アララへの不正アクセスによるメールアドレス流出（約301万件）
公表日
アララ株式会社のメール配信サービスが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。を受け、登録されていたメールアドレス約301万件が流出しました。
対象者は？
対象環境「bvam001」のエンドユーザーリストに登録されていたメールアドレス約301万件が対象です。メールアドレス以外の個人情報（パスワードやSNS連携情報など）の流出は確認されていません。
アララ社から対象となる契約企業へ個別に連絡が行われています。アララ社のメール配信システムを利用している各サービス（MultiPostなど）からの案内やお知らせをご確認ください。
いますぐできること
- 心当たりのない送信元からのメールや、不審なリンク・添付ファイルが含まれるメールを開かないよう注意してください。
- 念のため、同じメールアドレスを登録している重要なサービスで二要素認証を設定するなど、アカウントの安全対策を確認してください。
何が起きたのか
2026年10月28日、アララ株式会社は提供するメール配信サービスで不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。を確認し、被害拡大を防ぐために一部環境のサービスを一時停止しました。その後の調査により、特定の環境に登録されていたメールアドレス約301万件が流出していたことが判明しました。このシステムを利用してメルマガを配信していた外部事業者でも、配信の一時停止などの影響が生じています。
なぜ起きたのか・なぜ広がったのか
第三者による不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。が発生したことによりますが、攻撃者がどのような手口や経路でシステム内に侵入したのかについては、まだ発表されていません。
いまの状況2026-10-28 時点続報待ち
被害拡大防止のため対象環境のメール配信サービスは一時停止されており、再開時期は未定です。アララ社および利用企業において、各社ごとの流出対象アドレスの詳細調査が続けられています。
企業として考えたいこと
自社がメルマガ配信や通知などで利用している外部クラウドサービスが攻撃を受けた場合、自社の顧客データへの影響を速やかに確認し、利用者に説明できる体制は整っていますか？
技術的な要約
アララ株式会社が提供するメール配信サービスにおいて、第三者による不正アクセスが発生し、対象環境「bvam001」のエンドユーザーリストに登録されていたメールアドレス約301万件が流出したことが確認された。同社は被害拡大防止のため一部の対象環境のサービスを一時停止した。メールアドレス以外の情報の流出は確認されていない。サービスの再開時期は未定であり、同サービスを利用する「MultiPost」等の外部事業者でもメルマガ配信が一時停止するなどの影響が生じている。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明公式発表では不正アクセスの侵入経路や手法は公表されていない。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 被害拡大防止のため、一部の対象環境（bvam001）のメール配信サービスを一時停止。停止前に配信予約が完了していた配信は実行されるが、サービス再開時期は未定。期間：未定
- データ
- 確定上限 3,010,000確定 3,010,000件メール対象環境「bvam001」のエンドユーザーリストに登録されたメールアドレス約301万件。メールアドレス以外の情報の流出は確認されていない。
- 波及先
- —
- MultiPost（メールマガジン配信を一時停止、自社登録メールアドレスの流出有無を確認中）
- 金銭影響
- —
- サプライチェーン
- アララ株式会社が提供するメール配信サービスへの不正アクセスにより、同サービスを利用してメールマガジン等を配信している外部事業者（MultiPost等）で配信停止や登録情報確認の影響が生じた。
時系列
- 2026-10-28アララ株式会社がサービスへの不正アクセス発生を確認し、被害拡大防止のため対象環境のサービスを一時停止した旨の第1報を公表。この時点では情報漏えいの事実は確認されていないと説明。1
- 2026-10-28アララ株式会社が対象環境の顧客に対してサービス一時停止を別途連絡。1
- 2026-10-28アララ株式会社がサービス停止前に配信予約が完了している配信については停止中も実行されることを案内。1
- 2026-10-28アララ株式会社が続報を公表し、メール配信サービスへの不正アクセスに伴い対象環境「bvam001」のエンドユーザーリストから約301万件のメールアドレス流出が確認されたと発表。2
- 2026-10-28アララ株式会社が、メールアドレス以外の情報流出は確認されていない旨と、対象環境各社における流出対象アドレスの詳細調査を進めていることを説明。2
- 2026-10-28アララ株式会社がメール配信サービスの再開時期について現時点で未定と公表。2
- 2026-10-28アララ社のメール配信サービスを利用するMultiPostが、不正アクセスとメールアドレス一部流出の公表を受けて案内を公表。3
- 2026-10-28MultiPostが、自社登録アドレスの流出有無の確認を進めるとともにメールマガジン配信を一時停止。通知メールは継続中でありパスワードや連携SNS情報の流出はないと説明。3
技術解説
不正アクセスの検知とメールアドレス流出の公表 事実
アララ株式会社は2026年10月28日、自社のサービスにおいて第三者による不正アクセスが発生していることを確認し、被害拡大防止のため対象環境のサービスを一時停止した旨を公表した。当初の第1報公表時点では情報漏えいの事実は確認されていないと説明されていたが、同日中に公表された第2報において、対象環境「bvam001」のエンドユーザーリストに登録されていたメールアドレス約301万件の流出が確認されたと発表された。発表によると流出対象はメールアドレスのみであり、それ以外の個人情報等の流出は確認されていない。また、同環境を利用している各社における具体的な流出対象メールアドレスについては、公表時点で詳細な調査が進められている。
サービス停止措置と外部サービスへの波及 事実
アララ社は不正アクセス確認後、被害拡大を防ぐ目的で対象環境「bvam001」のメール配信サービスを一時停止した。停止前に配信予約が完了していた処理についてはサービス停止中も配信が実行されると案内されたが、サービスの復旧および再開時期は公表時点で未定とされている。このサービス停止に伴い、同システムをメールマガジン配信に利用していたMultiPostなどの外部事業者にも影響が及んだ。MultiPostは登録メールアドレスの流出有無について確認を進めるとともにメールマガジン配信を一時停止した。なお、MultiPost側ではパスワードや連携SNS情報の流出はなく、ログインやお知らせなどの通知メール配信は継続されていると説明されている。
初期初動の迅速性と残された技術的調査課題 解釈
アララ社は不正アクセスを把握した同日中にサービス一時停止を実施し、第1報から間を置かずに約301万件という流出規模と流出対象（メールアドレスのみ）を公表するなど、被害拡大防止と顧客周知を迅速に行ったといえる。一方で、侵入日時や検知契機、悪用された脆弱性や認証情報の有無といった侵入経路に関する技術的な詳細は公表されていない。また、対象環境「bvam001」が具体的にどのような顧客層・テナント構成を包含していたのかも不明である。外部サービスを経由したメールアドレス流出は、標的型攻撃やフィッシングメールの送付元リストとして悪用されるリスクがあるため、利用企業側の詳細な影響特定とともに、今後の原因究明報告が重要となる。
対応
- 封じ込め
- 被害拡大防止のため、一部の対象環境（bvam001）のメール配信サービスを一時停止した。
- 公表の仕方
- 2026年10月28日に第1報（不正アクセスに伴うサービス停止のお知らせ）を公表後、同日中に第2報（サービス停止および個人情報流出に関するお詫びとご報告）を公表し、約301万件のメールアドレス流出を発表。対象顧客には別途連絡を実施。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 配信基盤におけるテナント分離とデータ隔離の設計 | 大量の個人データを扱うメール配信サービスでは、システム環境やデータベースを顧客単位・用途単位で論理的または物理的に分離し、特定環境が侵害された際の被害波及範囲を局所化する。 |
| 不正アクセス発生時の緊急停止と予約タスク制御の仕様明確化 | 侵害検知時に迅速にサービスを遮断できる運用手順を策定し、キューに残存する予約タスクや未送信データの安全性を即座に評価・制御できる仕組みをあらかじめ構築しておく。 |
| 外部配信SaaS利用時におけるインシデント連携体制の策定 | メール配信基盤として外部SaaSを利用する企業は、委託先でセキュリティインシデントが発生した際の通報窓口、自社データ流出の確認手順、および自社利用者へのアナウンス計画を事前に定義しておく。 |
| メールアドレス流出に伴う二次被害（フィッシング・なりすまし）対策の迅速な周知 | メールアドレス単体の流出であっても、それを標的とした不審メールやフィッシング攻撃のリスクが高まるため、正規の送信元ドメインを周知し、疑わしいメールへの警戒を迅速に利用者に呼びかける。 |
自組織などでの確認項目
- 自社が利用している外部メール配信サービスやSaaSにおいて、インシデント発生時に自社の対象データを迅速に特定・連絡してもらえる運用体制になっているか。
- 自社の顧客データや配信リストを保持する環境において、万が一1つのサーバーや環境が侵害された場合に他のテナントや領域へアクセスが及ばない分離制御が施されているか。
- 自社の顧客メールアドレスが外部から流出した可能性が生じた場合、顧客を装った不審メールやフィッシング詐欺に備えた注意喚起を速やかに配信できる広報体制が整備されているか。
未解明点
- 第三者が対象環境「bvam001」に不正アクセスした具体的な侵入経路（公開サーバーの脆弱性、認証情報の窃取・流用など）は何か。
- 対象環境「bvam001」に登録されていた約301万件のメールアドレスはどの範囲の顧客や利用者に属するものか、また停止されたメール配信サービスの復旧予定および再発防止策はどのようになっているか。
出典
- 1アララ株式会社2026-10-28公式本文確認済
- 2アララ株式会社2026-10-28公式本文確認済
- 3MP＠複数SNS一括投稿ツール2026-10-28公式本文確認済