- メール配信サービス「アララ メッセージ」（運営：アララ株式会社。ペイクラウドホールディングスの連結子会社）が外部から不正アクセスを受けました。10月28日に確認し、対象のサーバーをネットワークから切り離しています。
- アララ メッセージを使ってメールを送っていた会社の配信先リスト（エンドユーザーリスト）に登録されたメールアドレス 約301万件が外部に持ち出されました。対象は1つのシステム（対象環境「bvam001」）です。
- アララは「メールアドレス以外の情報の流出は確認されていない」としています。対象環境を使っていた会社ごとの内訳は調査中です。
- 原因は、親会社とアララの10月29日の発表で「Webサーバーの脆弱性を第三者に悪用された」とされています。脆弱性の名前は書かれていません。
- メール送信をアララに任せていた鹿児島の地域決済「Payどん」（鹿児島銀行など4行庫）は、利用者と加盟店のメールアドレス、決済情報（日時・店舗名・金額）が漏えいした可能性があると発表しました。
- サービスの再開は未定です。お詫びや注意喚起のメールが届いたら、メールの中のリンクは使わず、送ってきた会社の公式サイトで同じ告知を確かめてください。
ほかの不正アクセス・情報漏えいは → 不正アクセス・情報漏えい チェッカー（サービス名で検索できます）
10月に国内で発表されたほかの不正アクセス・情報漏えいは「2026年10月の不正アクセス・情報漏えい 国内まとめ」で一覧にしています。
この記事は、アララのお知らせ、親会社ペイクラウドホールディングスの適時開示、Payどんを運営する4行庫の告知をもとに、分かっていることと分かっていないことを分けてまとめたものです。最新の状況はアララ メッセージのお知らせ一覧に出ます。この記事も続報が出たら更新します。
何が起きたか（時系列）
アララ メッセージは、会社がメルマガやお知らせメールをまとめて送るための配信サービスです。メールを受け取る人はアララと直接の契約がなくても、メールを送っていた会社を通じて、配信先リストにメールアドレスが入っています。
| 日付 | 発表の内容 | 出典 |
|---|---|---|
| 10月22日 | 10月21日に公表されたPHPの重大な脆弱性2件を受けて、緊急メンテナンスを行うと告知 | アララ |
| 10月22日（第2報） | 対象環境のサービス停止が続いていると告知。止まっているのは「アララ メッセージGUI」「アララ メッセージAPI v1」「repica editor」「repica auto-mail」、通常どおり動いているのは「repica sender」「アララ メッセージAPI v2」。「予防的な対応」で、この時点で不正アクセス・情報漏えいは確認されていないとしていた | アララ |
| 10月22日（第3報） | 19時から復旧作業を行い、順次サービスを再開すると告知（完了時刻は未定）。この時点でも不正アクセス・情報漏えいは確認されていないとしていた | アララ |
| 10月28日 | 一部システムで第三者による不正アクセスを確認。当該サーバーをネットワークから切り離し、一部の環境のうち対象環境のサービスを一時停止。対象の利用企業には個別に連絡。停止前に予約が終わっていた配信は、停止中でも送られると告知 | アララ・アララ（10/29） |
| 10月28日 17:23 | アララが、Payどんのメール通知など関連サービスを停止（Payどん側の告知による） | 鹿児島銀行ほか |
| 10月28日 | お詫びとご報告。エンドユーザーリストに登録されたメールアドレス 約301万件の流出を確認（対象環境 bvam001）。メールアドレス以外の流出は確認されていない。再開は未定 | アララ |
| 10月29日 | 親会社ペイクラウドホールディングス（東証グロース、4015）が適時開示。原因は「Webサーバーの脆弱性を第三者に悪用されたもの」。外部の専門機関と全サービスの脆弱性箇所を再点検し、攻撃の情報を利用企業や関係機関と共有するとした。アララも同じ内容を掲載 | ペイクラウドHD（PDF）・アララ |
10月22日のメンテナンスで止めた環境と、10月28日に不正アクセスが分かった環境（bvam001）が同じものかどうかは、どの告知にも書かれていません。
ペイクラウドホールディングスは、発生した事象のほかに不正アクセスの影響は確認されていないとしています。業績への影響は精査中で、開示すべきことが出れば知らせるとしています［ペイクラウドHD］。
漏れた情報と、漏れていないとされる情報
| アララの発表（10月28日・29日） | |
|---|---|
| 持ち出された情報 | エンドユーザーリスト（利用企業の配信先リスト）に登録されたメールアドレス |
| 件数 | 約301万件 |
| 対象 | メール配信サービスのサーバーシステムのうち1システム（対象環境 bvam001）を使っていた利用企業 |
| メールアドレス以外 | 流出は確認されていない |
| 会社ごとの内訳 | 調査中 |
ただし、利用企業の側の発表では、メールアドレスのほかの情報にも触れているものがあります。Payどんの4行庫は、漏えいの可能性がある情報として、利用者と加盟店のメールアドレスに加えて決済情報（日時、店舗名、お支払い金額）を挙げています［鹿児島銀行ほか4行庫］。Payどんの分が約301万件に含まれるのか、対象環境 bvam001 を使っていたのかは、どちらの告知にも書かれていません。自分の情報について知りたいときは、メールを受け取っていた会社の告知を見てください。
影響を発表した会社
アララ メッセージの件として、利用企業が自分で出した告知を並べています。アララは対象の利用企業に個別に連絡しているため、まだ発表していない会社もあります。ここに名前がないことは、関係がないことを意味しません。
1件（公表日の新しい順。incidents の更新に合わせて自動で増えます）
| 公表日 | 会社・サービス | 件数 | 漏れた（可能性のある）情報 | 状況 | 出典 |
|---|---|---|---|---|---|
| 2026/10/28 | 鹿児島銀行・南日本銀行・鹿児島相互信用金庫・鹿児島信用金庫（メール送信の委託先：アララ） 地域決済サービス「Payどん」のメール通知システム | 記載なし | Payどんユーザーのメールアドレス、Payどん加盟店のメールアドレス、決済情報（日時、店舗名、お支払い金額） | 漏えいの可能性 | 鹿児島銀行ほか4行庫 お知らせとお詫び（10/28）・鹿児島銀行 一部サービスの利用停止（10/28） |
件数の「記載なし」は、その会社の告知に件数が書かれていないものです。「漏えいの可能性」「漏えい確認」は、各社の告知の書き方に合わせています。
確認時点で発表を確かめられたのは、鹿児島の地域決済サービス「Payどん」です。鹿児島銀行・南日本銀行・鹿児島相互信用金庫・鹿児島信用金庫の4行庫は連名で、Payどんのメール送信を委託しているアララへの不正アクセスにより、Payどんアプリのメール通知（決済・送金完了メール、電子マネーや交通系マネーのチャージに関するメール、地域振興券の購入完了メール、メールアドレスの変更など）と、Payどんの新規登録を止めたと発表しました。二次被害の報告は、現時点でないとしています［鹿児島銀行ほか4行庫・鹿児島相互信用金庫（PDF）］。
同じ10月には、ほかのメール配信サービスでも不正アクセスが発表されています。「ブラストメールへの不正アクセスのまとめ」と「ユミルリンク（Cuenote FC）のお詫びを出した会社の一覧」も参考にしてください。
メールアドレスを登録していた人がやること
漏れたとされているのはメールアドレスです。メールアドレスだけでパスワードが盗まれるわけではありませんが、今回の件に便乗した偽メールが届くおそれがあります。
本物の連絡かどうかの確かめ方
- メールの中のリンクは使わない：送ってきた会社の公式サイトは、ブックマークや検索から自分で開きます。
- 公式サイトに同じ告知が出ているかを見る：上の一覧の出典からも各社の告知を開けます。
- パスワード、カード番号、口座番号を求めてきたら疑う：お詫びや返金、ポイントの付与を理由に入力を求めるメールは、まず偽物を疑ってください。
- 迷ったら、公式サイトに載っている窓口に問い合わせる：メールに書かれた電話番号ではなく、公式サイトの番号を使います。Payどんの場合、鹿児島銀行の告知にはデジタルサポートプラザ（0120-947-230、平日9時〜17時）が載っています。
ペイクラウドホールディングスとアララは、心当たりのない不審なメールを受け取ったら、本文のURLにはアクセスせず、返信や添付ファイルの開封、ID・パスワードや個人情報の入力もせずに削除するよう呼びかけています。Payどんの4行庫も、4行庫を名乗る不審なメールに注意し、URLや添付ファイルを開かないよう求めています。フィッシング（本物そっくりのメールや偽サイトでパスワードやカード番号を入力させる詐欺）のサイトで情報を入れてしまったら、すぐに本物のサイトでパスワードを変え、同じパスワードを使っていたほかのサービスも変えてください。カード番号を入れた場合は、カード会社に連絡します。
ほかに念のためやっておくこと
- 迷惑メールが増えることがあります。メールソフトの迷惑メールフィルターを使い、知らない差出人の添付ファイルは開かないようにします。
- Payどんを使っている人は、決済の日時・店舗名・金額が漏えいした可能性があるとされています。実際の買い物の内容を持ち出して「この決済に問題がありました」と信じ込ませる偽メールも考えられます。決済の内容は、メールではなくPayどんのアプリで確かめてください。
- パスワードを使い回しているなら、この機会に大事なサービス（メール、ネットバンキング、通販）から変えておくと安心です。2段階認証（パスワードに加えて、スマホなどで確認する仕組み）が使えるところは設定しておきます。
アララ メッセージを使っている会社がやること
以下は今回の件に向けた一般的な点検の観点で、アララの指示ではありません。アララの個別の案内が届いている場合は、そちらを優先してください。
1. 自社が対象かを確かめる
- アララは、サービス停止の対象の利用企業には個別に連絡するとしています。案内が届いているかを確かめ、自社が使っている環境が今回の対象環境（bvam001）かどうかを、案内やサポート窓口で確かめます。
- 問い合わせ先は、アララのカスタマーサポートデスク（[email protected]。カスタマーID・ASPサービスコード・シリアルコード・ユーザIDのどれかを書いて問い合わせる）です。最新の告知はお知らせ一覧で確かめます。
- メルマガや通知メールの配信を外部の会社に任せている場合は、その会社がアララ メッセージを使っていないかも確かめます。Payどんも、メール送信を委託していた先がアララでした。
2. 何を登録していたかを洗い出す
- 配信先リストに入れていた項目（メールアドレスだけか、氏名などもか）と件数を確かめます。アララの発表で持ち出しが確認されたのはメールアドレスですが、自社が送ったメールの本文に何が入っていたか（Payどんの決済情報のように）も合わせて確かめます。
- 停止前に予約していた配信は、停止中でも送られるとアララは告知しています。いまの状況で送るべきでない配信が残っていないかも確かめます。
3. 本人への連絡と公表
- 対象の可能性がある場合は、メールアドレスを登録していた本人に、偽メールへの注意を早めに知らせます。内訳の確定を待たずに「可能性」の段階で知らせる会社もあります。
- お詫びや注意喚起のメールには、リンクや入力欄を入れず、「公式サイトの告知と照合してほしい」「パスワードやカード番号をメールで尋ねることはない」と書いておくと、偽メールと区別しやすくなります。公式サイトにも同じ告知を載せます。
- アララ メッセージが止まっているあいだの配信を、別の仕組みで送るかどうかを決めます。移す場合は、移す先の安全性も確かめてからにします。
4. 個人情報保護委員会への報告が必要か
個人情報保護委員会のページでは、民間事業者の場合、次のどれかに当たる漏えい（そのおそれを含む）は、委員会への報告が必要とされています［個人情報保護委員会］。
- 要配慮個人情報（病歴など）が含まれる
- 不正に使われると財産的な被害が出るおそれがある（クレジットカード番号など）
- 不正の目的で行われたおそれがある（盗難など第三者による場合も含まれるとされています）
- 本人の数が1,000人を超える
報告は、発覚したらまず速やかに行い、不正な目的で行われたおそれがある場合は発覚日から60日以内とされています。委員会のページには「委託先事例」や「クラウド事業者による代行報告事例」の記入例もあります。外部からの不正アクセスで配信先リストが持ち出された今回の件は、委託した側の会社も当てはまるかを検討する必要があります。アララが代わりに報告する仕組みを用意するかどうかは、確認時点の告知には書かれていません。自社が当てはまるかは、委員会のページとアララの案内で確かめてください。
自社のWebサイトやサーバーに侵入の跡がないかの確かめ方は「乗っ取られていないか確かめる侵害チェックの方法」にまとめています。
PHPの脆弱性との関係
このサイトでは、10月21日に公表されたPHPの脆弱性「php2shell」を追っています。アララの件との関係について、確認時点で告知に書かれていることは次のとおりです。
- アララは10月22日、PHPの重大な脆弱性の公表を受けて緊急メンテナンスを行い、一部のサービスを止めました。その時点では、不正アクセスや情報漏えいは確認されていないとしていました。
- 10月28日の不正アクセスの原因は、「Webサーバーの脆弱性を第三者に悪用されたもの」とだけ書かれています。PHPの脆弱性が原因だとは書かれていません。
- 10月22日に止めた環境と、今回の対象環境 bvam001 の関係も書かれていません。
このため、この記事では今回の件をPHPの脆弱性によるものとは扱いません。続報で原因が詳しく示されたら更新します。
よくある質問
アララ メッセージを使ったことはありません。なぜ関係があるのですか？
あなたがメルマガやお知らせメールに登録していた会社が、その配信にアララ メッセージを使っていた可能性があるためです。持ち出されたのは、利用企業の配信先リストに登録されたメールアドレスです。
自分のメールアドレスが含まれているか、どうやって分かりますか？
確認時点では、アララが個人向けの照会の方法を案内していません。対象環境を使っていた会社ごとの内訳は調査中です。メールを受け取っていた会社の告知や連絡を待ち、気になる会社があれば、その会社の公式サイトの窓口に問い合わせてください。
パスワードやクレジットカードは漏れましたか？
アララは、メールアドレス以外の情報の流出は確認されていないとしています。ただしPayどんの4行庫は、決済情報（日時・店舗名・金額）も漏えいした可能性があるとしています。会社によって告知の内容が違うので、それぞれの告知で確かめてください。偽サイトでパスワードやカード番号を入れてしまった場合は別で、すぐに変更やカード会社への連絡が必要です。
届いたお詫びメールは本物ですか？
メールだけでは判断できません。メールの中のリンクは使わず、送ってきた会社の公式サイトを自分で開き、同じ告知が出ているかを確かめてください。
アララ メッセージはいつ再開しますか？
10月28日の発表では「未定」で、見通しが立ったら改めて案内するとしています。最新の状況はアララ メッセージのお知らせ一覧で確かめてください。
原因はPHPの脆弱性ですか？
告知では「Webサーバーの脆弱性」とされていて、PHPの脆弱性が原因だとは書かれていません。10月22日にPHPの脆弱性を受けた緊急メンテナンスをしていたことは事実ですが、今回の件との関係は示されていません。
Webセキュリティ診断センターでは、企業が運営するWebサイトやサーバーについて、更新の状況や侵入の跡がないかの確認を手伝っています。アララ メッセージのアカウントや個別の漏えい状況については、アララのカスタマーサポートデスクにお問い合わせください。相談はこちら
参考にした情報
- アララ株式会社「【重要】【アララ】弊社メール配信サービス停止および個人情報流出に関するお詫びとご報告」（2026年10月28日）
- アララ株式会社「【重要】【アララ】不正アクセスに伴うサービス停止のお知らせ」（2026年10月28日）
- アララ株式会社「当社が提供する「アララメッセ－ジ」への不正アクセスによる情報流出およびサービス停止について」（2026年10月29日）
- ペイクラウドホールディングス株式会社「当社連結子会社が提供する「アララメッセ－ジ」への不正アクセスによる情報流出およびサービス停止について」（2026年10月29日、PDF）
- アララ株式会社「PHPの脆弱性対応に伴う緊急メンテナンスのお知らせ」（10月22日） / 第2報（10月22日） / 第3報（10月22日）
- 鹿児島銀行・南日本銀行・鹿児島相互信用金庫・鹿児島信用金庫「Ｐａｙどんへの不正アクセスによる個人情報漏えいの可能性に関するお知らせとお詫び」（2026年10月28日）
- 鹿児島銀行「【重要】不正アクセスに伴うＰａｙどんの一部サービスの利用停止について」（2026年10月28日）
- 鹿児島相互信用金庫ほか「Pay どんへの不正アクセスによる個人情報漏えいの可能性に関するお知らせとお詫び」（2026年10月29日、PDF）
- 個人情報保護委員会「漏えい等の対応とお役立ち資料」
