11月2日、メール配信サービス「アララメッセージ」の不正アクセスについて、第2報が出ました。新たに判明した契約企業の環境で、メールアドレス約7,700万件が持ち出された、またはそのおそれがあるという発表です。アララという会社と契約した覚えがない人がほとんどのはずです。それなのに、なぜ自分のアドレスが関係するのか。
アララは、企業がお客さんにメールを一斉に送るときに使う、裏方の配信サービスです。会員になっている店やサービスが、アララを通してメールを送っていた場合に、その会員の情報が関係してきます。
この記事は、2026年11月2日時点のアララの発表（第2報）をもとにしています。件数は精査中で、今後変わる可能性があります。
まもる
しろ- アララの不正アクセスで発表された3つの数字の意味
- news@arara.com のメールが届いても、流出の対象とは限らない理由
- 自分が対象かどうかを、個人から確かめられない現状
- これから届く「お詫び」を確かめる手順
- 送信元のアドレスだけでは見分けにくい理由
アララの不正アクセス、まず3つの数字を分けて読む
結論から言うと、発表には性質の違う数字が3つ並んでいます。ニュースの見出しでは1つにまとめられがちですが、分けて読むと自分に関係する部分が見えてきます。
| 区分（アララの第2報） | 件数 | 中身 |
|---|---|---|
| （1）配信サービスを経由した不正アクセス（10/28〜31） | メールアドレス約7,700万件（精査中。持ち出されたおそれを含む） | 契約企業の環境のサーバー97台、最大約380社。メールアドレスのほか、契約企業が登録した会員情報も |
| （2）共用環境（10/27〜28。10/29の第1報の分） | 3,386,187件 | 契約企業61社のメールアドレス。うち5社は氏名・会社名などを含む顧客データ（最大411,827件） |
| （3）サービスを不正に使った不審メール（10/28〜30） | 最大約713万通 | 送信元 news@arara.com。クレジットカード会社を装ったメール |
会員情報の中身は、氏名・性別・生年月日・電話番号・会員番号・住所などです。どの項目が入っていたかは、契約企業ごとに違います。アララは、クレジットカード番号は一切保有していないと書いています。
注意したいのは、7,700万件は人数ではないことです。アララ自身が「最終ユーザー数を示すものではありません」と書いています。1人が複数のアドレスを持っていることがあるからです。区分の間で同じアドレスが重複している可能性もあり、3つの件数は合算されていません。「持ち出されたおそれ」は、記録の読み取り量から判断したものだそうです。
news@arara.com のメールが届いても、流出対象とは限らない
ここがこの記事でいちばん伝えたい点です。第2報の表では、不審メールの送信先は「第三者が外部から持ち込んだメールアドレス」とされています。アララの会員情報から宛先を抜き出して送った、とは発表されていません。
ただし、第2報は、区分の間で同じメールアドレスが重複している可能性も書いています。不審メールを受け取ったアドレスが、流出の対象にも入っていたかどうかまでは、発表からは分かりません。
アララは、この不正送信で「メールアドレス以外の流出は確認されておりません」とも書いています。
つまり、届いたから流出した、とは言えません。逆に、届かなかったから対象外、とも言えません。2つは別の区分として発表されているからです。
| あなたの状況 | 言えること | やること |
|---|---|---|
| 10/28〜30に news@arara.com から届いた。開いていない | 流出の対象かどうかは、これだけでは分からない | 本文のURLは開かずに削除（アララの案内） |
| リンク先でカード番号などを入力した | カードの不正利用につながるおそれがある | すぐにカード発行会社へ連絡（アララの案内） |
| 不審メールは届いていない | 流出の対象外とは言えない | 使っている店からの連絡を待つ |
カード番号などを入力してしまった場合、警察庁は、被害に遭ったサービスの会社に相談するよう案内しています。カードならカード会社です。同じIDやパスワードを使っているサービスでは、パスワードを変えることも勧めています（警察庁 フィッシング対策）。
自分が対象か、個人からは確かめられない
11月2日の第2報には、個人がアドレスを入力して対象かどうかを調べる仕組みも、個人向けの問い合わせ窓口も案内されていません。ここは正直、もどかしいところです。
アララは、すべての契約企業に連絡し、各社の環境が対象かどうかと流出した内容を「個別にご連絡いたします」としています。連絡先は契約企業で、個人ではありません。発表にある問い合わせ先も「ご契約企業の皆様」向けのサポート窓口だけです。
対象になった約380社の一覧も、第2報には載っていません。利用者にいつ、どんな方法で知らせるかも、第2報では明らかにされていません。
アララのサイトには、配信サービスから届いた迷惑メールを報告するフォームがあります。ただ、これは迷惑メールを報告する窓口で、自分が対象かを調べる場所ではありません。
これから届く「お詫び」は、自分で開いた公式から確かめる
対象になった契約企業には、アララから個別に連絡が入る予定です。その後、各社から会員へお詫びや注意の連絡が届く可能性があります。いつも使っている店の名前で、「アララ」の名前が入った連絡が来る、という形です。
ここで気をつけたいのは、本物の連絡と、それをまねた偽物が同時に出回ることです。確かめ方を3つ挙げます。
1. 届いたメールやSMSのリンクから手続きしない。その会社の公式サイトやアプリを自分で開き、お知らせ欄に同じ内容があるか見る2. パスワードやカード番号の入力を求められたら、いったん止まる。アララは、パスワードやカード情報などの入力をお願いするメールは送らないと書いている3. 電話や郵便物でも同じ。アララは、メール・SMS・電話・郵便物で会社をかたる連絡に注意するよう呼びかけている
本物のお詫びと偽物の違いは、フィッシングメールの見分け方｜本物の「お詫びメール」と偽物が同時に届く今、確かめる方法でくわしく整理しています。
気をつけたい点
送信元のアドレスでは見分けにくい
今回の不審メールは、アララの配信サービスの一部の環境が不正に使われ、送信元として news@arara.com が使われました。実在する配信会社のアドレスなので、「送信元のアドレスを見れば見分けられる」という定番の確かめ方が、効きにくい形です。
メールの送信ドメイン認証や、受信側の迷惑メール判定がどう働いたかは、公表資料からは分かりません。送信元の表示より、「何を求めているか」で判断するほうが確実です。
広告（PR）
確かめる基本は、メールのリンクから飛ばず、自分で開いた公式サイトやアプリで確かめることです。そのうえで、うっかり偽サイトを開いてしまったときの備えとして、フィッシング対策の機能を持つセキュリティソフトを入れておく方法もあります。
AI時代のネット詐欺からあなたと家族を守るセキュリティソフト
※ESETの公式サイト（広告）に移動します。ソフトを入れても、すべての詐欺を防げるわけではありません。自分が流出の対象かどうかも、ソフトでは分かりません
漏れたのは「どの店の会員か」という情報でもある
第2報の流出項目には、会員情報に加えて「配信の宛先等の記録」も入っています。どの会社がどのアドレスにメールを送っていたか、が分かる可能性がある情報です。
名前と、実際に会員になっている店の組み合わせが知られると、その店をかたったもっともらしい偽メールが作れます。筆者は、今後はこの型に注意したほうがよいと考えています。
数字はまだ動く
件数も対象企業の数も、アララは「精査中」としています。結果は第3報で知らせる予定です。この記事の数字は11月2日時点のものです。
なお、関連する検索に特定のカード会社の名前が出ていますが、アララの発表は「クレジットカード会社を装った」としか書いていません。この記事では社名を挙げていません。
【現役SEの視点】配信の委託先は、利用者からは見えない
今回いちばん考えさせられたのは、利用者から見えない会社で事故が起きた、という構図です。
企業がお客さんへメールを送るとき、自社でサーバーを持たず、配信サービスに任せることはよくあります。システムの運用に関わる立場から見ると、効率のよい分担です。ただ利用者の側からは、どの店がどの配信会社を使っているか、まず分かりません。
そのため、事故の知らせは「配信会社 → 契約企業 → 利用者」と2段を経て届きます。間に入る会社の数だけ、時間がかかります。今回、個人が自分で確かめる手段が案内されていないのも、この構造が関係していると筆者は考えています。
利用者にできることは多くありません。それでも、店ごとに違うメールアドレスを使い分けておくと、どの店の情報から来た連絡かを見当づけやすくなります。手間はかかるので、全部でなくても、よく使う通販や会員サービスだけでも十分だと思います。
漏えいのニュースが続く時期は、流出の確認サイトを名乗る偽サイトも出やすくなります。その見分け方はhave i been pwned 偽サイトに注意｜安全性と本物の見分け方にまとめています。
まとめ
- アララは企業向けのメール配信サービス。会員になっている店がアララを通してメールを送っていた場合に、その会員の情報が関係する
- 発表の数字は3つ。新たに判明した契約企業の環境（メールアドレス約7,700万件・最大約380社）、第1報の共用環境（3,386,187件）、不審メール（最大約713万通）
- 7,700万件はおそれを含み、精査中。人数ではなく、区分の間の重複の可能性があるので合算されていない
- news@arara.com からの不審メールの宛先は、攻撃者が外部から持ち込んだアドレスとされている。届いたから流出した、とも、届かなかったから対象外、とも言えない
- 自分が対象かを個人が確かめる手段は、11月2日の第2報には案内されていない。アララが連絡するのは契約企業で、利用者への知らせ方と時期は明らかにされていない
- これから届くお詫びは、リンクからではなく、自分で開いた公式サイトやアプリで確かめる。カード番号などを入力していたら、すぐにカード発行会社へ
引っかかった点
- 不審メールの宛先と流出した会員情報が、別の区分として発表されている点。ニュースの見出しでは並べて書かれることが多く、第2報の表を読むまで筆者も同じ話だと思っていました
- 個人向けの問い合わせ窓口が、第2報には書かれていない点。各社からの連絡を待つしかないのが現状です
- どのカード会社が装われたのか、公式の発表には書かれていない点