SECURITY NEWS

アララ不正アクセスで約7700万件流出のおそれ　影響企業・自治体まとめ

2026年10月27日 セキュリティニュース
概要

アララのメール配信サービス「アララメッセージ」への不正アクセスで、契約企業環境から約7,700万件のメールアドレスが持ち出された、または持ち出されたおそれがあります。対象企業は最大約380社と推計され、11月5日には三井住友銀行、松井証券、三井不動産、NTTタウンページなどが新たに情報流出を公表。自治体やファンクラブなどにも影響が拡大しています。

契約企業環境の対象約7,700万件メールアドレス／精査中・持ち出しのおそれを含む
対象契約企業最大約380社推計・精査中
共用環境から流出3,386,187件メールアドレス／重複除外
不正送信されたメール最大約713万通カード会社を装った不審メール
注意：アララメッセージを悪用したフィッシングメールも確認

アララのメール配信システムの一部が第三者に不正利用され、2026年10月28日から30日にかけて、送信元 news@arara.com から「利用内容確認のご依頼」「ご利用明細確認のご依頼」などの件名で、クレジットカード会社を装った不審メールが最大約713万通送信されました。メール本文のURLにはアクセスせず、リンク先でカード情報を入力してしまった場合は速やかにカード発行会社へ連絡してください。

11月5日に影響先の公表が急増

11月5日は、三井住友銀行、松井証券、三井不動産、NTTタウンページをはじめ、金融・不動産・通信・小売・エンタメ・自治体などから新たな公表が相次ぎました。アララと直接契約している企業だけでなく、Fanplus、アソビュー！、TKCなど別のプラットフォームやシステム事業者を経由して、その顧客・会員・自治体利用者へ影響するケースも目立っています。

アララメッセージへの不正アクセスの概要

アララ株式会社は2026年11月2日の第2報で、メール配信サービス「アララメッセージ」に対する不正アクセスの影響が、当初確認されていた共用環境だけでなく、契約企業ごとの環境にも拡大していたことを公表しました。

契約企業の環境ではサーバー97台への侵入が確認され、対象となる契約企業は最大約380社と推計されています。持ち出された、または持ち出されたおそれがあるメールアドレスは約7,700万件で、氏名、性別、生年月日、電話番号、会員番号、住所など、契約企業が登録した情報が含まれる環境もあります。

複数社が利用する共用環境では、メールアドレス3,386,187件が外部に持ち出され、このうち5社が登録していた氏名や会社名などを含む顧客データ最大411,827件についても流出が確認されています。

約7,700万件と338万件は合算できません

アララは、契約企業環境と共用環境で同じメールアドレスが重複している可能性があるため、両者を合算していません。また、1人が複数のメールアドレスを利用している場合もあるため、約7,700万件は被害者数そのものを意味しません。

11月5日に新たに公表された主な企業

企業・サービス公表規模確認されている状況
松井証券最大約83万件顧客メールアドレスが流出。ログインID、パスワード、取引暗証番号、取引・預り資産、出金先口座情報等は対象外
三井住友銀行227,216件主に法人顧客、一部個人事業主へ配信したメールアドレスが流出。口座番号、預金残高、暗証番号、インターネットバンキングのID・パスワード等は対象外
三井不動産「&BIZ」133,323件メールマガジン送信先メールアドレスが流出。氏名などその他の&BIZ登録情報は対象のメール配信システムでは扱っていない
NTTタウンページ142,126件10月8日から31日までのメールマガジン配信先メールアドレスが流出。購買データ、メール本文・件名等は現時点で対象外
コナカグループ／サマンサタバサ等434,414件サマンサタバサ、バーンデストローズ、フィットハウス等のメールアドレス。氏名、住所、電話番号、パスワード、カード情報等は確認されず
GMOペイメントサービス最大106,997件一部では氏名、請求金額、購入・利用店舗、商品等を含む情報も対象
GMOイプシロン24,645件加盟店・契約手続中事業者のメールアドレス。決済サービスへの影響は確認されず
NTTタウンページ142,126件委託先が利用するrepicaからメールアドレス流出
日之出出版「Safari Lounge」82,095件メール配信先のメールアドレスが流出
ユーグレナ「akyrise」177,063件repica経由でメールアドレスが流出。別途akyrise ECサイトへの直接的な不正アクセスも発生しているが独立した事案

金融機関への影響が拡大

11月5日は特に銀行・証券など金融分野で公表が相次ぎました。

三井住友銀行では、2026年7月1日から10月31日までにメール配信で使用した227,216件のメールアドレスが流出しました。主に法人顧客向け、一部は個人事業主向けの配信です。口座番号、預金残高、暗証番号、SMBCダイレクト等のログインID・パスワードは含まれていません。

松井証券では最大約83万件の顧客メールアドレスが流出しました。一方でログインID、パスワード、取引暗証番号、取引・預り資産に関する情報、出金先口座情報はアララへ提供しておらず、今回の流出対象には含まれていません。

琉球銀行でもすでに96,477件のメールアドレス流出が確認されています。

金融機関名を利用したフィッシングは特に危険性が高いため、「口座確認」「取引制限」「本人確認」「不正利用確認」などを理由にログインやカード情報の入力を求めるメールには十分注意してください。

NTTタウンページでも14万2,126件流出

NTTタウンページは11月5日、委託先が利用するアララのメール配信サービス「repica」への不正アクセスにより、メールマガジン配信に使用したメールアドレス142,126件が流出したと発表しました。

対象は2026年10月8日から31日までにメールマガジンを配信した利用者です。

メールアドレス以外の顧客データ、購買データ、メール本文、メール件名などについては、現時点で流出は確認されていません。また、NTTタウンページ自身のシステムへの不正アクセスも確認されていません。

通販・小売・レジャーへの影響

企業・サービス公表規模確認されている状況
アソビュー！15,821,184件メールアドレス、会員ID、氏名、性別、生年月日、電話番号、地域、チケット購入・利用情報等が流出。件数はデータ件数
ビックカメラ・コジマ・ソフマップグループ合計約1,490万件メールアドレス等が流出した可能性。カード情報や通販サイトのログイン情報は対象外
ワークマン最大約145万件オンラインストアメールマガジン会員のメールアドレスが流出した可能性
サマンサタバサ等434,414件オンラインショップ等に登録されたメールアドレスが流出
近鉄・都ホテルズ129,153件都プラス関連のメールアドレス
小田急トラベル63,006件メール配信対象のメールアドレス
Safari Lounge82,095件メール配信先メールアドレスが流出
松竹マルチプレックスシアターズ確認中SMT Membersのメールアドレスについて影響確認中

エンタメ・ファンクラブにも影響

今回の事案では、ファンクラブ運営会社Fanplusが「アララメッセージ」を利用していたことから、アーティストの公式ファンクラブにも影響が波及しています。

アーティスト・サービス経路状況
Mrs. GREEN APPLE「Ringo Jam」Fanplus → アララメッセージメールアドレス漏えいを確認。メールアドレス以外は現時点で漏えい確認なし
サカナクション「NF member」Fanplus → アララメッセージアララメッセージ側で漏えい確認。NF member会員のメールアドレスが対象に含まれるかは確認中
ちいかわパークアソビュー！ → アララメッセージアソビュー！の情報流出を受け注意喚起。ちいかわパーク利用者だけの流出件数は公表されていない

Fanplusは多数のアーティスト・ファンクラブを運営しているため、今後も個別のファンクラブから確認状況や注意喚起が公表される可能性があります。

交通・メディア・エネルギーなどにも波及

企業・サービス公表規模確認されている状況
日本レジャーチャンネル684,772件テレボート、複数のボートレース場のメールマガジン等に関するメールアドレスが流出
横浜ゴム件数未公表会社名とメールアドレスの漏えいを確認
北陸電力「ほくリンク」約55万件会員メールアドレスが流出
イッツ・コミュニケーションズ232,376件メールマガジン配信対象。実際の流出対象を確認中
ゴルフネットワーク209,460件メールアドレス。重複を含む可能性あり
両備バス延べ43,221件メール配信先メールアドレス
神戸新聞NEXT約4万件メールマガジン受信者のメールアドレス
大阪ガス「FitDish」34,489件メールアドレス

IT・教育・医療関連

企業・団体公表規模確認されている状況
TKC最大2,230,812件一部システムで利用するメールアドレス。メール本文、マイナンバー、市町村への申請情報等は漏えいしていないことを確認
学研グループ件数・項目を調査中顧客の個人情報の一部が漏えいしたとの報告を受領
エムステージ38,256件グループ2社のメールアドレス等が流出した可能性
日本福祉大学計55,654件b→dash関連50,041件、ANPIC関連5,613件。実際の対象者数は調査中
岡山県最大2,240件医療安全情報・感染症情報等のメール配信登録者メールアドレス

自治体への影響が全国で拡大

TKCなどが自治体向けシステムのメール送信基盤として「アララメッセージ」を利用していたことから、行政オンライン申請やマイナンバーカード交付予約などにも影響が広がっています。

11月5日には福島県内の福島市、郡山市、いわき市をはじめ、北海道苫小牧市、三重県伊賀市・津市、愛知県西尾市などでも新たな公表や更新が確認されています。

自治体規模・対象状況
横浜市電子申請・届出システム登録約82万アカウントメールアドレス、利用者名等が漏えいした可能性。約82万は登録規模
大阪市件数確認中行政オンラインシステムの利用者情報について調査中
堺市最大約29万件電子申請システムのメールアドレスが漏えいした可能性
郡山市約52,600件オンライン申請・マイナンバーカード交付予約関連のメールアドレスが漏えいした可能性
福島市最大延べ約4,700件マイナンバーカード交付予約者のメールアドレスについて調査中
いわき市約120件9月1日～10月31日の休日交付等予約者メールアドレスが漏えいした可能性。氏名・住所・マイナンバー等は対象外
苫小牧市最大3,561件マイナンバーカード来庁予約者のメールアドレスが漏えいした可能性
諫早市最大約21,300件マイナンバーカード交付予約・管理システムのメールアドレスが漏えいした可能性
宇都宮市個人約31,000人・事業者約5,800団体登録規模。メールアドレスへの影響を確認中
宮崎市登録39,412人・件スマート申請システム登録メールアドレスへの影響を調査中
西都市登録677件メールアドレスが漏えいした可能性
綾町登録722件メールアドレスが漏えいした可能性
伊賀市件数確認中マイナンバーカード交付予約・管理システムで調査中
西尾市件数確認中マイナンバーカード交付予約システムのメール送信サービスが対象
津市件数確認中交付予約時のメールアドレスのみが対象となる可能性。氏名、住所、マイナンバー等は対象外
姫路市件数未公表オンライン手続ポータル等。漏えいした可能性のある情報はメールアドレスのみ
大津市件数未公表マイナンバーカード交付予約者メールアドレス。マイナンバーは対象外
富士宮市件数未公表マイナンバーカード交付予約システムで調査中
自治体の登録数＝漏えい件数ではありません

横浜市の約82万件や宮崎市の39,412件などはシステムの登録規模で、全件の漏えいが確認された数字ではありません。自治体によって「登録者数」「最大対象件数」「流出確認済み」の公表基準が異なるため、各自治体の数字を単純に合算することはできません。

地域通貨にも影響

十八親和銀行が運営に関わる「MINAコイン（南島原市地域通貨）」と「ゆでぴ（大村市デジタル地域通貨）」についても、利用するメール配信サービスへの不正アクセスが公表されています。

2026年11月5日時点では、両サービスの利用者情報が実際の漏えい対象に含まれているかは判明しておらず、関係事業者が確認を進めています。

アララから別サービスを経由して被害が波及

今回の特徴は、アララと直接契約している企業だけが影響を受けているわけではないことです。

例えばファンクラブでは「Fanplus → アララメッセージ」、レジャー施設では「アソビュー！ → アララメッセージ」、自治体では「自治体 → TKCなどのシステム事業者 → アララメッセージ」という多段階の委託・サービス利用関係があります。

そのため、利用者本人が「アララ」というサービスを知らなくても、普段利用している銀行、証券会社、通販サイト、ファンクラブ、自治体の電子申請などの裏側でメール配信基盤として利用され、影響を受けるケースがあります。

発生から11月5日までの経緯

  1. 第三者による偵察とみられるアクセスを確認。
  2. 共用環境への不正ログイン、情報持ち出し、不審メール送信が発生。
  3. 契約企業環境の多数のサーバーからデータベース情報が持ち出される。
  4. 不審メール送信を遮断。13時32分を最後に新たな不審メール送信は確認されず。
  5. 契約企業環境からの情報持ち出しを把握。不正アカウント・鍵の無効化、通信遮断を実施し、19時53分にアララメッセージ全体を停止。
  6. 第2報を公表。約7,700万件、サーバー97台、最大約380社への影響を明らかにする。
  7. 小売、交通、大学、自治体などから個別公表が相次ぐ。
  8. 三井住友銀行、松井証券、三井不動産、NTTタウンページなど大手企業・金融機関を含む多数の影響先が新たに公表。自治体やファンクラブでも注意喚起が拡大。

メールアドレスだけではないケースも

多くの企業では漏えいした情報をメールアドレスのみとしていますが、すべての影響先が同じではありません。

アソビュー！では氏名、性別、生年月日、電話番号、地域、チケット購入・利用情報などが対象となり、GMOペイメントサービスの一部データでは氏名、請求金額、購入・利用店舗、商品なども含まれています。

一方、TKCでは対象環境から漏えいしたのはメールアドレスのみで、メール本文、マイナンバー、市町村への申請情報等は漏えいしていないことが確認されています。

影響する情報項目は企業・サービスごとに異なるため、利用しているサービスの公式発表を個別に確認してください。

実際の登録情報を使ったフィッシングに注意

企業名やサービス名が正しくても安心しないでください
  • 「情報漏えい確認」「本人確認」「返金」「利用明細確認」「パスワード変更」などを理由とするURLに注意する。
  • 銀行・証券会社を装い、口座情報、ログインID、パスワード、暗証番号、ワンタイムパスワードを求めるメールに注意する。
  • ファンクラブを装い「会員更新」「チケット確認」「限定コンテンツ」などを理由にログインを求めるメールに注意する。
  • 自治体を装い「マイナンバーカードの予約確認」「電子申請の確認」などを理由に個人情報入力を求める連絡に注意する。
  • 実際の氏名、メールアドレス、利用サービス、購入・予約情報などが記載されていても、それだけで正規の連絡と判断しない。
  • メール内のリンクではなく、公式サイトや公式アプリを直接開いて確認する。

影響企業・自治体はさらに増える可能性

アララは影響対象となる契約企業を最大約380社と推計しており、11月5日時点でも個別企業・団体による公表が続いています。

また、一度「情報漏えいは確認されていない」と案内された後、追加調査によって漏えいが判明した企業もあります。

今後も企業、金融機関、自治体、学校、ファンクラブなどから追加の発表が行われる可能性があります。本記事では、公式発表を確認でき次第、影響企業・自治体、対象件数、対象情報、「漏えい確認済み」か「可能性」かを区別して随時更新します。

※2026年11月6日未明時点の公式発表等を反映しています。企業・自治体別の数字は「実際の流出件数」「流出した可能性のある最大件数」「システム登録者数」など公表基準が異なるため合算していません。

主な公式発表

公式発表・参考情報

不審なメールやSMSを受け取った場合

企業名やサービス名を装ったメールやSMSが届いた場合でも、 本文中のURLをすぐに開かず、 公式サイトや公式アプリから直接確認してください。

フィッシングJPでは、 実際に確認されたフィッシングメールや 不審なドメインの情報も掲載しています。

フィッシングメールを確認する →