アララの不正アクセス（2026年10月公表）

手口第三者が、Webサーバーの脆弱性を悪用して入り込みました。アララは第2報で、この脆弱性に加えてシステム環境の問題も関係していたと説明しています。共用環境では管理画面に不正にログインされ、データの出力機能などを悪用してデータを持ち出されました。さらに、本サービスのサーバーを経由して契約企業の環境のサーバー97台に侵入され、データベースの内容を持ち出されました。一連の不正アクセスは、攻撃元の共通性などから同じ第三者によるものとみられています。侵入の開始時期と経路は調査中で、どのソフトのどの弱点かは公表されていません。

発覚

10月28日に共用環境への不正アクセスを確認。10月31日、本サービスを経由した持ち出しを把握

公表

10月29日（アララと親会社のペイクラウドホールディングス）。11月2日に第2報

影響の範囲

共用環境（契約企業61社）と、契約企業の環境のサーバー97台（対象の企業数は精査中、推計で最大約380社）

流出した情報

契約企業の環境：メールアドレス約77百万件（精査中）と会員情報（氏名・性別・生年月日・電話番号・会員番号・住所など。企業により異なる）。共用環境：メールアドレス3,386,187件（重複を除く）と、5社が登録した顧客データ最大411,827件

含まれないもの

クレジットカード番号は保有していない

不審メール

10月28日から30日、送信元「news@arara.com」からカード会社を装うメールを最大約713万通

原因

Webサーバーの脆弱性と、システム環境の問題

いまの状況

10月31日からサービスの提供をすべて停止中。再開の時期は未定。件数は精査中で、契約企業へ個別に案内している