差出人「news@arara.com」の不審メール　件名と届いた期間

流出の範囲も広がった。10月29日の第1報ではメールアドレス約301万件としていたが、契約企業の環境でもデータの持ち出しが見つかり、持ち出された恐れのあるものを含めて約7700万件に上る。対象の契約企業は、現時点の推計で最大約380社となる。

ペイクラウドHDによると、アララメッセージの一部の環境が第三者に不正利用され、カード会社を名乗るメールの送信に使われた。10月28日に不正利用を確認し、同日7時にその環境への外部からのアクセスを止めたが、別の環境でも同日8時47分ごろから不正利用が続いていたことが30日に分かり、こちらも同日遮断した。新たな送信は30日13時32分を最後に止まっている。

不審メールの特徴は次のとおりだ。

項目	内容
送信された期間	10月28日から30日
送信件数	最大約713万通（2つの環境の合計）
差出人のアドレス	news@arara.com
件名の例	「利用内容確認のご依頼」「ご利用明細確認のご依頼」など
送信先	第三者が外部から持ち込んだメールアドレス

送信先について、同社は「第三者が外部から持ち込んだメールアドレス」と説明している。流出したアドレスの一覧に宛てて送られたとは発表していない。この不正送信そのものについては、メールアドレス以外の個人情報の流出は確認されていないという。

アララメッセージは、企業が会員向けのメールマガジンやお知らせを大量に送るための裏方の仕組みだ。ふだんは利用企業の名前でメールが届くため、受け取る側が「アララ」の名前を目にする機会は少ない。カード会社を名乗りながら差出人がメール配信会社のアドレスになっている点が、見分ける手がかりになる。

開いてしまった、カード情報を入れてしまったときは

ペイクラウドHDは、10月28日から30日に「news@arara.com」から上記の件名のメールを受け取った場合、本文中のURLにアクセスせずに削除するよう呼びかけている。リンク先でカード情報などを入力してしまった場合は、すぐにカードの発行会社へ連絡するよう求める。

同社はあわせて、アララやアララメッセージの契約企業をかたるメール、SMS、電話、郵便物にも注意を促す。心当たりのない連絡に書かれたURLを開かないこと、IDやパスワード、カード情報を入力しないこと、添付ファイルを開かないことの3点だ。アララと同社から、パスワードやカード情報の入力を求めるメールを送ることはないとしている。

ユミルリンクの件と同じ件名が使われた

件名の「利用内容確認のご依頼」は、10月に情報漏えいを公表したメール配信会社ユミルリンク（Cuenote）のドメイン「cuenote.jp」のアドレスを差出人にして、セゾンカードを名乗って出回った迷惑メールでも使われていた。どちらも、差出人はメール配信会社のアドレスなのにカード会社を装う手口だった。ただし、両方の件を同じ人物やグループが起こしたかどうかは、どちらの会社も明らかにしていない。

アララメッセージとは　どんな企業が使っていたのか

アララ株式会社は東京都港区南青山に本社を置くペイクラウドHDの連結子会社で、メッセージングサービスやデータセキュリティサービスなどを手がける。アララメッセージは同社のメール配信システムで、公式サイトではメールマガジンやDMなど大量のメールを速く届けることをうたい、外部のシステムとAPIでつなぐこともできる。

被害の対象になった契約企業は最大約380社と推計されているが、アララとペイクラウドHDは対象になった企業の名前を公表していない。どこが対象になり得るかは、各企業・自治体が自ら出したお知らせで知るしかないのが現状だ。

Payどん・沖縄県・土木学会など　影響を公表した利用側

11月2日夕方までに、アララメッセージの利用や影響を公表した主な例を発表日の順にまとめた。

発表日	公表した側	主な内容
10月28日	鹿児島銀行など4金融機関（Payどん）	利用者と加盟店のメールアドレス、決済情報が漏れた可能性
10月28日	ひょうご防災ネット（兵庫県と県内市町）	防災メールの配信を停止、第1報の約301万件には含まれないと確認
10月29日	沖縄県	委託事業のメルマガ会員のアドレス2560件が漏れた可能性
10月29日	土木学会	学会のアドレスが含まれるか確認中
10月29日	鹿児島市	Payどんでのプレミアムポイント販売を延期
10月30日	日刊工業新聞社	自社のアドレスが含まれるか確認中、配信の一部を停止
10月30日	ココヘリ	自社の顧客のアドレスが含まれるか未確認
11月2日	SMT Members	メルマガなどの配信を停止、会員情報への影響は調査中

Payどん（鹿児島銀行・南日本銀行・鹿児島相互信用金庫・鹿児島信用金庫）

鹿児島県内の4金融機関が手がけるスマホ決済「Payどん」は、メールの送信をアララに任せていた。4金融機関の10月28日の発表によると、漏れた可能性があるのは、Payどんの利用者と加盟店のメールアドレスに加え、決済の日時、店舗名、支払金額だ。件数は示されていない。

同日17時23分にアララがサービスを止めたため、決済や送金の完了メール、チャージや地域振興券の購入完了メールなどのメール通知と、新規登録が止まっている。二次被害の報告はまだないとし、4金融機関を名乗る不審なメールのURLや添付ファイルを開かないよう求めた。

この影響は自治体の事業にも及んだ。鹿児島市は29日10時からPayどんで売り出す予定だった「天文館・かんまちエリア応援プレミアムポイント」の販売を延期した。

「第三者による「Payどん」への不正アクセス事案の発生を受け、当面販売を延期いたします。（鹿児島市のお知らせより）」

再開の時期は、Payどんのメール配信の委託先による調査の状況を踏まえて決めるとしている。

沖縄県「島まーる」

沖縄県は、「離島とのつながり促進事業（島まーる）」を受託した共同企業体（代表者は株式会社おきなわコークリエーション）が、アララメッセージでメールマガジンを配信していたと発表した。漏れた可能性があるのは、メルマガ会員が申し込みの際に登録したメールアドレス2560件で、名前などほかの情報の漏えいはないという。漏えいが確認された会員には受託事業者から個別に案内するとしている。

ひょうご防災ネット

兵庫県と県内の市町が共同で運用する防災情報サービス「ひょうご防災ネット」は、メールの配信機能をアララに委託している。10月28日にメールでの防災情報の配信を止め、アララが公表した約301万件の中に、ひょうご防災ネットのアドレスは含まれていないことを確認したと説明した。アプリとウェブサイトはふだんどおり使えるとしている。

30日にはアララのシステムの安全性が確認できたとして配信を再開したが、31日に緊急メンテナンスのため再びメール配信を止めた。セキュリティ上の予防的措置で、28日の事案とは関係ないとし、再開時期は未定だ。アドレスが含まれていないという説明は、第2報で流出の範囲が広がる前のものになる。

土木学会・日刊工業新聞社・ココヘリ・SMT Members

土木学会は、メールニュースなどの配信にアララメッセージを使っていると公表した。学会が登録したアドレスが流出分に含まれるかは確認中で、照合のための問い合わせフォームを設けている。日刊工業新聞社も、自社が配信に使ったアドレスが含まれるかは確認できていないとし、関連するメール配信の一部を止めた。

山岳遭難対策の会員サービス「ココヘリ」を運営するAUTHENTIC JAPANは、利用しているメール配信サービス「アララ メッセージ」の提供元としてアララの名前を挙げ、自社の顧客のアドレスが含まれるかは確認できていないと説明する。送信者名やアドレスは偽装されることがあるとして、メール内のリンクを使わず公式サイトから問い合わせるよう呼びかけた。

映画館の会員サービス「SMT Members」は11月2日、アララメッセージの停止を受けてメールマガジンやポイント有効期限のお知らせ、クーポンのお知らせの配信を止めたと発表した。会員情報への影響は調査中としている。チケットの購入やポイントの利用はふだんどおりで、クーポンはマイページで使える。

自分のアドレスが対象か　確かめる手順

一般の利用者が自分のアドレスが含まれているかを直接調べられる窓口は、ペイクラウドHDの第2報には書かれていない。第2報によると、アララは公表後すぐにすべての契約企業へ連絡し、各社の環境が対象かどうか、流出した情報の中身を個別に伝えるとしている。

利用者にとっての手順は、次のようになる。

• メルマガや通知メールを受け取っているサービス（企業・自治体・団体）の公式サイトやアプリのお知らせを確かめる
• 確かめるときは、届いたメールのリンクを使わず、ブックマークや公式アプリから自分で開く
• 土木学会のように、照合の問い合わせを受け付けている団体もある

なお、アララが設けている電話窓口（03-5414-3611）は契約企業向けのサポート窓口だ。一般の受信者向けの専用窓口ではない点に気をつけたい。

上の表のとおり、自社が対象かどうかを「確認中」とする利用側も多い。沖縄県や土木学会、日刊工業新聞社は、新たに分かったことを公表するとしている。最初のお知らせだけで判断せず、続報も見ておきたい。

約7700万件・最大380社　第2報で広がった流出の中身

第1報の時点で、不正アクセスが見つかっていたのは複数の企業が共同で使う「共用環境」の1システムだった。第2報では、これに加えて契約企業ごとの環境、サーバー97台でもメールアドレスと会員情報が外へ持ち出されていたことが分かった。

流出した情報は、メールアドレスのほか、契約企業が登録していた氏名、性別、生年月日、電話番号、会員番号、住所など。登録した項目は企業によって違う。配信の宛先などの記録も含まれる。クレジットカード番号は、アララメッセージでは一切持っていないという。

件数は区分ごとに次のとおりだ。

区分	件数・社数
契約企業の環境（サーバー97台）のメールアドレス	約7700万件（持ち出された恐れを含む）
対象の契約企業	最大約380社（推計）
共用環境のメールアドレス	338万6187件（重複を除く）
共用環境の顧客データ（5社分）	最大41万1827件
共用環境に関係する契約企業	61社

約7700万件は人数ではない。1人が複数のアドレスを持つこともあるため、最終的な利用者の数を表すものではないと同社は説明する。区分の間で重なっている可能性もあり、同社は件数を足し合わせていない。いずれの数字も精査中だ。

原因について、第1報ではWebサーバーの脆弱性（安全上の欠陥）を第三者に悪用されたとしていた。第2報では、これに加えてシステム環境の問題も関わっていたと説明している。一連の不正アクセスは、攻撃元が共通していることなどから同じ第三者によるものとみられ、侵入が始まった時期と経路は調査中だ。

偵察から全面停止まで　経緯と再開の見通し

第2報が示した主な経緯をまとめた。

日時	出来事
10月27日 8時36分	偵察とみられるアクセス
10月28日 3時59分ごろ	不審メールの送信が始まる
10月28日 7時	その環境への外部アクセスを停止
10月28日 8時47分ごろ	別の環境で送信が始まる
10月28日 11時9分から15時43分	共用環境の管理画面に不正ログイン、データを持ち出し
10月28日 16時31分	共用環境を緊急停止
10月29日	第1報を公表、個人情報保護委員会と警察に届け出
10月30日 13時26分	別環境からの不審メールを遮断
10月31日 午前	契約企業の環境からの持ち出しを把握
10月31日 19時53分	サービスの停止を完了

共用環境では、管理画面に不正にログインし、データを書き出す機能などを悪用して持ち出していた。契約企業の環境からの持ち出しは、29日1時36分から30日2時22分にかけてあったという。

アララメッセージは10月31日から止まったままで、再開の時期は決まっていない。侵入経路の特定、認証情報の全面的な変更、システムの安全確認などを終えてから判断し、再開の際は契約企業に管理画面のパスワードやAPIキーの再設定を求める予定だ。ペイクラウドHDのほかの子会社のサービスに影響はないとしている。

個人情報保護委員会には10月29日に速報を出し、11月2日に報告する予定。警察には29日に通報した。件数などは引き続き精査し、第3報で知らせるという。2027年8月期の業績への影響も精査中だ。

10月のユミルリンクに続き、企業の裏側でメールを送る配信会社が狙われた。アララは第2報の公表後、すべての契約企業へ連絡するとしている。心当たりのあるサービスのお知らせは、公式サイトやアプリで直接確かめたい。

関連記事：ユミルリンクの情報漏えい、延べ5162万件超に拡大　セゾンカードを装う「cuenote.jp」の迷惑メールと、スマートEXなど公表した企業・自治体

関連記事：ガンダムベース会員34万件超のメールアドレスが漏えい　委託先ユミルリンクに不正アクセス、パスワード・カード情報は対象外

[文/構成 by ライター 飯田タツヤ]