アララ メッセージに不正アクセス、メアド約301万件流出【2026年10月】

2026年10月29日、アララ株式会社は、メール配信サービス「アララ メッセージ」への不正アクセスで、利用企業が持つメールアドレス約301万件が外部に持ち出されたと発表しました。原因はWebサーバーの脆弱性を第三者に悪用されたことで、対象の環境ではサービスの停止が続いています。

当社が提供する「アララメッセ－ジ」への不正アクセスによる情報流出およびサービス停止について｜ニュース｜アララ株式会社

流出したのは、企業がメールを送るために登録していた配信先のメールアドレスです。つまり、アララ メッセージを使う企業からメールを受け取っていた人が対象になり得ます。サービスを使う企業だけでなく、メールを受け取る側も偽メールへの備えが必要になったという位置づけです。

アララ メッセージの情報流出とは？一言でまとめると

一言でいうと、企業向けメール配信サービスのサーバーの1つに不正アクセスがあり、配信先リストのメールアドレスが持ち出されたという事案です。

アララ メッセージは、企業がメールマガジンや通知メールを一斉に送るためのメール配信サービス（SaaS）です。画面で操作する一斉配信と、自社システムからつなぐメール配信APIがあり、料金は月額9,980円から（5万通/月）と案内されています。

攻撃者が誰か、どの脆弱性が使われたかは公表されていません。アララは、外部の専門機関と連携して全サービスの脆弱性箇所を再点検するとしています。

経緯：10月22日の緊急メンテナンスから流出の公表まで

アララは、アララ メッセージのサイトの「お知らせ」で、10月22日から状況を公表しています。

まず10月22日、PHPで深刻度「緊急」の脆弱性が2件公表されたことを受けて、緊急メンテナンスを行いました。このときアララは、予防的な対応であり、関連する不正アクセスや情報漏えいは確認されていないと説明しています。同日19時から、順次サービスを再開すると案内していました。

10月28日には、第三者による不正アクセスが起きていることを確認し、対象環境のサービスを止めました。同じ日のうちに、メールアドレス約301万件の流出を公表しています。10月29日には、原因をWebサーバーの脆弱性の悪用とする発表を、コーポレートサイトにも掲載しました。

なお、10月22日のメンテナンスと10月28日の不正アクセスに関係があるかどうかは、公式発表では示されていません。

流出した情報と件数

アララが「流出を確認した」としているのは、エンドユーザーリストに登録されたメールアドレスです。エンドユーザーリストとは、利用企業がメールを送る相手として登録した配信先の一覧のことです。

• 流出した件数は約301万件（10月28日・29日の発表）
• 対象は1つのシステム（環境「bvam001」）で、その環境を使う利用企業のメールアドレス
• メールアドレス以外の情報の流出は確認されていません
• どの利用企業のどのアドレスが含まれるかは、詳細を調査中です

「約301万件」は件数であり、301万人とは限りません。同じ人が複数の企業のリストに入っている場合なども考えられますが、重複の有無について公式発表には記載がありません。

一方で、利用企業の側では、メールアドレス以外の情報も漏えいした可能性があると発表した例があります。メールの本文に書かれていた内容です。詳しくは次の「影響を公表した利用企業」で紹介します。

サービスの停止状況：いつ再開する？

10月29日時点で、対象環境のサービスは停止したままで、再開時期は未定です。アララは、見通しが立ち次第あらためて案内するとしています。

停止前に予約したメールは止まらずに送られる点は、利用企業にとって注意が必要です。内容を変えたい・止めたい配信がある場合は、サポートデスクに相談することになります。

なお、10月22日の緊急メンテナンスの時点では、アララ メッセージGUI、API v1、repica editor、repica auto-mailが使えず、repica sender とAPI v2は通常どおり動いていると案内されていました。10月28日からの停止で、どのサービスが止まっているかは公表されていません。

影響を公表した利用企業

10月29日までに、アララのサービスを使う企業や団体が、自社の公式ページで影響を公表しています。

① Payどん（鹿児島の4金融機関）

鹿児島の決済アプリ「Payどん」は、メール送信をアララに委託していました。南日本銀行・鹿児島銀行・鹿児島相互信用金庫・鹿児島信用金庫の連名の発表によると、漏えいした可能性があるのは次の情報です。

• Payどんユーザーのメールアドレス
• Payどん加盟店のメールアドレス
• 決済情報（日時、店舗名、支払い金額）

決済完了メールなどで送っていた内容が対象になった可能性がある、ということです。10月28日17時23分から、メール通知機能と新規登録が止まっています。二次被害の報告はないとしたうえで、4行庫を名乗る不審なメールに注意するよう呼びかけています。

② MultiPost（複数SNS一括投稿ツール）

MultiPost は公式 note で、メールマガジンの配信にアララのサービスを使っていたと公表しました。利用者のアドレスが流出に含まれるかは確認中です。

MultiPost のパスワードや連携した SNS アカウントの情報は流出していないとしています。ログインや通知のメールは通常どおりで、メールマガジンの配信だけを止めています。

③ ＝LOVE のファンクラブ

アイドルグループ＝LOVE の公式サイトは、ファンクラブのメール配信に使うアララのサービスが緊急メンテナンス中だと告知しました。不正アクセスのあった環境はファンクラブが使う環境とは別で、会員情報への影響は極めて低いとの報告を受けたとしています。

ただし、メールマガジンと誕生日メールの配信は一時停止しています。このように、流出の対象でない企業でも、メールが届かない影響が出ています。

メールを受け取る人がやること

アララ メッセージを使う企業は多く、自分がどの企業のリストに入っていたかは、受け取る側からは分かりません。アララ・利用企業・IPA（情報処理推進機構）の案内をもとに、やることを整理します。

① 心当たりのないメールは開かずに削除する

アララは、心当たりのない不審なメールを受け取ったら、次のことをせずに削除するよう求めています。

• 本文中のURLにアクセスする
• メールに返信する、添付ファイルを開く
• ID・パスワードや個人情報を入力する

IPA も、メールアドレスが漏えいするとリスト化されて詐欺の偽メールに悪用されるおそれがあるとして、突然届くメールやSMSは基本的に偽メールと考えて無視するよう呼びかけています。

② 企業からの連絡は公式サイトから確かめる

流出の対象になった企業から、お詫びや確認の連絡が届くこともあります。本物と偽物の見分けがつきにくい時期なので、メールの中のリンクではなく、ブックマークや検索から公式サイトを開いて確かめるのが安全です。

IPA は、メールの真偽を確かめたいときは正規のサイトを調べてそこから問い合わせるよう案内しています。MultiPost も、メールでパスワードやクレジットカード番号を尋ねることはないと明言しています。

③ Payどんの利用者は決済の通知を装うメールに注意する

Payどんでは、メールアドレスに加えて決済の日時・店舗名・金額も漏えいした可能性があります。発表した4つの金融機関（4行庫）は、4行庫を名乗る不審なメールに注意し、URLや添付ファイルを開かないよう求めています。

また IPA は、漏えいの有無にかかわらず日頃の対策として、パスワードを長く複雑にして使い回さないことや、多要素認証・パスキーの設定を挙げています。

漏えいの連絡を受けたときの対処は、IPA が情報の種類ごとにまとめています。

あわせて読みたい

免許証画像が漏えいしたら？IPAが対処法を公開【2026年10月】

アララ メッセージを使っている企業が確認すること

アララは、対象の利用企業には別途連絡しているとしています。公式発表の内容から、利用企業が押さえておきたい点は次のとおりです。

• 自社が対象環境（bvam001）か：アララからの個別連絡と、サポートデスクへの問い合わせで確認する
• 予約済みの配信：停止前に予約したメールは停止中でも送られる
• 流出したアドレスの範囲：対象環境の各社について、アララが詳細を調査中
• 配信内容に含めていた情報：Payどんのように、メールで送っていた内容まで漏えいの可能性を公表した例がある

Payどん・MultiPost・＝LOVE はいずれも、発表当日か翌日に自社の公式ページで状況を公表しています。メールマガジンを止めたことと、利用者に何をしてほしいかを早めに伝えている点は、他の利用企業にも参考になります。

利用者の声

はてなブックマークでは、この件を伝えた NHK ニュースのエントリーに、10月29日時点で15件のブックマークが付いています。

• コメントは、社名の「アララ」にかけた短い反応が中心です。はてなブックマークのユーザー nacika_inscatolare さんの「あらら・・・」、alph29 さんの「失礼、漏れまみた」などです（出典）
• 10月29日の確認時点では、自分が対象か調べる方法や対策に触れたコメントは見当たりませんでした（出典）

公表から間もないため、利用企業の担当者や開発者の詳しい反応は、まだ多くありません。

IT Picks的な所感

今回の件は、自分が登録した覚えのない会社から、自分のメールアドレスが漏れるという、委託先の事故ならではの分かりにくさがあります。メールを受け取る人の多くは「アララ」という名前を知らないはずで、どの企業のメール経由で対象になったのかは、利用企業からの連絡を待つしかありません。

利用企業にとっては、メール配信サービスに預けているのはアドレスだけではないことを示した事例だと思います。Payどんのように決済の内容をメールで送っていれば、その内容も漏えいの対象になり得ます。配信先リストや本文にどこまで個人の情報を入れるかは、見直す価値がありそうです。

アララは全サービスの脆弱性箇所の再点検と、攻撃に関する情報の共有を表明しています。流出したアドレスを企業ごとに特定する調査と、サービス再開の時期は、続報を待ちたいところです。

10月は国内で情報流出の公表が相次いでおり、コミックシーモアでも会員情報の流出と一部再開が発表されています。

あわせて読みたい

コミックシーモアが一部再開、情報流出の範囲とやること【2026年10月】

So-net でも約258万件の情報漏洩が発表されました。

あわせて読みたい

So-netで約258万件の情報漏洩、利用者がやること【2026年10月】

まとめ

アララ メッセージへの不正アクセスのポイントをまとめます。

• 発表日：2026年10月28日（流出の公表）、10月29日（原因を含む発表）
• 対象：メール配信サービスのサーバーシステムのうち1システム（環境「bvam001」）
• 流出した情報：利用企業が登録した配信先のメールアドレス 約301万件（ほかの情報の流出は確認されていない）
• 原因：Webサーバーの脆弱性を第三者に悪用された
• サービス：対象環境は停止中、再開時期は未定（予約済みの配信は停止中も実行）
• 利用企業の公表：Payどん（決済情報も漏えいの可能性）、MultiPost、＝LOVE ファンクラブなど
• やること：心当たりのないメールは開かずに削除、企業からの連絡は公式サイトから確かめる

企業からのメールを受け取っている人は、しばらくは不審なメールのリンクを開かず、公式サイトから確かめることを習慣にしておきましょう。

IT Picks 編集部

ITツール・Webサービス紹介メディア

IT Picks 編集部。VPS・クラウド・AIツール・SaaSを中心に、実際に検証した情報を届けるITメディアです。「本当に使えるか」を基準に、初心者からエンジニアまで役立つ記事を制作しています。