この記事は、アララの公式発表（2026年11月6日の第3報時点）で確認できた内容だけ をまとめたものです。件数などは精査中で、今後変わる可能性があるとされています。新しい発表があれば更新します。
この記事の結論
- アララ（ペイクラウドホールディングスの子会社）は2026年11月6日、メール配信サービス「アララ メッセージ」への不正アクセスの第3報を発表しました（10月29日の第1報、11月2日の第2報に続くものです）。アララ メッセージは、お店やサービスが会員にメールを送るために使う配信サービスです。
- 持ち出されたメールアドレスは、区分の間の重複を除いて81,329,467件（約8,100万件）です。件数はメールアドレスの数であり、人数ではありません（アララが公式に明記しています）。1人が複数のアドレスを持つことがあります。
- 第3報で、これまでとは別のクラウド環境（環境B）からもメールアドレス3,249,492件が持ち出されていたと分かりました。10月28日〜31日の一連の不正アクセスの期間中のもので、新たな不正アクセスではないとしています。
- メールアドレスのほか、会社によっては氏名・性別・生年月日・電話番号・会員番号・住所なども含まれます（環境Bはメールアドレスのみ）。クレジットカード番号は、アララのサービスでは一切持っていないとしています。
- 今やることは、お店・サービスやアララを名乗るメール・SMS・電話への注意と、パスワードの使い回しの見直しです。
何が起きたか
- 10月28日：第三者が、共用環境の管理画面に不正にログインし、データを持ち出しました。アララは同日16時31分にこの環境を緊急停止しました（第2報では「10月27日〜28日」としていましたが、第3報で、不正ログインと持ち出しは10月28日で、10月27日は偵察とみられるアクセスと訂正されました）。
- 10月28日〜30日：アララのサービスの一部が不正に使われ、クレジットカード会社をよそおう不審なメールが送られました。
- 10月28日〜31日：第三者が、サーバーを経由して多数のサーバーに侵入し、データベースの内容を外部に持ち出しました。同じ期間に、別のクラウド環境（環境B）にも、不正に使われた認証情報でアクセスし、メールアドレスを持ち出しました（第3報で判明。新たな不正アクセスではないとしています）。
- 10月28日：アララが最初のお知らせ（メールアドレス約301万件）。10月29日付で第1報を公表。
- 10月31日：アララ メッセージの提供をすべて停止（第2報では19時53分に停止完了）。再開の時期は、第3報時点でも未定です。
- 11月2日：第2報を発表。
- 11月6日：第3報を発表（環境Bの分が加わり、件数が約8,100万件に）。
原因は、第2報の時点では、Webサーバーの脆弱性に加えて、システム環境の問題も関係していたとしています。
件数と、持ち出された項目
| 区分 | 件数（第3報時点） |
|---|---|
| 本サービスを経由した不正アクセス（環境A・契約企業の環境） | メールアドレス 78,102,937件（第2報は約7700万件） |
| 第1報の共用環境（環境A・契約企業61社） | メールアドレス 2,842,400件（第2報は3,386,187件に更新していました） |
| 別のクラウド環境（環境B・第3報で判明） | メールアドレス 3,249,492件（メールアドレスのみ） |
| 区分の間の重複を除いた合計 | メールアドレス 81,329,467件（約8,100万件）。うちメールアドレスのみ 34,285,087件、属性情報等を伴うもの 47,044,380件（この内訳は精査中） |
| 不正に送られた不審メール | 最大約713万通（第2報から変更なし。メールアドレスの件数には含まれません） |
各区分の件数は、その区分の中の重複を除いた数です。第2報の区分ごとの件数を重複がないものとして合算した80,386,187件より、第3報の合計は943,280件多くなっています。件数はメールアドレスの数であり、人数ではありません。対象になる契約企業は最大約380社と推計されています（共用環境の61社と環境Bの社数を含み、精査中です）。
第2報では、共用環境のうち契約企業5社が登録した氏名・会社名などを含む顧客データが最大411,827件とされていました。この数字は第3報では再掲されておらず、第3報時点の共用環境の件数は上の表のとおりです。
- 項目：メールアドレス、契約企業が登録した項目（氏名・性別・生年月日・電話番号・会員番号・住所など。会社によって異なる）、配信の宛先などの記録。環境Bはメールアドレスのみです
- 含まれないもの：クレジットカード番号は、アララのサービスでは一切持っていないとしています
自分が対象か確かめる方法
- アララは、一般の利用者に直接メールを送る会社ではありません。対象になるのは、アララ メッセージを使ってメールを送っているお店・サービスの会員 です。
- どのお店・サービスが対象かは、アララの公式発表（第3報時点）には書かれていません。アララは、すべての契約企業に連絡し、対象かどうかと流出した内容を個別に伝えるとしており、第3報では、環境Bを使っていた契約企業にも個別に連絡するとしています。
- 契約企業が自分から公表した例は、まとめ記事「【随時更新】2026年10月の情報漏えいまとめ」の「アララ経由で公表された会社・団体」にまとめています。
- 会員になっているお店・サービスから「お知らせ」が出ていないかを、ブックマークした公式サイトや公式アプリで確かめます。メールやSMSのリンクからは確かめません。
- アララの問い合わせ窓口（03-5414-3611。アララ メッセージのお知らせの11月8日21時更新の時点で、受付は平日10時〜17時・年末年始を除く）は、アララと直接契約している会社向けです。
今やること
- 偽の連絡に注意する：会社によっては氏名・住所・電話番号も含まれるため、名前入りの「お詫び」「確認のお願い」などのメール・SMS・電話・郵便が来ることがあります。心当たりのない連絡のURLは開かず、ID・パスワード・カード情報は入力しません（「宅配の不在通知SMSが来たら」）。
- news@arara.com からのメールは開かない：10月28日〜30日に、送信元「news@arara.com」から「利用内容確認のご依頼」「ご利用明細確認のご依頼」などの件名のメールが届いていたら、本文のURLを開かずに削除します。リンク先でカード情報を入力してしまった場合は、すぐにカード会社へ連絡します。
- パスワードの使い回しを見直す：パスワードは持ち出された項目に入っていませんが、同じパスワードをいくつものサービスで使っているなら、この機会に変えておくと安心です。二段階認証が使えるサービスでは設定します（「「パスワードが流出したかも」と思ったら」）。
- 公式のお知らせを確かめる：アララは、パスワードやカード情報の入力をお願いするメールを送ることはないとしています。
偽の「お詫びメール」の見分け方
漏えいのあとは、「お詫び」「補償」「返金」「パスワード再設定」をよそおう偽の連絡が届くことがあります。
- メールやSMSのリンクからログインしない。公式サイトは自分で開く。
- 添付ファイルは開かない。
- カード番号・口座番号・暗証番号・マイナンバーは、聞かれても答えない。
- 送信元の表示名や電話の名乗り、自分の名前が書かれていることだけで本物と判断しない。
くわしい見分け方と、入力してしまったときの連絡先は「情報漏えいの「お詫びメール」は本物？偽物を見分けるポイント」にまとめています。
続報の記録
| 発表日 | 内容 |
|---|---|
| 2026年10月28日 | 共用環境「bvam001」のメールアドレス 約301万件の流出を確認。メールアドレス以外の流出は確認されず |
| 2026年11月2日（第2報） | 契約企業の環境（サーバー97台・最大約380社）でメールアドレス 約7700万件（精査中）と会員情報の持ち出し。共用環境は メールアドレス 3,386,187件と顧客データ 最大411,827件に更新。不審メール 最大約713万通。10月31日に全サービス停止 |
| 2026年11月6日（第3報） | 別のクラウド環境（環境B）からメールアドレス 3,249,492件の持ち出しが判明（10月28日〜31日の一連の期間中のもので、新たな不正アクセスではない）。区分の間の重複を除いた合計は81,329,467件（約8,100万件・メールアドレスの数で人数ではない）。共用環境は2,842,400件に改め、不正ログインと持ち出しは10月28日（10月27日は偵察とみられるアクセス）と訂正。サービスの再開は未定 |
※新しい発表が出たら、この表に追加します。
ほかの漏えいもまとめて見る
2026年10月に発表されたほかの情報漏えいは「【随時更新】2026年10月の情報漏えいまとめ」で一覧にしています。