メール配信サービス「アララメッセージ」に不正アクセス。影響は利用企業 最大約380社に（11月4日続報）

01発表されている事実

1. 10月28日（水）

   一部のシステムで不正アクセスが発生したことを確認。サーバーをすぐにネットワークから切り離す

2. 10月29日

   アララと親会社のペイクラウドホールディングスが公表

不正アクセスを受けたのは、メール配信サービスのサーバーシステムのうち1つです。この環境を使う企業が持つメールアドレス約301万件が外部に持ち出されたことを確認しています。原因は、システムの一部の環境で、Webサーバーの脆弱性（ぜいじゃくせい、システムの弱点）を第三者に悪用されたことだとしています。発表の時点で、ほかの不正アクセスによる影響は確認されていません。

02読者への影響

アララメッセージは、企業がお客さまにメールマガジンやお知らせを送るためのサービスです。流出したメールアドレスの持ち主は、そのサービスを使う企業のお客さまです。多くの人は、自分のアドレスがアララメッセージに登録されていることを知りません。メールアドレスだけでは不正ログインされませんが、ふだんメールが届く会社の名前をかたった偽メール（フィッシング）が届くおそれがあります。アララも、心当たりのない不審なメールのURLにアクセスせず、返信・添付ファイルの開封・IDやパスワードの入力をせずに削除するよう呼びかけています。

メール配信をアララメッセージに任せている企業は、自社の配信先が対象かどうかをアララに確かめ、対象なら自社のお客さまに知らせる準備が必要です。配信を任せていても、お客さまの個人情報を預けた会社としての対応が求められます。

03今すぐやること

1. 知っている会社の名前でも、メールの中のリンクからログインしない。公式アプリやブックマークから開く
2. メールでIDやパスワード、カード番号を求められたら入力しない
3. アララメッセージを使う企業は、自社の環境が対象かを確かめ、個人情報保護委員会への報告や本人への通知が必要かを判断する

04メール配信を任せている会社へ

10月はメール配信サービスへの不正アクセスが相次ぎました。外部のサービスを使うと、自社がどれだけ気をつけても、委託先の弱点から情報が漏れることがあります。委託先を選ぶときにセキュリティの取り組みを確かめること、配信リストに退会者や古いアドレスを残さないこと、送信ドメイン認証（DMARCなど）を設定して自社をかたる偽メールを届きにくくすることが、被害を小さくします。

05今後の発表

アララは、外部の専門機関と連携して全サービスの脆弱性の再点検を行い、攻撃に関する情報を利用企業や関係機関と共有するとしています。新たに分かった事実は速やかに知らせるとしています。

06続報（11月4日時点）

10月29日の発表のあと、アララ自身と、アララメッセージを使っていた企業から、次の発表がありました（件数は各社の発表どおり。アララは件数を精査中としています）。

• アララ（10月30日、サービスのお知らせ）：流出したのは対象環境（bvam001）のエンドユーザーリストに登録されたメールアドレス約301万件で、それ以外の環境での流出はないと案内。10月29日に個人情報保護委員会とプライバシーマーク制度の報告先へ報告。
• アララ（10月31日、サービスのお知らせ）：予防的な措置として、アララ メッセージとASP repicaシリーズの全サービスを14時50分から停止。管理画面とAPIは使えず、予約済みの配信も実行されない。オンプレミスのrepicaシリーズは対象外。
• アララ（11月2日、第2報）：不正アクセスが判明したサーバーが広がり、共用環境に加えて契約企業の環境のサーバー97台（対象の企業数は精査中、現時点の推計で最大約380社）から、メールアドレスと会員情報が持ち出された（持ち出された恐れを含む）。メールアドレスは約77百万件（精査中。1人が複数のアドレスを持つ場合があり、人数ではない）。会員情報は、契約企業が登録した氏名・性別・生年月日・電話番号・会員番号・住所など（企業により異なる）。クレジットカード番号は保有していないとしている。
• アララ（同、既報の更新）：「約301万件」と発表した共用環境の件は、契約企業61社に関係し、メールアドレス3,386,187件（重複を除く）と、5社が登録した氏名・会社名などを含む顧客データ最大411,827件が持ち出されていた。管理画面に不正にログインされ、データの出力機能などを悪用された。原因は、Webサーバーの脆弱性に加えて、システム環境の問題も関係していたとしている。
• アララ（同、不審メール）：サービスの一部の環境が不正に使われ、10月28日から30日にかけて、送信元「news@arara.com」から、クレジットカード会社を装うメール（件名「利用内容確認のご依頼」「ご利用明細確認のご依頼」など）が最大約713万通送られた。受け取った人はURLを開かずに削除し、カード情報を入力してしまったらカード会社へ連絡するよう呼びかけ。
• アララ（11月4日12時、サービスのお知らせ）：再開の時期は未定。影響範囲が分かった契約企業へ、流出件数を順に個別に案内している。個人情報保護委員会への報告は、契約企業がアララとの連名を選べる。
• Zaif（11月2日）：お知らせメールの配信に使う環境でも流出が確認されたとアララから連絡を受けた。同社の顧客のメールアドレスが含まれるかは調査中。登録していたのはメールアドレスだけで、氏名・住所・取引情報・パスワードなどは登録していない。
• 小田急トラベル（11月2日）：小田急トラベルの会員のメールアドレス63,006件が流出したと報告を受けた。対象は、10月8日から29日までに同社からメールを受け取ったアドレスで、メールアドレス以外は含まれない。
• 北陸電力（11月2日）：会員サービス「ほくリンク」のメール配信を任せている外部の運営会社から、利用しているメール配信サービスへの不正アクセス（10月28日から31日）で、最大約380社分・約7,700万件の個人情報が流出し、その中に「ほくリンク」会員のメールアドレス約55万件が含まれると連絡を受けた。メールアドレス以外の流出は確認されていない（発表にはサービス名の記載はない）。
• 横浜ゴム（11月3日）：ニュースリリースなどのメール配信に登録している会社名とメールアドレスが漏えいしたと、11月3日にアララから連絡を受けた。当初は同社に関係する漏えいは確認されていないとの報告だった。

当初は「1システム・約301万件」でしたが、範囲が大きく広がりました。同じアドレスが複数の会社に登録されていることもあるため、自分がどの会社から案内を受けるかは分かりません。カード会社や、ふだんメールが届く会社をかたるメールには、引き続き注意してください。アララメッセージを使っていた企業は、アララからの個別の連絡で自社の環境が対象かどうかと件数を確かめ、個人情報保護委員会への報告とお客さまへの通知を進めてください。