この記事でわかること
- アララメッセージへの不正アクセスで持ち出されたおそれのある情報と、約7700万件という数字の読み方
- ビックカメラ・コジマ・ソフマップが公表した約1490万件の内容と、自分が対象か確かめる方法
- news@arara.comから届いたカード会社を装うメールなど、二次被害を避けるための対処
アララメッセージから約7700万件のメールアドレスが流出のおそれ
企業のメールマガジンやお知らせを代わりに配信するサービス「アララメッセージ」で、大規模な情報流出が起きました。運営するアララ株式会社は2026年11月2日に第2報を公表し、持ち出されたメールアドレスは現時点の調査で約7700万件（持ち出された恐れのあるものを含む、精査中）にのぼると説明しています。
10月29日の最初の発表では約301万件でした。その後の調査で、第三者が10月28日〜31日にサービスのサーバーを経由し、契約企業の環境にあるサーバー97台へ侵入していたことが判明。対象の契約企業は、現時点の推計で最大約380社です。
持ち出された情報は、メールアドレスに加えて、契約企業が登録していた氏名、性別、生年月日、電話番号、会員番号、住所など。登録項目は企業ごとに異なり、配信の宛先などの記録も含まれます。クレジットカード番号は、アララのサービスでは一切保有していないとしています。
アララメッセージは10月31日からすべて停止中で、再開時期は未定です。原因について、アララは当初発表したWebサーバーの脆弱性に加え、システム環境の問題も関係していたと説明を改めました。
約7700万件は「人数」ではない
約7700万件はメールアドレスの件数です。1人が複数のアドレスを持っている場合もあるため、被害を受けた人の数を示すものではないとアララは注記しています。
第2報では、被害を3つの区分に分けて公表しています。
| 区分 | 期間 | 対象 | 件数 |
|---|---|---|---|
| サービスを経由した不正アクセス（新たに判明） | 10月28日〜31日 | 契約企業の環境のサーバー97台（最大約380社） | メールアドレス約7700万件（精査中）と会員情報 |
| 最初に公表した共用環境 | 10月27日〜28日 | 契約企業61社 | メールアドレス338万6187件（重複を除く）、5社分の顧客データ最大41万1827件 |
| サービスを悪用した不審メールの送信 | 10月28日〜30日 | 2つの環境 | 最大約713万通 |
区分の間で同じアドレスが重複している可能性があるため、アララはこれらを合算していません。件数は今後変わる可能性があり、精査の結果は第3報で知らせるとしています。
ビックカメラ・コジマ・ソフマップは約1490万件を公表
アララにメール配信を委託していた企業からも、影響の公表が続いています。家電量販店のビックカメラ、コジマ、ソフマップは11月2日、3社連名でお知らせを公表しました。
対象はメールマガジンに登録している顧客のメールアドレスなどで、件数はグループ合計で約1490万件。クレジットカード情報と、各社の通販サイトのログイン情報はこのサービスで扱っておらず、対象に含まれないとしています。発表時点で、具体的な二次被害は確認されていません。
この約1490万件は、ビックカメラグループとしての集計です。アララの約7700万件と足し合わせたり、割合を出したりできる数字ではありません。
ほかにも、TKCが最大223万812件のメールアドレス流出を公表するなど、委託元の企業や団体からの発表が相次いでいます。
自分が対象かは、登録先の企業からの連絡で確かめる
アララメッセージは企業がメール配信に使うサービスで、メールを受け取る個人がアララと直接契約しているわけではありません。自分の情報が含まれるかどうかは、メールマガジンや会員サービスに登録している企業からの連絡で確かめることになります。
アララは、対象かどうかと流出した情報の内容を、契約企業へ個別に連絡するとしています。第2報に載っている問い合わせ先は契約企業向けのサポート窓口だけで、個人向けの窓口は示されていません。
ビックカメラグループは、対象となった顧客へ各社から案内するとしています。問い合わせ窓口は次のとおりです。
- ビックカメラ：臨時お問い合わせ窓口 03-5960-1111（10:00〜19:00）
- コジマ：コジマダイレクト 0120-39-0007（10:00〜18:00）
- ソフマップ：0077-78-8686（フリーコール）／050-3032-8686（IP電話・携帯電話から、10:00〜19:00）
news@arara.comからのメールは開かずに削除
今回は、配信サービスそのものも悪用されました。10月28日〜30日に、クレジットカード会社を装うメールが最大約713万通送られています。
- 送信元：news@arara.com
- 件名：「利用内容確認のご依頼」「ご利用明細確認のご依頼」など
アララの配信サービスから送られたため、送信元はアララのアドレスそのもの。送信元を見ただけでは見分けられません。該当するメールが届いていたら、本文のURLは開かずに削除してください。リンク先でカード情報などを入力してしまった場合は、すぐにカード発行会社へ連絡してください。
このメールの送信先は、第三者が外部から持ち込んだメールアドレスだとアララは説明しています。届いたからといって、自分の情報がアララから流出したことにはなりません。届いていない人も、それだけで対象外とは言えない点は同じです。
今後はアララや登録先企業をかたる連絡に注意
今回持ち出されたのは、メールアドレスと氏名・住所などが結びついた情報です。名前入りの、本物らしく見える詐欺メールやSMSを作りやすくなります。アララも、同社や契約企業をかたるメール、SMS、電話、郵便物に注意するよう呼びかけています。
心当たりのない連絡に書かれたURLは開かず、IDやパスワード、カード情報も入力しないでください。アララは、パスワードやカード情報の入力をメールで求めることはないとしています。登録先の企業から「対象でした」という連絡が届いたときも、メール内のリンクからではなく、公式サイトやアプリを自分で開いて確かめるほうが安全です。
