メール配信サービス「アララメッセージ」が不正アクセスを受けた問題で、運営会社アララの親会社ペイクラウドホールディングス（東証グロース）は11月6日、第3報を公表し、外部に持ち出されたメールアドレスが重複を除いて8132万9467件に上ると明らかにした。持ち出された恐れのあるものを含む。第2報の時点で確認できていなかった別のクラウド環境からも、324万9492件の持ち出しが判明した。全体のうち4704万4380件は、メールアドレスに氏名などの会員情報を伴う。サービスは10月31日から止まっており、再開の時期は決まっていない。

別のクラウドからも324万件、合計を初めて公表

第3報で加わったのは、アララのサービスの他のサーバーとは別のクラウド上にある「環境B」だ。第三者が10月28日から31日にかけて認証情報を不正に使って侵入し、データを持ち出した。アララは31日にこの認証情報を無効にし、環境Bを止めている。流出したのはメールアドレスのみだという。

ペイクラウドによると、環境Bの持ち出しは一連の不正アクセスの期間中に起きたもので、新たな攻撃ではない。第2報の時点では調査中で、範囲と件数を確認できていなかった。調査の範囲を広げた結果、判明したと説明している。

第2報は、区分の間でアドレスが重複している可能性があるとして、件数を合算していなかった。第3報は重複を除いた合計を初めて示した。第2報の区分をそのまま足した8038万6187件と比べると、94万3280件多い。10月29日の第1報の約301万件と比べると、8日間で約27倍になった。

区分 第2報（11月2日） 第3報（11月6日） うち会員情報を伴う件数
サービスを経由した不正アクセス 約7700万件 7810万2937件 4675万6562件
第1報の共用環境 338万6187件 284万2400件 33万5089件
別のクラウド環境（環境B） ― 324万9492件 0件
区分の間の重複 ― ▲286万5362件 ▲4万7271件
合計 合算せず 8132万9467件 4704万4380件
持ち出されたメールアドレスの件数（重複の合計は本紙が内訳から計算）

出典: ペイクラウドホールディングス「情報流出およびサービス停止について（第３報）」

一部の数字は下がった。第1報の共用環境の件数は、第2報の338万6187件から284万2400件に改められた。第3報は改めた理由を記していない。この環境の不正ログインと持ち出しの日付も、第2報の「10月27日から28日」を、持ち出しは28日、27日は偵察とみられるアクセスだったと訂正している。

対象の契約企業は「最大約380社」のままで、精査が続く。第3報はこの数字に、共用環境の61社と環境Bの企業が含まれると説明を補った。

4704万件は会員情報を伴う、全体の約58％

第3報で初めて示されたのが、情報の中身の内訳だ。合計のうち3428万5087件はメールアドレスのみで、4704万4380件はアドレスに属性情報などを伴う。後者は全体の約58％にあたる。内訳はなお精査中としている。

アララによると、会員情報の項目は契約企業によって異なり、氏名、性別、生年月日、電話番号、会員番号、住所などが含まれる。件数はアドレスの数で、人数ではない。アララのサービスはクレジットカード番号を保有していないという。

メール配信サービスは、企業が宛先の名簿を外部の事業者に預けて、メールマガジンや通知を大量に送る仕組みだ。名簿にどの項目まで載せるかは、預ける側の企業が決める。このため、同じ事故でも流出の中身は委託元ごとに分かれた。

モスフードサービスは、アララが提供する配信システム「repica（レピカ）」に登録していた「モスWEB会員」について、メールアドレスのほか年齢、性別、都道府県などの流出を公表した。決済に関する情報は含まれない。ビックカメラグループは11月6日の第2報で、件数を約1490万件から1520万4757件に改めた。ビックカメラの1421万8934件はメールアドレスのほか氏名、性別、生年月日、ポイントカード番号などを含み、項目は登録したサービスによって異なる。コジマの96万688件はメールアドレスのみだった。一方、Zaifは、登録していた情報はメールアドレスのみで、氏名や住所、取引情報は登録していないと説明している。松井証券も、ログインIDやパスワード、取引暗証番号、資産の情報はアララに提供していないとした。

委託元の公表が続く、「含まれない」が4日後に変わった例も

アララは対象の企業名を公表していない。各社の環境が対象かどうかは個別に連絡する方針で、規模は委託元の発表から確かめることになる。11月4日午前までに本紙が確認した組織は「アララのメール配信に不正アクセス、流出は約7700万件に拡大　アソビューは1582万件」に載せた。その記事に無い主な組織の公式発表は次の通りだ。

組織（対象） 公表した件数 情報の範囲
ビックカメラ・コジマ・ソフマップ（会員など。退会済みを含む） グループ合計1520万4757件 メールアドレス、氏名、生年月日など（コジマはメールアドレスのみ）
モスフードサービス（モスWEB会員） 751万7087件 メールアドレス、年齢、性別、都道府県など
ワークマン（オンラインストアのメールマガジン） 最大約145万件 メールアドレス
IIJ（IIJmioの契約者。解約済みを含む） 98万3458件 メールアドレス（属性情報の詳細は確認中）
松井証券（顧客） 最大83万件 メールアドレス
Zaif（顧客） 38万536件 メールアドレス
岡山県（県のメールマガジン登録者） 最大2240件 メールアドレス
公式発表で件数を確認できた主な組織（11月3〜6日の発表）

出典: 各組織の公式発表（記事末尾の出典一覧）

各社の数え方はそろっておらず、足し上げてアララの合計と比べることはできない。

委託元への連絡には時間差があった。ワークマンの発表によると、同社は10月28日にアララから連絡を受け、29日には流出した情報に自社の会員のアドレスは含まれないと伝えられた。ところが11月2日、流出があったとの緊急の報告を電話で受けたという。第2報の経緯の表では、サーバーを経由した持ち出しは10月29日午前1時36分から30日午前2時22分まで続いており、アララが把握したのは31日午前である。29日の連絡は、持ち出しが続いていた時期にあたる。

報告を受けた日は各社で異なる。Zaifは11月2日の夜に流出確認の報告を受け、4日にアドレスの一覧を受け取った。モスフードサービスは4日、松井証券は5日に報告を受けている。TKCは4日に一覧の提供を受け、どの顧客のどのシステムのアドレスかを分類する作業に入った。同社の件数は最大223万812件で、漏えいしたのはメールアドレスのみと確認されたという。

再開の時期は未定、業績への影響も精査中

アララは10月31日午後7時53分に提供の停止を完了した。再開は、侵入経路への対策の完了、外部の専門機関による安全性の確認、契約企業の認証情報の再設定を経て判断する。

停止の影響は委託元の通常の業務にも及んでいる。TKCは新たなメール送信基盤を構築し、システムごとに送信を再開している。11月6日の第5報によると、マイナンバーカード交付予約・管理システムは10日、スマート申請システムは11日に再開する予定で、申請管理システムは未定だ。Zaifも各種のお知らせメールの配信を止めており、委託先の見直しを含めて改善を進めるとした。ワークマンは外部の専門家の助言を受け、アララの対策の水準と監視体制を客観的に評価すると表明している。

ペイクラウドとアララは6日、社長の連名で謝罪文を出した。第1報の後の調査で影響の範囲が第1報を大きく上回ることが判明し、内容を重ねて改めることになった点を「重く受け止めております」と記した。第1報は、発生した事象以外の不正アクセスによる影響は確認されていないとしていた。再発防止策には、システムの安全性の抜本的な見直し、異常の早期発見と対応の体制整備、グループ全体の管理体制の強化を挙げ、グループ各社のシステムも点検している。

第2報は件数の精査の結果と業績への影響を第3報で知らせるとしていたが、第3報の業績の欄は「引き続き精査中」にとどまった。対象は2027年8月期だ。同社が7月に示した2026年8月期の連結売上高の予想は115億円だった。流出件数の確定と原因の特定には、なお時間を要する見込みという。

委員会への報告は3回、不審メールは削除を

アララの発表によると、個人情報保護委員会には10月29日に速報を出し、11月2日に中間報告、6日に追加報告をした。総務省関東総合通信局には11月4日と6日に報告し、警察には10月29日に通報している。

個人情報保護法のガイドラインは、不正アクセスによる個人データの漏えいを報告が必要な事例に挙げる。知った時点からおおむね3〜5日以内を目安に速報し、不正の目的によるおそれがある事態は60日以内に確報を出す決まりだ。委託先は、報告の義務を負う委託元に把握した事項を通知すれば、自身の報告を免除される。委託元には岡山県のような自治体も含まれ、官庁の事例は「総務省の英文メール配信で775件流出　委託先アララへの不正アクセス、自治体の通知も停止」で報じた。

利用者への呼びかけは第2報から変わっていない。10月28日から30日にかけて、送信元「news@arara.com」から「利用内容確認のご依頼」「ご利用明細確認のご依頼」などの件名で、クレジットカード会社を装うメールが最大約713万通送られた。宛先は第三者が外部から持ち込んだアドレスで、持ち出された件数には含まれない。届いた場合は本文のURLを開かずに削除し、カード情報を入力したときはカード発行会社に連絡するよう、アララは求めている。

同社や契約企業をかたるメール、SMS、電話、郵便物への注意も促しており、同社のグループがパスワードやカード情報の入力を求めることはないという。松井証券は、便乗して同社を装うメールが送られるおそれがあるとして、パスキーの設定を強く勧めている。環境Bを使っていた契約企業には、アララが個別に連絡する。