Payどんにおけるメール送信委託先への不正アクセスによる情報漏えいのおそれ
公表日
決済アプリ「Payどん」のメール送信を請け負う委託先のサーバーが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。を受け、利用者のメールアドレスや決済履歴が漏えいした可能性があります。
対象者は？
Payどんの利用者および加盟店。メールアドレス、決済日時、店舗名、支払金額が漏えいした可能性があります（口座番号や暗証番号などの情報は含まれていません）。
Payどん公式サイトに掲載されているお知らせを確認してください。
いますぐできること
- Payどんや金融機関を名乗る不審なメールに記載されたURLや添付ファイルは開かないでください。
- 心当たりのない決済通知や、個人情報の入力を求めるメールが届いた場合は速やかに破棄してください。
何が起きたのか
2026年10月28日、決済アプリ「Payどん」のメール送信を担当している委託会社（アララ株式会社）のサーバーに第三者が不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。しました。委託会社はサービスを停止しましたが、Payどんの利用者や加盟店のメールアドレスのほか、買い物をした日時や店舗名、支払金額が漏洩した可能性があることが判明しました。この影響でアプリのメール通知機能と新規登録が停止され、地域の商品券販売が延期されました。
なぜ起きたのか・なぜ広がったのか
委託会社のWebサーバーにセキュリティ上の弱点（脆弱性）があり、攻撃者に悪用されたためです。また、通知メールを送信する仕組みの中に利用者のメールアドレスや具体的な決済情報が含まれていたため、それらの情報が漏えいのおそれにさらされました。
いまの状況2026-10-29 時点続報待ち
決済システムそのものは別系統で動いているため普段の支払いは継続できますが、メール通知機能と新規登録の停止が続いています。情報の悪用による被害は現時点で報告されていませんが、Payどんにおける正確な対象件数はまだ発表されていません。
企業として考えたいこと
顧客へのお知らせメール配信を外部業者に任せている場合、必要以上の個人情報や取引データを外部に渡していませんか？
技術的な要約
鹿児島銀行、南日本銀行、鹿児島相互信用金庫、鹿児島信用金庫の4行庫は、2026年10月28日に共同運営する決済アプリ「Payどん」のメール通知システムが不正アクセスを受け、個人情報が漏えいした可能性があると発表した。メール送信業務を委託しているアララ株式会社への不正アクセスが原因であり、親会社の適時開示によるとWebサーバーの脆弱性が悪用されたとしている。漏えいした可能性がある情報は、利用者や加盟店のメールアドレス、決済情報（日時、店舗名、支払金額）であるが、Payどんにおける対象件数は公表されていない。この事態に伴い、アプリのメール通知機能と新規登録が停止されたほか、自治体のプレミアム付きポイント販売が延期されるなどの影響が出た。なお、決済システム自体は別系統のため影響はなく、発表時点で二次被害の報告は確認されていない。
攻撃の分類
- 侵入口
- 委託先経由公表で確認Payどんのメール送信業務を委託しているアララ株式会社への不正アクセス。親会社の適時開示ではWebサーバーの脆弱性を悪用されたと説明されている。
- 脆弱性
- CVE 非公表報道・研究者Webサーバー親会社ペイクラウドホールディングスの適時開示においてWebサーバーの脆弱性を悪用されたと説明されたが、具体的な製品名やCVE番号は非公表。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり Payどんアプリのメール通知機能（決済・送金完了、チャージ、地域振興券購入完了、メールアドレス変更等）および新規登録が停止。決済機能自体は別システムのため継続。
- データ
- おそれ上限 —確定 —件メール業務データPayどんにおける対象件数は公表されていない。漏えいのおそれがある情報は、Payどん利用者および加盟店のメールアドレス、決済情報（日時、店舗名、支払金額）。なお、委託先アララの環境全体では約301万件のメールアドレス流出が公表されている。
- 波及先
- 1 件
- 鹿児島市が2026年10月29日に発売予定だった「天文館・かんまちエリア応援プレミアムポイント」の販売が当面延期となった。
- 金銭影響
- —
- サプライチェーン
- メール送信業務の委託先であるアララ株式会社が不正アクセスを受けたことにより、Payどんのメール通知システムおよび利用者の情報漏えい懸念へと波及した。
時系列
- 2026-10-28
- 2026-10-28
- 2026-10-28 17:23
- 2026-10-28
- 2026-10-28
- 2026-10-28
- 2026-10-29アララの親会社ペイクラウドホールディングスが適時開示を行い、Webサーバーの脆弱性が悪用されたと説明する。6
- 2026-10-29 10:00
技術解説
委託先経由の不正アクセスとサービス停止の経緯 事実
2026年10月28日夕方、鹿児島銀行をはじめとする鹿児島県内の4行庫が共同運営するキャッシュレス決済サービス「Payどん」において、メール送信業務の委託先であるアララ株式会社から不正アクセスを受けた旨の連絡が入った。アララは同日17時23分に被害拡大防止および影響範囲調査のためサービスを停止し、親会社の適時開示によりWebサーバーの脆弱性が悪用されたことが公表された。アララの環境全体では約301万件のメールアドレス流出が確認されている。これを受けてPayどん側でも、決済や送金、チャージ等のメール通知機能と新規登録を停止した。漏えいのおそれがある情報には、利用者および加盟店のメールアドレスに加え、決済日時、店舗名、支払金額が含まれるが、Payどん単体での対象件数は公表されていない。公表時点で二次被害の報告は確認されていないものの、鹿児島市が予定していたプレミアム付き商品券の販売が延期されるなどの波及が生じた。
システム分離による中核機能の維持と波及影響の局所化 解釈
本事案では、決済処理を担うコアシステムとメール配信を行う外部委託サービスが分離されていたため、加盟店での決済機能そのものは停止せずに継続された。このように重要機能と付帯機能をアーキテクチャ上で切り離しておく設計は、外部事業者のセキュリティインシデント時における業務全停止を防ぐ上で有効に機能したと評価できる。しかし一方で、取引完了の通知メールや本人確認を伴う新規会員登録の停止を余儀なくされたほか、自治体によるプレミアムポイント販売の中断といった地域経済施策への波及が生じた。たとえ周辺機能であっても、サービス運営や顧客の信頼感に不可欠な機能が外部依存している場合、その停止が業務全体やステークホルダーに大きな混乱を招くリスクが浮き彫りとなった。
決済履歴データの漏えい懸念と標的型詐欺への悪用リスク 解釈
漏えいした可能性のある情報に、単なるメールアドレスだけでなく「決済日時」「店舗名」「支払金額」という詳細な取引データが含まれている点は重大な懸念材料である。攻撃者がこれらの具体的な購買履歴を悪用した場合、実在する店舗名や直近の正確な利用金額を記載した極めて信憑性の高いフィッシングメールを作成できる。受信者は公式の利用明細と見誤りやすく、記載された不正なリンクから認証情報やさらなる個人情報を詐取される二次被害のリスクが高まる。運営側は不審メールへの注意喚起を行っているが、外部の通知配信サービスへ渡すペイロード（通知データ）にどの程度の機微情報を含めるかという、データ最小化の観点における設計見直しが求められる。
対応
- 封じ込め
- 委託先のアララがサービスを停止したほか、Payどん側でもアプリのメール通知機能および新規登録を停止した。
- 公表の仕方
- 2026年10月28日に4行庫連名および鹿児島銀行ウェブサイトで公表を実施し、利用者に対して不審なメールに注意するよう呼びかけた。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 外部委託先へ連携する通知データの最小化 | メール送信委託先やSaaSへ連携するデータを見直し、メール本文には決済完了の事実のみを記載し、利用店舗名や決済金額などの詳細履歴はアプリ内認証後のセキュアな画面でのみ閲覧できる仕様に改修する。 |
| 外部依存機能の障害時における代替通知設計 | メール配信委託先の障害や緊急遮断時に備え、アプリのプッシュ通知機能へのフォールバックや、アプリ内通知センターで取引状態を即座に確認できる非同期通知アーキテクチャを実装する。 |
| 委託先を含めた公開サーバーの脆弱性管理の徹底 | 委託先選定および管理プロセスにおいて、公開サーバーのSBOM管理、定期的な脆弱性診断の実施状況、緊急パッチ適用のSLAを契約・監査項目として明確化する。 |
| 取引データを悪用したなりすましメール対策の強化 | 送信ドメインに対するDMARCポリシー（p=rejectまたはquarantine）の適用とBIMIの導入を推進し、正規メールの視認性を高めるとともに、ドメインを偽装したフィッシングメールを受信側で遮断できるようにする。 |
自組織などでの確認項目
- 自社のサービスから外部メール配信事業者に送信しているデータの中に、店舗名や決済額など不要な機微情報が含まれていないか。
- 外部のメール配信サービスや認証連携APIが突発的に停止した場合、自社の新規登録やコア機能が受ける影響と代替手段は用意されているか。
- 業務委託先が公開しているWebサーバー等の脆弱性管理基準や緊急パッチ適用手順について、定期的な監査や確認を行えているか。
未解明点
- アララのWebサーバーにおいて悪用された脆弱性の具体的な製品名やCVE識別子は何であったか。
- Payどんの利用者および加盟店において、情報漏えいの可能性が生じた具体的な対象件数は何件か。
出典
- 1株式会社アクト2026-10-29報道本文確認済
- 2NHK2026-10-29報道本文確認済
- 3KKB鹿児島放送2026-10-29報道本文確認済
- 4MBC南日本放送報道本文確認済
- 5株式会社鹿児島銀行2026-10-28公式本文確認済
- 6セキュリティ対策Lab2026-10-29報道本文確認済
- 7南日本放送2026-10-29T15:51:00+09:00報道本文確認済