メール配信大手アララに不正アクセス、約301万件のメールアドレスが流出
メール配信サービス「アララ メッセージ」で第三者による不正アクセスが発生し、配信先リストに登録されたメールアドレス約301万件が外部に流出したとアララが2026年10月28日に発表した。対象環境のサービスは停止され、再開時期は未定。メールアドレス以外の情報流出は確認されていないとしている。
何が起きたか
企業向けメール配信システムなどを手がけるアララは、メール配信サービス「アララ メッセージ」で第三者による不正アクセスが発生し、利用企業が登録した配信先リストに含まれるメールアドレス約301万件が外部に流出したと2026年10月28日に発表した。対象は「bvam001」と呼ばれる環境で、被害拡大を防ぐため対象環境のサービスを停止しており、再開時期は決まっていない。メールアドレス以外の氏名・住所・電話番号・パスワードなどの流出は確認されていないという。契約企業ごとにどのメールアドレスが対象になったかは調査中とされる。NHKは10月29日にこの発表を報じている。
発表の経緯と件数の読み方
アララは10月28日、まず不正アクセスを確認したとして対象環境のサービスを一時停止する旨を公表し、その時点では情報漏えいは確認されていないとしていた。同日中に、個人情報の流出を確認したとする発表を続けて行っている。また10月22日にはPHPの重大な脆弱性への対応を目的とした緊急メンテナンスで対象環境を停止していたが、その際も不正アクセスや情報漏えいは確認されていないとしていた。10月22日のメンテナンスと今回の不正アクセスの関係について、発表では説明されていない。約301万件はメールアドレスの件数であり、同一の利用者が複数の配信リストに登録されている可能性があるため、301万人分の情報が流出したと読み替えることはできないと指摘されている。
利用企業への影響
メール配信サービスには多数の利用企業が登録した顧客のメールアドレスが宛先リストとして集約されている。流出したのがメールアドレスだけであっても、どの企業の配信先であったかが分かれば、その企業を装ったフィッシングメールに悪用されるおそれがあると資料は指摘する。ただし、今回のデータを用いたフィッシング攻撃や二次被害が実際に発生したと判断できる情報は、現時点の公表には含まれていない。アララ メッセージを利用する企業は、自社の宛先リストが対象に含まれるか、予約済みメールが送信されるかを確認し、必要に応じて顧客への案内や代替の配信手段の確保を検討する立場にある。サービス停止前に配信予約が完了していたメールは停止中でも配信されると案内されている。
国内で相次ぐ配信サービス侵害の中での位置づけ
2026年10月には、ほかのメール配信サービスでも不正アクセスによる情報流出が相次いで公表され、利用企業がそれぞれ自社の顧客への影響を発表する事態が続いている。今回の事案は個別の事件として扱う必要があり、他社の被害規模と混同すべきではない。企業にとっては、外部サービスにどの顧客情報を預けているかを日ごろから把握しておくことが、問題発生時に迅速に対応する前提になるという整理が示されている。侵入経路や攻撃者の特定に関する詳細は現時点の発表には含まれておらず、原因の断定はできない。