本サイトの記事や画像は、AIが公的資料や複数の報道を基に事実関係を整理・再構成し制作したものです。[続きを表示]特定の報道内容や表現を再利用・要約することを目的としたものではありません。ただし、誤りや不確定な情報が含まれる可能性がありますので、参考の一助としてご覧いただき、実際の判断は公的資料や各出典元の原文をご確認ください。[私たちの取り組み]
ペイクラウドホールディングスは2026年11月2日、子会社アララが運営するメール配信サービス「アララ メッセージ」への不正アクセスについて第2報を公表した。契約企業のサーバー97台で情報の持ち出しが確認され、流出または流出した恐れのあるメールアドレスは約7700万件に上る。被害拡大を防ぐため10月31日にサービスを全面停止しており、再開時期は未定だ。
サーバー97台で情報流出、対象は最大約380社
アララによると、第三者が同サービスのサーバーに不正アクセスし、10月28日から31日にかけて複数のサーバーに侵入した。契約企業の環境にあるサーバー97台で情報の持ち出しが確認され、対象企業は最大約380社と推計されている。
流出した情報には、メールアドレスのほか、氏名、性別、生年月日、電話番号、会員番号、住所などの会員情報が含まれる。登録項目は契約企業ごとに異なる。約7700万件は持ち出された恐れのあるものを含むメールアドレスの件数で、利用者数ではない。件数は精査中で、今後変わる可能性がある。
10月29日の初報で約301万件とされた共用環境のメールアドレスについても、重複を除く338万6187件に更新された。同環境では、契約企業5社が登録した氏名や会社名などを含む顧客データ最大41万1827件の持ち出しも判明した。約7700万件との重複があり得るため、両者は合算されていない。
カード会社を装う不審メールも最大約713万通
同サービスの一部環境は不審メールの送信にも悪用された。10月28日から30日にかけ、クレジットカード会社を装ったメールが最大約713万通送信されたという。送信元は「news@arara.com」で、件名には「利用内容確認のご依頼」などが使われた。
アララは該当するメールのURLを開かず削除するよう呼びかけている。リンク先でカード情報を入力した場合は、速やかにカード発行会社へ連絡するよう案内した。なお、同サービス自体はクレジットカード番号を保有していないという。
サービス再開は未定、侵入経路の調査続く
アララは10月31日、不正に使用された認証情報を無効化し、各サーバーの通信を遮断したうえでサービスを全面停止した。
不正アクセスにはWebサーバーの脆弱性に加え、システム環境の問題も関係していたと説明している。侵入経路や影響範囲の調査を続け、認証情報の全面変更と安全性の確認などを経て再開を判断する方針だ。公式サービスサイトでも停止を案内しており、再開時期は示されていない。
