MAKOSOYO Tech

ニュース

アララのメール配信サービスで約7700万件に流出のおそれ、自分が対象かは使っていたサービスからの連絡で分かる。Gmailの「am.arara.com 経由」で見当をつける方法

メール配信サービス「アララ メッセージ」への不正アクセスで、最大約380社の配信先のメールアドレス約7700万件と会員情報が、外部に持ち出されたか、そのおそれがある。アララ自身は個人向けの照会窓口を用意しておらず、対象かどうかは各社の連絡を待つことになる。Gmailの表示でアララを使っていたサービスの見当をつける方法、配信の記録まで流出対象に含まれたことで起きうる偽メール、通知メールが止まっているあいだに確かめることを整理する。

この記事は2026年11月2日時点の情報をもとにしています。その後の状況の変化は原則として反映していません。

企業のメルマガや通知メールの送信を代行する「アララ メッセージ」が不正アクセスを受け、アララは11月2日の第2報で、外部に持ち出された、または持ち出されたおそれのあるメールアドレスが、約7700万件にのぼると発表した。10月29日の第1報では1つのシステムの約301万件とされていたが、利用企業の環境まで侵入されていたことが分かり、影響範囲が大幅に広がった。

アララは裏方の会社なので、アララに登録した覚えがなくても、使っているサービスがアララ経由でメールを送っていれば、自分の情報が含まれている可能性がある。ただ、アララは利用企業の名前を公表していない。この記事では、自分が対象かどうかをどう知るのか、待っているあいだに何に気をつけるのかを整理する。

先に結論

自分が対象かどうかは、アララではなく、使っていたサービスから知らされる。 アララは利用企業すべてに個別に連絡し、各社が自分の会員に知らせる流れになっている。個人が自分のメールアドレスを照会する窓口は、11月2日時点で用意されていない。

アララを使っていたサービスの見当は、Gmailでつけられることがある。 アララ メッセージを利用するサービスのメールでは、Gmailで差出人の横に「am.arara.com 経由」と表示される例がある。ただし、これはアララ経由で送られたことを示す手掛かりにすぎない。メールが本物であることや、自分が今回の漏えいの対象であることの証明にはならない。

流出対象には、メールアドレスや会員情報のほか「配信の宛先等の記録」も含まれる。 そのため、攻撃者が利用サービスとメールアドレスの関係を把握できる可能性がある。記録の詳細や実際に把握された範囲は分かっていないが、使っているサービスの名前を出した偽メールにも気をつけておきたい。

10月28〜30日に news@arara.com から届いた「利用内容確認のご依頼」などのメールは偽物だ。 リンク先でカード番号を入力してしまったら、カード会社に連絡する。

何が起きた？

第2報で、事象は3つに分けて説明されている。

事象 時期 対象 持ち出された（おそれを含む）・送られたもの
共用環境への不正アクセス（第1報の件） 10月27〜28日 利用企業61社 メールアドレス3,386,187件。うち5社は氏名や会社名などを含む最大411,827件
アララのサーバーを経由した、利用企業の環境への侵入（第2報で判明） 10月28〜31日 サーバー97台、最大約380社 メールアドレス約7700万件、各社が登録した会員情報、配信の宛先等の記録
サービスを悪用した偽メールの送信 10月28〜30日 2つの環境 クレジットカード会社を装うメールが最大約713万通

第1報と第2報の件数は、単純に足せない。 同じメールアドレスが複数の事象に重なっている可能性があるため、アララも合計していない。「約7700万件＋約338万件」で約8000万件と考えるのは誤りになりうる。

アララは、記録の読み取り量から持ち出しのおそれがあると判断したものも件数に含めている。2つ目の事象の会員情報の項目は、利用企業によって違う。アララは、氏名、性別、生年月日、電話番号、会員番号、住所などを例に挙げている。約7700万件はメールアドレスの数で、1人が複数のアドレスを持っている場合もあるため、人数ではない。件数は精査中で、今後変わる可能性がある。

アララのサービスはクレジットカード番号を持っていないので、カード番号は流出していない。流出した項目にパスワードも挙がっていない。

アララは10月31日にサービスをすべて止めた。原因は、第1報で「Webサーバーの脆弱性」とされていた。第2報では、それに加えて「システム環境における問題」も関係していたとしている。侵入の経路と開始時期は調査中で、再開の時期は決まっていない。

自分が対象かは、どうすれば分かる？

連絡はサービスから来る

アララは、第2報の公表後すぐにすべての利用企業へ連絡し、各社の環境が対象か、何が流出したかを個別に伝えるとしている。会員に知らせるのは各社だ。11月2日には、大阪ガスやZaifなどが発表を出した。

各社の発表を見ると、分かっている範囲がかなり違う。

サービス 11月2日時点の発表
大阪ガス「FitDish」（おかずの定期便） 10月8日〜29日にメールを送ったアドレス34,489件が流出。メールアドレス以外は含まれない。対象者にはメールで個別に連絡
暗号資産取引所「Zaif」 使っていた環境から流出があったとアララから連絡を受けた。自社の会員のアドレスが含まれるかは、アララが調査中。アララに登録していたのはメールアドレスだけ
鹿児島の決済アプリ「Payどん」 利用者と加盟店のメールアドレスに加えて、決済の日時、店舗名、金額が漏えいした可能性（10月28日発表）
MOVIX亀有などの「SMT Members」 会員情報への影響は調査中。メルマガ、ポイントの有効期限、クーポンのお知らせメールを停止

Payどんの決済情報のように、メールの本文に入れていた情報まで対象になる場合がある。何が漏れたかは、アララの発表ではなく、そのサービスの発表で確かめる必要がある。

第2報より前の「対象外」は、もう一度確かめる

10月30日の時点で「自社は対象外だった」と案内した会社もある。金価格のメルマガを送っているunbankedは、10月30日にアララの調査で自社のメルマガ登録者は対象外だと確認できたとして、配信を再開する予定だった。しかし11月2日に、アララが配信サービスを再び止めて調査を続けているため、再開は調査次第だと更新している。

アララが利用企業の環境への侵入を把握したのは10月31日だ。それより前に出た「対象外」は、範囲が広がる前の調査にもとづいている。unbankedの11月2日の更新には、自社の環境が97台に含まれるかどうかは書かれていない。第1報のあとに「対象外」と知らされたサービスでも、改めて発表を確かめておきたい。

Gmailの「経由」表示で、アララを使っていたサービスの見当をつける

Gmailでは、送信元のドメインと差出人アドレスのドメインが一致しない場合などに、差出人の横に「経由」とドメイン名が表示されることがある。アララ メッセージを利用するサービスでは「am.arara.com 経由」と表示される例があるため、過去に受け取ったメールから、そのサービスがアララを使っていたかを推測する手掛かりになる。

表示される例は、アララ メッセージを使っている別の配信サービスのマニュアルに書かれている。アララの技術資料によると、アララ メッセージでは、送ったメールにアララ側のドメインで電子署名（DKIM）を付ける「第三者署名」が標準で、差出人のドメインで署名する「作成者署名」は個別の申し込みが必要だ。

パソコンのブラウザでGmailを開き、普段メールを受け取っているサービスのメールを開いてみる。差出人の横に「am.arara.com 経由」と出ていれば、そのサービスはアララを使って送っていた可能性が高い。メールを開いて、返信ボタンの横のメニューから「メッセージのソースを表示」を選ぶと、送信経路や署名の情報も見られる。

この表示は、アララ経由で送られたことを示す手掛かりにすぎない。メールが本物であることや、自分が今回の漏えいの対象であることの証明にはならない。

  • 表示が出ても、自分の情報が漏れたとは限らない。 対象はアララの利用企業の一部の環境で、FitDishのように期間を区切った範囲だけが対象の会社もある。
  • 表示が出なくても、無関係とは言えない。 作成者署名にしている会社のメールなど、アララ経由でも表示が出ない場合がある。
  • 本物のメールだという証明にもならない。 今回の偽メールのように、アララのサービスそのものを悪用して送られたメールもある。
  • 確定させる方法ではない。 見当がついたサービスは、公式サイトの発表を見ておく、届いた連絡を見落とさないようにする、という使い方になる。

配信の記録まで流出対象に含まれると、何が困るのか

メールアドレスだけが漏れた場合、届く偽メールは、誰に送っても同じような内容になりやすい。今回は、氏名などの会員情報に加えて、配信の宛先等の記録も流出対象に含まれている。そのため、攻撃者が利用サービスとメールアドレスの関係を把握できる可能性がある。ただし、記録にどこまでの情報が含まれるのか、実際にどの範囲が把握されたのかは公表されていない。

ここからはこの記事での推測になる。利用サービスとメールアドレス、氏名の関係が分かれば、攻撃者は「実際に会員になっているサービスの名前」と「本人の氏名」を入れた偽メールを作れる。Payどんの利用者なら、実際の決済の日時や店舗名まで書いた「この決済に問題がありました」というメールも考えられる。本物らしい内容かどうかでは、偽物を見分けにくくなる。

もう1つ気をつけたいのは、アララの事件そのものに便乗した偽メールだ。対象かもしれないと気になっている人に「対象かどうかを確認する」「お詫びのポイントを受け取る」といったリンクが届けば、押してしまいやすい。アララも各社も、メールでパスワードやカード番号の入力を求めることはないとしている。

713万通の偽メールは、流出とは別の話

10月28〜30日に送られた偽メールは、次のようなものだった。

項目 内容
送信元 news@arara.com
件名 「利用内容確認のご依頼」「ご利用明細確認のご依頼」など
中身 クレジットカード会社を装う
送信先 攻撃者が外部から持ち込んだメールアドレス

送信先は、アララから持ち出したアドレスではなく、攻撃者が外から持ち込んだアドレスだったとアララは説明している。そのため、このメールが届いたかどうかでは、自分のアドレスが今回流出したかは判断できない。届いていないから安心、ということにもならない。

送信元はアララの本物のドメインで、アララのサービスを悪用して送られた。差出人のアドレスが本物の会社のものでも、中身が本物とは限らないという例だ。

このメールが届いていたら、本文のリンクは開かずに削除する。リンク先でカード番号などを入力してしまった場合は、カードの裏面の番号などでカード会社に連絡し、カードを止めてもらう。

通知メールが止まっているあいだに確かめること

アララのサービスが止まっているので、アララで送っていたサービスからは、メールが届かなくなっている。Zaifは各種のお知らせメールを止め、重要な知らせはホームページに載せるとしている。unbankedは、システムが止まっているため、登録者にメールで個別に案内するのが難しいと説明している。

Payどんは、決済と送金の完了メール、チャージのメール、メールアドレスの変更などを止めている。決済そのものは別のシステムで動いていて影響はないとしている。

いつもは完了メールで気づけた身に覚えのない決済や送金に、いまはメールで気づけない。Payどんのように通知が止まっているサービスでは、しばらくはアプリの利用履歴を自分で見る。ポイントの有効期限やクーポンの知らせが止まっているサービスもあるので、気になるものはマイページで確かめておく。

一方、お詫びや注意喚起のメールは、各社が別の仕組みで送ってくる可能性がある。大阪ガスは、FitDishの対象者に個別にメールで連絡するとしている。本物のお詫びメールと偽物が同じ時期に届きうるので、届いたメールのリンクではなく、自分で開いた公式サイトに同じ告知があるかで確かめる。

パスワードやメールアドレスは変えるべき？

流出した項目にパスワードは挙がっていないので、この件を理由に、すべてのサービスのパスワードを変える必要はない。ただ、同じパスワードを複数のサービスで使っているなら、偽メールで1つ盗まれたときに被害が広がるので、メール、銀行、カード、通販といった大事なものから変えておきたい。

メールアドレスについては、今回の流出だけを理由に、すぐ変更する必要があるとは限らない。迷惑メールの増加や、流出した情報を組み合わせたなりすましといったリスクは残る。ただ、アドレスを変えるには、登録しているサービスすべての手続きが必要になる。まずは不審な連絡に注意し、大事なサービスの通知と取引履歴を確かめることを優先したい。

現時点で分からないこと

  • 利用企業の一覧。 アララは公表しておらず、各社の発表を待つことになる。
  • 侵入の経路と開始時期。 アララは調査中としている。10月22日にPHPの脆弱性を受けた緊急メンテナンスを行っていたが、今回の件との関係は発表されていない。
  • 配信の宛先等の記録に何が含まれるか。 利用サービスとメールアドレスの関係をどこまで特定できるのか、メールの本文まで含まれるのかは、アララの第2報には書かれていない。Payどんは、メール送信された個人情報の一部が漏えいした可能性があるとしている。
  • 件数の確定値と、対象企業の数。 どちらも精査中で、アララは第3報で知らせるとしている。

出典

一次情報

その他

← 記事一覧へ