カード会社を名乗る最大約713万通は、送信元が本物の「news@arara.com」。約7,700万件は人数ではなくアドレス件数

2026年11月6日

ノートパソコンの画面に届いたメールを警戒しながら確認している様子。メール配信サービス「アララメッセージ」への不正アクセスでカード会社を装う不審メールが送信されたことを伝える記事のイメージ画像

この記事のポイント

現在地：「アララメッセージ」（企業のメール配信を担うサービス）は10月31日14時50分から全面停止中で、再開時期は未定と報じられています
発表の段階：アララと親会社ペイクラウドホールディングスの第2報（11月2日）で規模が拡大しました。第1報は10月29日で、第3報で更新される方針と報じられています
数字：持ち出された、または持ち出された恐れのあるメールアドレスは約7,700万件（人数ではなく件数）、影響を受けうる契約企業は最大約380社です。第1報の約301万件とは数える範囲が違います
不審メール：カード会社を名乗る最大約713万通（10月28日〜30日）が送信されました。送信元は本物の news@arara.com で、見た目では判別できません
切り分け：報じられている範囲では、宛先は外から持ち込まれたリストです。届いたことは流出の証拠にならず、届かないことも安全の証明にならません
やること：メールの URL は踏まず、何も入力しないでください。自分が対象かは、登録先の契約企業（TKC・Zaif・キンコーズなどの例があります）の個別告知を、公式サイトから自分で開いて確かめてください

本記事は報道各社の記事をもとにした整理で、アララ自身の発表原文は確認できていません。

件名は「利用内容確認のご依頼」、送信元の表示では真偽を判断できない

ここで押さえておきたいのは、送信元アドレスが本物でも不審メールは成立するという点です。アララメッセージ（企業に代わって大量のメールを一斉に送るサービス）が不正に使われたため、本物のドメインから偽のメールが出ました。

10月28日〜30日に最大約713万通、不正利用されたのは2つの環境

SBbitによると、サービスの2つの環境が不正利用され、10月28日〜30日にクレジットカード会社を装うメールが最大約713万通送信されたとされています。送信元は news@arara.com、件名の例は「利用内容確認のご依頼」「ご利用明細確認のご依頼」とYahoo!ニュースなどで報じられています。

ISSOHは、送信元ドメインが本物のため、表示だけでは真偽を判断できないと指摘しています。送信元が本物でも手がかりにならない同じ構図は、アルカディアの不正アクセスでも取り上げました。防災メールと同じドメインから、カード会社を名乗るメールが届いた件です。

不審メールへの対処5点と、入力してしまった場合の動き

ISSOHによると、報じられている対処は次の5点です。

本文中の URL にアクセスしないでください
添付ファイルを開かないでください
返信しないでください
ID・パスワード・カード情報を入力しないでください
不審なメールは削除してください

明細は、カード会社の公式サイトやアプリから直接確認する形が案内されています。入力してしまった場合は、次のように動きます。

カード情報：リンク先で入力した場合は、カード発行会社へ連絡してください（報じられている案内）
ID・パスワード：入力した場合は、そのパスワードと、同じものを使い回している他のサービスのパスワードを変更してください。変更は、メール内のリンクからではなく、公式サイトやアプリを自分で開いて行ってください（一般的な対処であり、報じられている案内とは別です）

届いたかどうかと、流出リストに入っているかは別々に決まる

不審メールが届いたかどうかと、自分のアドレスが持ち出されたかどうかは、別々に決まります。不審メールの宛先リストと、持ち出された、または持ち出された恐れのある約7,700万件のリストは、別物と報じられているためです。

ISSOH の報道によれば、不審メールの宛先は第三者が外部から持ち込んだアドレスで、アララが預かる配信リスト宛てではないとされています。そのため、メールの有無はどちらの向きにも判断材料になりません。

メールが届いた人も、流出リストに入っているかは分からない

この説明が正しければ、メールが届いた事実だけでは、約7,700万件に自分のアドレスが含まれるかは分かりません。1人が両方のリストに入っていることもありえます。次の2点は分けて扱ってください。

届いたメールには、URL を踏まず、何も入力しないでください
自分のアドレスは、登録先の告知で別に確かめてください

届いていない人も、契約企業側の告知を別に見る必要がある

不審メールが来ていなくても、登録先の事業者がアララのサービスを使っていれば対象になりえます。届かなかったことは安全の根拠にならないため、確認の軸はあくまで契約企業の告知です。告知の探し方は次の章にまとめます。

「約7,700万件」はアドレスの件数で、第1報の301万件とは範囲が違う

「件」はアドレスの件数で、人数ではありません。1人が複数のアドレスを持てば同じ人が複数の件数に数えられますし、区分をまたいだ重複も含みうるとSBbitは注記しています。

301万件と約7,700万件を、範囲の違いで並べて読む

表の前に用語を整理します。共用環境は、契約企業ごとの環境とは別に置かれた環境とみられます。サーバー97台は、契約企業ごとの環境にあるサーバーの台数です。

区分	件数	数えている範囲
第1報（10月29日）	約301万件	共用環境（Web サーバーの脆弱性の悪用とされた）
第2報（11月2日）	約7,700万件	契約企業ごとの環境（サーバー97台、最大約380社）

件数の大小だけでは、自分への影響の大きさは分かりません。数字は範囲の違いを知る材料にとどめ、自分が対象かは登録先の告知で確かめてください。

第1報の内容はSBbitが、第2報の内容はITmediaとINTERNET Watchが伝えています。301万件が7,700万件に含まれるのかは、報じられている範囲では確認できていません。

SmartScopeは、共用環境分がその後の再集計で重複を除いて338万6,187件になったと伝えています。ただし、301万件から件数が増えた理由は、報じられている範囲では確認できていません。

「最大約380社」「約7,700万件」はいずれも推計・精査中で、第3報で更新される方針と報じられている

どちらも確定値ではなく、第3報で変わりうる数字です。数字の大小だけで自分への影響を判断せず、更新を待つ前提で読むのが現実的です。

影響の公表は契約企業ごと。TKC・Zaif・キンコーズの告知例

自分が対象かを確かめる現実的な経路は、会員登録している事業者の個別告知を見ることです。phishing.jpは、アララ自身は利用企業名を挙げておらず、影響の公表は契約企業が個別に行っていると伝えています。個人がアララへ直接照会できる窓口は、確認できた範囲では見つけられませんでした。

告知は、登録先の公式サイトのお知らせ欄を自分で開いて確かめます。事業者名で検索し、公式ドメインの告知を探す方法もあります。カード会社を名乗るメールが送られた経緯があるため、メール内のリンクからは告知を開かず、明細の確認と同じく公式サイトから直接開いてください。

告知のページを特定できた3社

いずれも11月2日付の告知です。

TKC：報じられている範囲では、最大223万812件のメールアドレスが対象になりうるとしています。自治体のマイナンバーカード交付予約システムなどでメール送信を止めたと報じられています
Zaif：業務委託先（アララ）への不正アクセスに伴う情報流出の可能性を告知しています
キンコーズ・ジャパン：スマートメンバーシップ会員のメールアドレスも流出していたと確認し、第一報を出しています