トレンド

アララメッセージに不正アクセス|最大7,700万件のメールアドレス流出、自分は対象?

公開日:2026-11-04

結論:まずここだけ読めばOK

1.メール配信サービス「アララメッセージ」への不正アクセスで、第2報(2026年11月2日)では、契約企業向けのサーバー97台から、最大約380社分・メールアドレス約7,700万件と会員情報が持ち出された、またはそのおそれがあるとされた
2.7,700万件、338万6,187件、713万通は、別の数字。7,700万件は契約企業向け環境、338万6,187件は共用環境、713万通は、カード会社を装う不審メールの通数
3.不審メールは、送信元が「news@arara.com」で、件名は「利用内容確認のご依頼」など。送信先は、第三者が外部から持ち込んだアドレスと説明されていて、届いただけでは、自分が漏えい対象とは限らない
4.TKC、北陸電力、大阪ガス、小田急トラベル、神戸新聞NEXTなど、利用企業が相次いで公表している。自分がやることは、登録先の公式確認、不審メールを開かないこと、パスワードの点検

詳しい手順・原因は、この下で解説しています。

トレンドのイラスト

結論: メール配信サービス「アララメッセージ」への不正アクセスは、2026年11月2日の第2報で、契約企業向けのサーバー97台、最大約380社、メールアドレス約7,700万件にまで広がりました。クレジットカード会社を装う不審メール(最大約713万通)も、送られています。ただし、不審メールが届いただけでは、自分が漏えいの対象とは限りません。自分がやることは、①登録先の公式で確認、②不審メールを開かない、③パスワードの点検の3つです。

※この記事は、2026年11月3日までの報道と、利用企業の公表(TKC、神戸新聞NEXTなど)に基づきます。数字は、精査中で、今後、変わる可能性があります。

何が起きたのか

アララ株式会社が提供する、企業向けのメール配信サービス「アララメッセージ」が、第三者による不正アクセスを受けました。メール配信サービスは、企業が、会員やメルマガ登録者に、お知らせを一斉に送るために使います。

時期	内容
10月28日	第1報。共用環境で、メールアドレス約301万件が外部に流出したと公表
11月2日	第2報。契約企業向けの環境にも、サービス本体を経由して侵入されていたと判明し、範囲が拡大

3つの数字の違い

共用環境と契約企業向け環境の影響、不審メールの通数、送信元と件名を整理した図解

第2報では、似た数字が複数出てくるため、混同しやすくなっています。

数字	何の数字か
約7,700万件	契約企業向けの環境(サーバー97台、最大約380社)から、メールアドレスと会員情報が、持ち出された、またはおそれがある分。精査中
338万6,187件	共用環境(10月27〜28日に不正操作)の、契約企業61社のメールアドレス(重複を除く)。初報の約301万件から更新。このうち5社の、氏名や会社名などの顧客データが、最大41万1,827件含まれていたと報じられている
約713万通	不審メールの通数。10月28〜30日に、2つの環境から、クレジットカード会社を装うメールが、最大約713万通送られた

7,700万件は、メールアドレスの件数で、人数ではありません。

不審メールについて

第2報によると、不審メールの特徴は、次のとおりです。

送信元:「news@arara.com」
件名の例:「利用内容確認のご依頼」「ご利用明細確認のご依頼」など
内容:クレジットカード会社を装っている

届いただけでは、対象とは限らない

不審メールの送信先は、第三者が外部から持ち込んだメールアドレスと説明されています。つまり、このメールが届いたことは、「アララの契約企業の会員だった」ことの証拠にはなりません。

届いても、自分の情報が漏れたとは限らない
ただし、メールは偽物。リンクや添付ファイルは開かない
見分け方は、フィッシングとはと、フィッシングメールを開かないための仕組みで解説しています

利用企業の公表(報道・各社の発表ベース)

アララから、影響範囲が分かった契約企業へ、順に個別に案内が行われていて、利用企業の公表は、今後も続くとみられます。

企業・団体	公表されている内容
TKC	顧客のメールアドレス最大2,230,812件。会計事務所・企業・自治体向けの一部システムで、メール送信を停止(11月2日の第2報)
北陸電力(「ほくリンク」)	約55万件と報じられている
大阪ガス(「FitDish」)	メールアドレス34,489件
小田急トラベル	メールアドレス63,006件
神戸新聞NEXT	メールマガジン受信者のメールアドレス(アドレスのみ)約4万件。すべてのメールサービスを停止
ユーコープ、大阪市の行政オンラインシステムなど	影響または、その可能性を公表(詳細は、各社の発表を確認)

**上の一覧がすべてではありません。**自分が登録している企業の、公式の発表を確認してください。

自分がやること:3つ

登録先の公式で確認、不審メールは開かない、届いただけでは対象とは限らないことを示した図解

① 登録先の公式サイトで確認する

自分が会員登録や、メルマガ登録をしている企業(電力・ガス・旅行・新聞・自治体など)の、公式サイトのお知らせを、自分で開いて確認します。企業から個別にメールが届くこともありますが、メールのリンクは使わず、公式サイトやアプリから確認します。

② 不審なメールは、開かない

「利用内容確認のご依頼」「ご利用明細確認のご依頼」といった、カード会社を装う連絡は、リンクや添付を開かず、カード裏面の連絡先や、公式アプリで確認します。

③ パスワードの使い回しを点検する

今回の発表の範囲では、パスワードが漏れたとの記載は、確認できません(11月3日時点)。ただし、メールアドレスが漏れると、迷惑メールやフィッシングが増えやすくなります。

同じパスワードを、複数のサービスで使い回していないか確認する(パスワード管理の基本)
可能なら、二段階認証やパスキーを設定する(二段階認証とパスキー)
重要なサービスと、メルマガ用で、アドレスを使い分ける(メールアドレスの使い分け)

「メール配信の委託先」が続けて狙われている

10月26日に公表された、ユミルリンク(「Cuenote FC」)の不正アクセスと同じように、メールの配信を委託している先で、複数の企業の情報が、まとめて漏れる事案が続いています。

自社のシステムが無事でも、預けたデータが漏れる
利用者は、自分が直接契約していない会社の事案の影響を受ける

ユミルリンクの事案は、ユミルリンク不正アクセスで5162万件漏えい|自分は対象?やることで整理しています。

事業者・運営者が見直したいこと

委託先で起きた事案では、利用企業側の対応も、問われます。

観点	確認したいこと
預けている情報	どの情報を、何件、委託先に預けているか。不要な情報を預けていないか
認証情報の更新	委託先のサービスにつなぐ、認証情報(APIキーなど)を、再発行・更新したか
代替の手段	配信が止まった時に、重要なお知らせを送る手段があるか
利用者への連絡	影響の範囲が分かった時に、利用者へ知らせる手順があるか
委託先の管理	委託先の体制を、定期的に確認しているか(委託先管理(ベンダーリスク管理)とは)

まとめ

アララメッセージの不正アクセスは、**第2報(11月2日)**で、サーバー97台・最大約380社・メールアドレス約7,700万件に拡大した
**7,700万件(契約企業向け環境)、338万6,187件(共用環境)、約713万通(不審メール)**は、別の数字
不審メールは、「news@arara.com」から届き、送信先は第三者が持ち込んだアドレス。届いただけでは、対象とは限らない
自分がやることは、登録先の公式で確認、不審メールを開かない、パスワードの点検

参考にした情報源

株式会社TKC「メール配信委託先への不正アクセスによる情報漏えいに関する件(第2報)」(2026年11月2日)
神戸新聞NEXT「【お詫び】アララ社への不正アクセスによる情報流出およびメールサービス停止について」(2026年11月)
ビジネス+IT、ASCII、セキュリティ対策Labなどの、11月2〜3日の報道(アララの第2報の数字)

FIDOセキュリティキー TrustKey T110 FIDO2 U2F 二要素認証 USBキー PIN+タッチ（非生体認証） USB-Aタイプ

¥4,930

楽天で見る

SHAREX LINE はてブ

よくある質問

Q.不審なメールが届きました。自分も流出の対象ですか?

A.届いただけでは、対象とは限りません。アララの第2報では、不審メールの送信先は、第三者が外部から持ち込んだメールアドレスと説明されています。つまり、このメールが届いたことは、アララの契約企業の会員だった証拠にはなりません。ただし、メールは偽物なので、リンクや添付ファイルは開かないでください。

Q.7,700万件は、7,700万人という意味ですか?

A.いいえ。メールアドレスの件数で、人数ではありません。同じ人が、複数の配信リストに登録されていれば、重複して数えられている可能性もあります。また、持ち出しが確認された分と、持ち出されたおそれのある分を含む数字で、精査中とされています。

Q.どんな情報が漏れましたか?

A.中心は、メールアドレスです。第2報では、契約企業向け環境からは『メールアドレスと会員情報』が持ち出された、またはそのおそれがあるとされ、共用環境では、5社が登録した氏名や会社名などの顧客データが、最大411,827件含まれていたと報じられています。実際に何が漏れたかは、利用企業ごとに異なるため、各社の発表を確認してください。

Q.パスワードも漏れましたか?

A.アララの発表と、利用企業の公表の範囲では、パスワードが漏れたとの記載は、確認できません(11月3日時点)。ただし、利用企業ごとに内容が違うため、自分が登録しているサービスの発表で確認してください。使い回しの点検は、この機会にしておくと安心です。

Q.自分が対象かどうかは、どう確認しますか?

A.アララから、影響範囲が分かった契約企業へ、順に個別に案内されていて、利用者への連絡は、各企業が行います。自分が会員登録やメルマガ登録をしている企業の、公式サイトのお知らせを、自分で開いて確認してください。企業から個別のメールが届くこともありますが、メールのリンクではなく、公式サイトやアプリから確認します。