要点
- 多くの企業がメルマガなどの配信に使う「アララメッセージ」が侵入され、最大で約380社の、約7700万件のメールアドレスと会員情報が持ち出されたおそれがある。
- アソビューは会員情報1582万1184件が流出したと発表した。名前や連絡先のほか、どの施設のチケットをいつ買ったかも含まれる。
- この配信サービスは、クレジットカード会社を装う偽メールを最大約713万通送るのにも使われた。漏れた情報を使った偽の連絡にも、これから気をつける必要がある。
何が起きたか
アララメッセージは、アララ（ペイクラウドホールディングスの子会社）のメール配信サービスである。企業は会員のメールアドレスなどをこのサービスに預け、お知らせやメルマガを送る。
アララの初報（10月29日）によると、10月28日に一部のサーバーへの不正アクセスを確認した。外の誰かが Web サーバーの欠陥を突いたとしている。この時点では、契約企業が共同で使う環境から、約301万件のメールアドレスが持ち出されたとしていた。
11月2日の第2報で、被害はずっと大きいと分かった。INTERNET Watch が伝えた第2報の中身を、規模・中身・経路の順にまとめる。
- 規模: 当たる契約企業は、今の推計で最大約380社。メールアドレスは約7700万件で、持ち出されたおそれのある分も数に入っている。精査中のため、数は変わりうる。初報で約301万件としていた共同の環境の分は、重複を除いて338万6187件に改めた
- 中身: 持ち出しが確かめられたのはサーバー97台で、メールアドレスと会員情報が含まれる。どの項目かは企業によって違い、氏名・性別・生年月日・電話番号・会員番号・住所などがありうる。カード番号は、もともと持っていないとしている
- 経路と原因: 最初に入られたサーバーから、10月28日〜31日の間に、契約企業ごとの環境へと次々に入り込まれた。原因は Web サーバーの欠陥だけでなく、システム環境の問題も重なっていたという
アララは10月31日にサービスを全部止めた。いつ再開するかは決まっていない。
乗っ取られた配信の仕組みは、偽メールにも使われた。 アララによると、悪用されたのは2つの環境で、期間は10月28日〜30日。クレジットカード会社の名をかたるメールが、多いときの見積もりで約713万通出た。差出人は「news@arara.com」で、「利用内容確認のご依頼」「ご利用明細確認のご依頼」といった件名が付いていた。送り先のアドレスは、攻撃者が外から持ってきたものだったという。
日本の利用者への影響
日本の多くの人に関わる。契約企業が次々に公表している。主なものは次のとおり（件数の意味は会社ごとに違う）。
- アソビュー（レジャー予約の「アソビュー！」）: 会員情報1582万1184件。漏れたのは大きく3種類だ。本人と連絡先の情報（氏名、性別、メールアドレス、電話番号、郵便番号、住んでいる地域）、アカウントの情報（会員ID、登録した日、最後にログインした日）、利用の記録（どの施設のチケットを、いつ、どの種類で何枚買ったか、何人で参加したか、キャンセルしたか）。パスワードとカード情報はアララに渡していないので、漏れていないという。どの会員が当たるかはまだ特定できていない。アララの調べを受けて照合したうえで、本人に知らせるとしている
- ビックカメラ・コジマ・ソフマップ: メルマガ配信先の3社合計で約1490万件のメールアドレスが流出したおそれ。カード情報とネット通販のログイン情報は対象外という
- TKC: システムを使う人のメールアドレスが最大223万812件含まれていた。セキュリティ対策Lab のまとめによると、TKC を通じて使われている自治体のオンラインシステムでは、メールの送信が止まっている
- ベルク: メールアドレス78万6739件と氏名2352件
- このほか、横浜市の電子申請システム、成城石井、北陸電力、生協など、多くの企業や自治体が公表している
漏れた情報には「どこで何を買ったか」が含まれる場合がある。偽メールが本物らしく見えやすい点が怖い。
今すぐやること
- 使っているサービスの発表を見る。 メルマガを受け取っている会社のサイトで「アララ」「委託先」の発表を探す。アソビューやビックカメラグループのように、対象者に個別に知らせるとしている会社もある。
- news@arara.com から来たカード会社名のメールは開かずに消す。 アララは、本文の URL にアクセスしないよう呼びかけている。カード情報を入れてしまったら、すぐカード会社に連絡する。
- 返金・キャンセル・再決済の案内を疑う。 施設名や利用日が正しく書かれていても、本物とは限らない。リンクは押さず、いつも使う公式アプリやサイトから確かめる。
- メールの中の電話番号やリンクを使わない。 問い合わせは、公式サイトに載っている窓口にする。ベルクは、メールで暗証番号やカード情報を尋ねることはないとしている。
背景
メール配信サービスは、たくさんの企業の顧客名簿を1か所に預かる。ここが破られると、利用者が直接使っていない会社から情報が漏れる。自分では防ぎにくい被害である。
2026年には、ほかのメール配信サービスでも不正アクセスが続いた。INTERNET Watch によると、ユミルリンクの件では、メール配信サービス「Cuenote FC」とそれ以外を合わせて50のシステムが侵入された。流出が確かめられたメールアドレスは、のべで最大5162万8280件と発表されている。ラクスライトクラウドの「ブラストメール」でも、契約者の個人情報が漏れている。アソビューは再発防止として、委託先に預ける情報を必要な分だけに絞るとしている。
技術者向けの詳細
- 時系列（日本時間）: 10/28 一部サーバーへの不正アクセスを確認 → 10/28〜31 横への侵入とデータベースの持ち出し → 10/31 不正に使われた認証情報を無効化、各サーバーの通信を止め、サービスを全部停止 → 11/2 第2報
- 侵入の入口: アララの説明では Web サーバーの欠陥とシステム環境の問題。製品名・CVE は公表されていない
- 持ち出し: サーバー97台。共同の環境は61社が関わり、うち5社は氏名・会社名などを含む顧客データが最大41万1827件
- 不正送信: 2つの環境から最大約713万通。From は
news@arara.com。件名は「利用内容確認のご依頼」「ご利用明細確認のご依頼」など - 契約企業の側の例（アソビュー、11/2）: アララから知らせを受けたその日に、認証情報（管理画面のパスワード、API キーなど）を使えなくし、アララメッセージ経由の配信は全部止めた。自社のシステムまで入られていないかも確かめている。ほかの契約企業も、アララ用の API キー・SMTP の認証情報・連携の設定を作り直し、自社側のアクセスログを調べるとよい
- 件数は重なりがあり、足し合わせられない。7700万件は人数ではない（1人で複数のアドレスを持つ場合がある）
