件地址與屬性資訊。第三份報告將第二份報告的 3,386,187 個更正為 2,842,400 個（僅郵件地址 2,507,311 個，含屬性 335,089 個），並稱其中包含部分文字資訊。第二份報告中的「五家企業最多 411,827 筆客戶資料」在第三份報告中沒有更新
- 類別（4）：環境 B（第三份報告新增）
- 10 月 28 日至 31 日，憑證被未經授權使用而存取了環境 B，3,249,492 個電子郵件地址（僅郵件地址）遭取得。這不是新的入侵。環境 B 位於與該服務其他伺服器不同的雲上。第二份報告時仍在調查，無法確認數量，因此未計入。憑證已失效，並於 10 月 31 日停止
- 類別（3）：濫用
- 10 月 28 日至 30 日：從兩個環境寄出最多約 713 萬封偽造郵件。未確認發送行為本身外洩了電子郵件地址以外的內容
- 關於數量
- 第三份報告的總數 81,329,467 個已扣除類別間的重疊（僅郵件地址 34,285,087 個，含屬性 47,044,380 個；這一劃分核實中）。將第二份報告的各類別當作沒有重疊直接相加是 80,386,187 個，第三份報告比其多 943,280 個。該數量是電子郵件地址的數量，不是人數。「可能遭取得」是根據讀取的紀錄量判斷的（第二份報告）
- 項目
- 電子郵件地址；客戶登記的項目（姓名、性別、出生日期、電話號碼、會員編號、地址等，因客戶而異）；以及發送對象等紀錄。不保存信用卡號碼。對使用管理主控台之工作人員的姓名與電子郵件地址的影響正在核查
- 所稱原因
- Web 伺服器的漏洞以及系統環境的問題與之有關。入侵何時以及如何開始仍在調查中。公司表示，從存取來源相同來看，這一系列入侵似乎與前一次報告中的是同一第三方
- 恢復
- 在查明途徑、全面更換憑證並確認系統安全後決定。日期尚未確定（第三份報告相同）。恢復時，計畫請客戶重置管理主控台密碼以及 API 金鑰等憑證
- 聯絡方式
- 客戶企業支援專線 03-5414-3611。僅限直接客戶；透過經銷商簽約的客戶請聯絡經銷商（來自公告頁面）
已知與未知
截至 2026 年 11 月 7 日的情況。有新訊息時，本表的狀態列將被改寫。
| 項目 | 公告所述 | 狀態 |
|---|---|---|
| 遭取得的個人資料（客戶環境） | 已確認 97 台伺服器上的電子郵件地址與會員資料遭取得（包括可能遭取得的資料；第二份報告） | 已確認外洩（公司；含可能） |
| 電子郵件地址數量 | 排除類別間重複後為 81,329,467 個（第三份報告）。第二份報告稱約 7,700 萬個。不是人數。僅郵件地址 34,285,087 個與含屬性 47,044,380 個的劃分核實中 | 已確認（公司；劃分核實中） |
| 受影響的客戶企業數量 | 最多約 380 家（第二份報告的估計；第三份報告說明其中包括共用環境的 61 家與環境 B 的企業）。名稱未公布 | 調查中 |
| 共用環境 | 61 家客戶企業，2,842,400 個（排除重複；由第二份報告的 3,386,187 個更正，並由第一份報告中的約 301 萬個更新而來）。第二份報告中五家企業最多 411,827 筆客戶資料在第三份報告中沒有更新 | 已確認外洩（公司） |
| 環境 B | 3,249,492 個，僅郵件地址。10 月 28 日至 31 日同一系列存取期間；不是新的入侵。憑證已失效，並於 10 月 31 日停止 | 已確認外洩（公司） |
| 取得期間 | 10 月 27 日：疑似偵察的存取。未經授權的登入與資料取得從 10 月 28 日起持續到 10 月 31 日停止（因伺服器而異）。11 月 2 日向部分客戶個別告知的「10 月 28 日至 29 日之間的某個時間」有誤，已於 11 月 6 日更正（已發布的第二份報告寫的是 10 月 28 日至 31 日） | 已確認（公司） |
| 會員資料項目 | 姓名、性別、出生日期、電話號碼、會員編號、地址等（因客戶而異），以及發送對象等紀錄 | 已確認外洩（公司；項目因客戶而異） |
| 信用卡號碼 | 該服務完全不保存（第二份與第三份報告） | 不包含（公司） |
| 管理主控台與 API 憑證 | 遭濫用的憑證已失效。計畫在恢復時請客戶重設。在第二份報告的表格中，相關儲存格寫為「使用已停止」（經由該服務）與「不適用」（共用環境），未說明是否遭取得 | 未說明 |
| 客戶工作人員資料 | 使用管理主控台者的姓名與電子郵件地址所受的影響正在核查 | 調查中 |
| 偽造郵件的發送 | 10 月 28 日至 30 日，從兩個環境寄出最多約 713 萬封。寄件者為 news@arara.com。收件人是第三方從外部帶入的地址 | 已確認（公司） |
| 原因 | Web 伺服器的漏洞以及系統環境的問題。開始時間與途徑調查中 | 調查中 |
| 外洩資料的濫用 | Arara 未說明。Bic Camera、Kojima 與 Sofmap、Asoview 以及 Zaif 在公告中表示，目前未確認二次損害或濫用 | 未確認（各公司） |
| 服務狀態 | 10 月 31 日全部服務停止。恢復日期未定（第三份報告）。已預約的傳送不會執行 | 已確認（公司） |
| 向主管部門的報告 | 個人資訊保護委員會：10 月 29 日初步報告，11 月 2 日中期報告，計畫 11 月 6 日追加報告。總務省（關東總合通訊局）：11 月 4 日已報告，計畫 11 月 6 日追加報告。警方：10 月 29 日已通知。JIPDEC：10 月 29 日初步報告，11 月 4 日中期報告，計畫 11 月 6 日追加報告 | 已確認（截至 11 月 4 日的事項）；11 月 6 日的追加報告為計畫 |
| 對業績的影響 | 仍在審查中（第三份報告） | 調查中 |
各企業的數量無法與約 8,130 萬比較
81,329,467 個（約 8,130 萬個）是 Arara Inc. 就整個事件給出的、排除類別間重複後的電子郵件地址數量。Workman 最多約 145 萬個、Asoview 15,821,184 筆這類數量可能是其中的一部分，但各企業各佔多少尚未公布。各數量的統計口徑不同，請勿相加或相減。
電子郵件地址與會員資料可被用來做什麼
一般而言，以下組合可能帶來以下類型的濫用。這並不表示本次事件中已經發生。
- 電子郵件地址加寄件方名稱：以該企業名義的偽造郵件會寄到與真實電子報相同的地址，人們容易以為是平時的寄件者
- 姓名加電話號碼加地址：使用真實姓名的偽造郵件與簡訊，以及透過電話進行的假冒身分確認
- 會員編號加姓名加出生日期：冒充會員服務，以「身分確認」為藉口索取更多資料
- 使用紀錄（購買的票券種類、使用的設施、支付日期與金額）：根據真實訂位與支付，編造看似可信的「取消」或「退款」訊息的材料
2026 年 10 月，Ymirlink 的電子郵件發送服務 Cuenote FC 以及 Blastmail 發生的事件，同樣是眾多組織的地址從一個發送服務外洩的案例。在這些事件中，您都是透過您收到其郵件之組織的公告來確認自己是否受影響的。
使用 Arara Message 的企業與組織應該做什麼
Arara Inc. 表示，將在第二份報告後儘快聯絡所有客戶企業，逐一告知其環境是否受影響以及外洩了哪些資料。第三份報告中公司表示，也將個別聯絡使用過環境 B 的客戶。如表所示，也有起初被告知未受影響、後來被發現受到影響的情況。
透過 Arara Inc. 的個別聯絡及其支援專線，確認您的環境是否受影響
不要只等對方聯絡，請主動撥打客戶支援專線（03-5414-3611，僅限直接客戶；透過經銷商簽約者請詢問經銷商）。將對方告知的項目與數量，與您在發送系統中登記的項目進行比對。
向個人資訊保護委員會通報時，請確認聯合通報的截止時間（11 月 9 日 18:00）
Arara Inc. 表示，民間企業與組織可以與其聯合向個人資訊保護委員會通報，政府機關與地方政府可以由其代為通報。申請截止時間為 2026 年 11 月 9 日（週一）18:00。公司表示，若申請，則您無須自行通報，並且已與委員會確認，超過初步報告的參考期限不會被視為遲報。若您自行通報，則無須申請。
聯合通報不包括 Privacy Mark 持有者向 JIPDEC 的報告；這部分請自行辦理。具體流程見其指引頁面。是否必須通知當事人，請諮詢委員會的諮詢窗口或專家。
如果 11 月 2 日被告知了取得期間，請更正為修訂後的期間
根據 Arara Inc. 的公告頁面，11 月 2 日向部分客戶個別告知的期間（「10 月 28 日至 29 日之間的某個時間」）有誤。正確的期間是從 10 月 28 日起，各伺服器的資料被持續取得，直到 10 月 31 日服務停止（時間因伺服器而異）。如果您已在向個人資訊保護委員會的報告或內部說明中使用了之前的期間，請改為更正後的期間。
服務停止期間，已預約的發送不會執行；請將重要訊息轉到其他管道
根據公告頁面，服務停止期間無法使用管理主控台與 API，已預約的郵件不會寄出。您預約的帳單、截止日期與活動通知將不會送達。請透過其他方式發布重要訊息，例如在官方網站上發布公告或使用應用程式內通知。TKC 與 Hasegawa 等一些企業已在切換到其他郵件發送平台。
恢復前請檢查自己的憑證
Arara Inc. 計畫在恢復時請客戶重設管理主控台密碼以及 API 金鑰等憑證。作為本站的建議，請事先檢查相同的密碼是否也用於其他服務，以及 API 金鑰是否寫入了其他系統或設定檔；這樣重設會更快。
提醒您的收件人
表格中的企業在公告中都請收件人不要開啟以其名義寄來的可疑郵件中的連結。提醒郵件本身最好不要放連結，並說明在發送停止期間收到的郵件很可能是偽造的。
本站的看法：發送系統停止時，僅依賴郵件的溝通也會隨之中斷
在本次事件中，除了資料外洩，服務還完全停止，已預約的發送也不會執行。表中各企業受影響的程度不同：「郵件通知功能暫停（Pay-don）」「通知郵件暫時暫停（Zaif）」「TKC 的服務無法寄送郵件」。
依類型列出您透過郵件寄送的內容
區分帳單與截止日期通知、驗證碼、訂位確認與活動通知，並標出發送系統停止數日就會造成麻煩的那些。
在服務停止之前決定備用方案
事先確定不依賴同一提供商的另一個發送平台、官方網站上的公告以及應用程式內通知。若等到停止之後才開始找替代方案，期間溝通會出現空檔，就像表中的企業那樣。
將登記在發送系統中的項目控制在最低限度
如表所示，同一事件中受到的影響，從只持有電子郵件地址的企業，到登記了姓名、出生日期與購買資料的企業，各不相同。對於不用於合併欄位或分群的項目，請停止登記。
資料來源（公開紀錄）
本文中的事實基於以下公開資訊。對於未揭露的攻擊手法，我們不作推測。
- Arara Inc.，「因 Arara Message 遭未經授權存取導致的資訊外洩及服務停止（第三份報告）」（2026 年 11 月 6 日）— arara.com
- Arara Inc.，「【重要】關於 Arara Message 服務停止及個人資訊外洩的致歉與報告」（公告頁面更新於 2026 年 11 月 6 日 21:00；11 月 7 日核對；含對取得期間的更正）— am.arara.com
- Arara Inc.，「因 Arara Message 遭未經授權存取導致的資訊外洩及服務停止（第二份報告）」（2026 年 11 月 2 日）— arara.com
- Arara Inc.，「關於向個人資訊保護委員會聯合通報及代為通報的指引」— am.arara.com
- PayCloud Holdings Co., Ltd.，「關於合併子公司提供的 Arara Message 遭未經授權存取導致的資訊外洩及服務停止（第二份報告）」（2026 年 11 月 2 日，即時揭露）— xj-storage.jp
- Kagoshima Bank 等四家機構，關於 Pay-don 遭未經授權存取可能導致個人資料外洩的公告（2026 年 10 月 28 日）— kagin.co.jp
- 沖繩縣，關於離島交流計畫「Shimamaru」電子報發送服務遭未經授權存取可能導致資訊外洩的公告（2026 年 10 月 29 日）— pref.okinawa.jp
- Suzuki Motor Corporation，「承包方可能發生個人資料外洩」（2026 年 10 月 30 日）— suzuki.co.jp
- Bic Camera、Kojima 與 Sofmap，關於承包方遭未經授權存取導致電子報登記者資料外洩的致歉與公告（2026 年 11 月 2 日）— biccamera.com
- Osaka Gas Co., Ltd.，「承包方郵件發送服務遭未經授權存取導致客戶資訊外洩」（2026 年 11 月 2 日）— osakagas.co.jp
- Kinko's Japan Co., Ltd.，關於 Arara Message 遭未經授權存取導致客戶電子郵件地址外洩的致歉與公告（第一份報告，2026 年 11 月 2 日）— kinkos.co.jp
- Asoview, Inc.，「關於承包方郵件發送服務遭未經授權存取的致歉與公告」（2026 年 11 月 3 日）— asoview.co.jp
- The Yokohama Rubber Co., Ltd.，「我們所用郵件發送服務發生個人資料外洩」（2026 年 11 月 3 日）— y-yokohama.com
- Workman Co., Ltd.，關於 Workman Online Store 電子報會員電子郵件地址外洩的致歉與請求（2026 年 11 月 4 日）— workman.co.jp
- Kyushu Railway Company，關於合作方郵件發送服務遭未經授權存取可能導致電子郵件地址外洩的公告（2026 年 11 月 4 日）— jrkyushu.co.jp
- TKC Corporation，「郵件發送承包方遭未經授權存取導致資訊外洩（第三份報告）」（2026 年 11 月 4 日）— tkc.jp
- The Bank of the Ryukyus，「承包方郵件發送服務遭未經授權存取導致客戶電子郵件地址外洩（第二份報告）」（2026 年 11 月 4 日）— ryugin.co.jp
- Zaif，「承包方遭未經授權存取導致資訊外洩（第二份報告，2026 年 11 月 4 日）」— corp.zaif.jp
- Internet Initiative Japan Inc.，「我們所用郵件發送服務遭未經授權存取導致客戶資訊外洩」（2026 年 11 月 4 日）— iij.ad.jp
- Hasegawa Co., Ltd.，「關於郵件發送承包方遭未經授權存取導致個人資料外洩的致歉與公告（第一份報告）」（2026 年 11 月 4 日）— hasegawa.jp
- Tribeck Corporation，關於因 Arara Inc. 遭未經授權存取導致個人資訊外洩的致歉與通知（2026 年 11 月 4 日）— tribeck.jp
- Chobirich Co., Ltd.，關於承包方電子郵件發送服務遭未經授權存取的致歉與通知（2026 年 11 月 4 日）— chobirich.co.jp
- MOS Food Services, Inc.，關於承包方電子郵件發送服務遭未經授權存取導致客戶資訊外洩的致歉與通知（2026 年 11 月 4 日）— mos.co.jp
- GMO Payment Service, Inc.，「Arara Inc. 遭未經授權存取導致個人資訊外洩」（2026 年 11 月 5 日）— gmo-ps.com
- CYBIRD Co., Ltd.，「【重要通知】關於電子郵件發送服務（Arara Inc.）遭未經授權存取導致個人資訊外洩的致歉與通知」（2026 年 11 月 6 日）— cybird.co.jp
- Pacific League Marketing, Inc.，「關於遭未經授權存取導致顧客電子郵件地址外洩的致歉與通知」（2026 年 11 月 6 日；Sportsmania 刊載的新聞稿）— sportsmania.jp
- 個人資訊保護委員會，「外洩等事件的因應及參考資料」— ppc.go.jp
更新紀錄
2026-11-07：反映 11 月 6 日的第三份報告：遭取得的電子郵件地址由約 7,700 萬個變為排除類別間重複後的 81,329,467 個（約 8,130 萬個）。新增了從另一個雲環境（環境 B）遭取得的 3,249,492 個、共用環境數量的更正（3,386,187 個改為 2,842,400 個）以及 11 月 2 日向部分客戶個別告知的取得期間的更正（從 10 月 28 日起持續到 10 月 31 日停止），並在客戶表格中新增 Tribeck、Chobirich、MOS Food Services、GMO Payment Service、CYBIRD 與 Pacific League Marketing。公告頁面最後更新於 11 月 6 日 21:00；預定在 11 月 7 日 12:00 前後的更新在核對時尚未出現。
2026-11-05：首次發布。依據 Arara Inc. 11 月 2 日的第二份報告（約 7,700 萬個、最多約 380 家企業、最多約 713 萬封偽造郵件）以及 15 家客戶機構的官方公告。公告頁面最後更新於 11 月 4 日 21:00；撰寫本文時，預定在 11 月 5 日 12:00 前後的更新尚未出現。
延伸閱讀
- 類似案例：Ymirlink Cuenote FC 遭未經授權存取 / Blastmail 遭未經授權存取 / JR 東日本、View Card 與 JR 九州電子郵件地址外洩
- 單一客戶的解說：Asoview 會員資料外洩
- 辨識假郵件：什麼是網路釣魚？ / 來自您自己信箱地址的垃圾郵件
- 查核寄件者（面向營運者）：SPF、DKIM 與 DMARC 基礎
- 其他 2026 年事件：2026 年的資料外洩與網路攻擊（日本及全球）