概要

2026年10月28日、ペイクラウドホールディングス子会社のアララは、「アララメッセージ」のサーバーシステムのうち1システムで不正アクセスを確認し、当該サーバーをネットワークから切り離し、同日17時23分にサービスを停止した。当初は情報漏えい未確認としていたが、その後、対象環境「bvam001」で利用企業が登録した配信先メールアドレス約301万件の流出を公表した。29日には親会社が適時開示し、原因はWebサーバーの脆弱性の悪用とした。鹿児島銀行など4行庫は、決済アプリ「Payどん」のメール送信委託先としてアララが被害を受け、利用者・加盟店のメールアドレスや決済日時・店舗名・金額が漏えいした可能性があると発表した。

経緯

経緯情報は未登録です。

原因

システムの一部の環境でWebサーバーの脆弱性を第三者に悪用された。具体的なCVE番号やソフトウェアの種別は公表されていない。

攻撃手法

公表情報で確認できる攻撃手法はありません（推測による割り当ては行っていません）。

影響範囲

影響を受けたユーザー数

不明

サービス停止

あり

金銭的被害

不明

対象システム

アララメッセージ（環境bvam001）、Webサーバー

漏洩した情報

• 確認済みエンドユーザーリストに登録されたメールアドレス（約301万件）
• 可能性ありPayどん利用者・加盟店の決済日時・店舗名・金額

約301万件のメールアドレスが流出（件数はアドレス数で人数ではない）。対象環境のサービスを停止し、再開時期は未定。鹿児島銀行など4行庫の「Payどん」など利用企業にも影響。利用企業ごとの内訳は未公表、二次被害の報告は未公表。

対応

対象サーバーをネットワークから切り離し、対象環境のサービスを停止。外部専門機関と連携し全サービスの脆弱性を再点検し、セキュリティ管理体制の強化と再発防止を進める。利用企業・関係機関と攻撃情報を共有し、利用者に不審メールへの注意を呼びかけた。

• 対象サーバーのネットワーク切り離し
• サービス停止
• 外部専門機関と連携した全サービスの脆弱性再点検
• セキュリティ管理体制の強化
• 利用企業・関係機関との情報共有
• 不審メールへの注意喚起

教訓・対策

• 配信業務を外部委託している場合、委託先から顧客情報が流出し得るため利用状況と連絡体制を平時から把握する
• 委託先と利用企業で把握する漏えい範囲が異なる場合があり、書面で確認する
• 流出アドレスを狙ったフィッシングに備え、送信ドメイン認証（SPF/DKIM/DMARC）を点検する
• 配信停止に備えた代替通知手段を確保する

参考資料

1. アララのメール配信サービスが不正アクセスを受け約301万件のメールアドレスが流出
   サイバーセキュリティ.com公開日: 2026-10-29報道二次情報取得日: 2026-11-01

関連情報

関連するCVE

関連付けられたCVEはありません。

関連組織

アララ

関連するインシデント

関連付けられたインシデントはありません。