アララの情報漏洩｜アララメッセージへの不正アクセス 第２報でメールアドレス約77百万件（精査中）最大約380社 公表した企業と自治体 2026

アララの情報漏洩について、アララ株式会社は2026年11月2日に第２報を出し、メール配信サービス「アララメッセージ」への不正アクセスで、契約企業の環境のサーバー97台からメールアドレスと会員情報が外部に持ち出された（持ち出された恐れのあるものを含む）と発表しました。持ち出されたメールアドレスは、現時点の調査で約77百万件（精査中）で、対象となる契約企業は最大約380社（推計、精査中）とされています。 アララは2026年10月31日に本サービスの提供をすべて停止し、2026年11月4日時点で再開の時期は未定です。 企業や自治体からメールを受け取っていた人がまずすることは、アララや契約企業を名乗るメール・SMS・電話・郵便物のURLを開かず、ID・パスワードやクレジットカード情報を入力しないこと、2026年10月28日から30日に送信元「[email protected]」から届いたメールは開かずに削除することです。

この記事は、2026年11月4日時点でアララ株式会社の第２報「当社が提供する「アララメッセ－ジ」への不正アクセスによる情報流出およびサービス停止について（第２報）」と、第1報、各企業・自治体の公式の発表を開き直し、その記載だけをもとに書いています。報道に出ている数字や推測は入れていません。

アララの第２報で何が分かったのか

アララの第２報は、2026年10月29日に出した第1報（第２報の中では「既報」と呼ばれています）に、その後の調査で分かったことと対応を加えて更新したものです。第２報の冒頭には「本報のポイント」として4つの点が挙げられています。内容を言い換えて整理します。

• 第1報で知らせた環境のほかにも、不正アクセスが分かったサーバーが広がり、契約企業の会員情報などが外部に持ち出された（持ち出された恐れのあるものを含む）。持ち出されたメールアドレスは、現時点の調査で約77百万件（精査中）
• 約77百万件は、個人が複数のアドレスを持っている可能性があるため、最終ユーザーの数を示すものではない
• 新たに持ち出された情報には、メールアドレスに加え、氏名などの会員情報（契約企業によって異なる）を含む顧客データが含まれていた
• 2026年10月31日に本サービスの提供をすべて停止した。再開の時期は未定
• 件数などは精査中で、今後変わる可能性がある。精査の結果は第３報で知らせる

約77百万件（約7,700万件）という数字は、メールアドレスの件数です。何人分の情報かを示す数字ではありません。同じ人が仕事用と個人用のアドレスを別々に登録していれば、それぞれ1件として数えられます。また、第２報はこの数字を「現時点の調査で」「精査中」としており、確定した数ではありません。

ここで出てくる「最終ユーザー」とは、アララメッセージを通じて企業や自治体からメールを受け取っていた個人のことです。「ご契約企業」とは、アララメッセージを直接導入してメールを送っていた企業や団体のことです。

アララメッセージとは何か、なぜ多くの組織に広がったのか

アララメッセージは、アララ株式会社が運営するメール配信サービスです。企業や団体は、会員へのメールマガジン、予約や申し込みの確認メール、ログインのときに届く確認のコードのメールなどを、こうしたサービスを使って一斉に、または自動で送っています。メール配信サービスとは、たくさんのメールを確実に届けるための仕組みを、外部の会社から借りて使うサービスのことです。

メールを送るには、送り先のメールアドレスが要ります。会員の名前を差し込んだメールを送る場合は、氏名などの情報も一緒に登録します。そのため、メール配信サービスの中には、契約企業が登録したアドレス帳が保存されています。第２報の別表２では、本サービスで記録される「会員情報（アドレス帳）」を、メールアドレスと、契約企業が登録した氏名・性別・生年月日・電話番号・会員番号・住所等（項目は契約企業により異なる）と説明しています。

もう1つ、今回の件が広がった理由に、委託の重なりがあります。企業や自治体が自分で直接アララメッセージを契約している場合のほかに、システムを作った会社がメールの送信の部分をアララメッセージに任せている場合があります。後で一覧にする自治体の多くは、システムの委託先である株式会社TKCが、メールの配信をアララに委託していた形です。利用者から見ると「市のサイトで手続きをした」だけでも、確認メールはアララメッセージから届いていた、ということがありえます。

第1報から何が変わったのか

第２報には、第1報からの主な変更点が表で示されています。その内容を整理します。

項目	第1報（2026年10月29日）	第２報（2026年11月2日）
流出が確認された範囲	1システム（共用環境）	共用環境に加え、契約企業の環境（サーバー97台）
流出した情報	メールアドレス	メールアドレス、氏名等の会員情報（契約企業により異なる）
件数	メールアドレス約301万件	区分ごとの件数（精査中）
原因	Webサーバーの脆弱性	Webサーバーの脆弱性およびシステム環境における問題
不審メール	一般的な注意喚起	本サービスから送信された不審メール（最大約713万通）の内容と注意喚起
サービス	当該サーバーをネットワークから切り離し	本サービスの提供をすべて停止（10月31日）

第1報（アララ株式会社のお知らせ）は、2026年10月28日に一部のシステムで不正アクセスを確認し、1システムに対する不正アクセスで、その環境を使う企業が持つメールアドレス約301万件が外部に持ち出されたと書いていました。第２報では、その範囲が大きく広がったことになります。

大事な変化は2つあります。1つは、持ち出された情報がメールアドレスだけではなくなったことです。第1報の段階では「メールアドレス」でしたが、第２報では、契約企業によっては氏名や電話番号、住所なども含まれる会員情報が対象になりました。もう1つは、不審メールの送信に本サービスそのものが使われたことが明らかになったことです。

区分ごとの影響と件数

第２報の「影響の概要」には、3つの区分ごとに、いつ起き、いつ把握し、何が対象で、何件かが示されています。件数は11月1日時点のものです。

区分	発生	把握	対象	主な情報	件数（11月1日時点）
（1）本サービスを経由した不正アクセス	10月28日から31日	10月31日	契約企業の環境のサーバー97台（最大約380社）	メールアドレスと会員情報	約77百万件（精査中）
（2）既報の環境（共用環境）	10月27日から28日	10月28日	契約企業61社	メールアドレスと属性情報	3,386,187件
（3）本サービスの不正利用による不審メールの送信	10月28日から30日	10月28日・10月30日	2つの環境	メールアドレス	最大約713万通（2つの環境の合計）

この表の件数は、足し合わせないでください。第２報は「区分の間で同じメールアドレスが重複している可能性があるため、件数は合算しておりません」と注記しています。この記事でも合計は出しません。

「持ち出された恐れ」という言葉については、第２報は「記録の読み取り量から判断したもの」と説明しています。つまり、システムに残った記録から、どのくらいの量のデータが読み出されたかを見て判断した、ということです。持ち出されたと確かめられたものと、恐れがあるものの両方が含まれています。

第２報は、一連の不正アクセスについて、攻撃元の共通性などから、既報の不正アクセスを行った第三者によるものとみられるとしています。侵入の開始時期と経路は、引き続き調査中です。

経緯（別表１）

第２報の別表１には、主な出来事が日時の順に並んでいます。区分の番号は前の節の表の区分を指します。

日時	内容	区分
10月27日 8時36分	第三者による偵察とみられるアクセス（第1報の後の調査で判明）	なし
10月28日 3時59分頃	本サービスで不正利用（不審メールの送信）が始まる	（3）
10月28日 7時00分	当該環境への外部からのアクセスを停止	（3）
10月28日 8時47分頃	別環境で不審メールの送信が始まる（第1報の後の調査で判明）	（3）
10月28日 11時09分から15時43分	共用環境の管理画面への不正ログインとデータの持ち出し	（2）
10月28日 16時31分	共用環境を緊急停止	（2）
10月29日 1時36分から10月30日 2時22分	本サービスを経由したデータの持ち出し	（1）
10月29日	既報の公表、個人情報保護委員会へ速報	なし
10月30日 13時08分	不審メールの送信を把握し、13時26分に当該環境の通信を遮断（13時32分を最後に送信なし）	（3）
10月31日 午前	本サービスを経由した持ち出しを把握	（1）
10月31日 12時58分から	不正に使用されたアカウント・鍵の無効化、各サーバーの通信の遮断を順次実施	（1）
10月31日 19時53分	本サービスの提供の停止を完了	なし

別表１では、第1報を出した10月29日の時点で、本サービスを経由した持ち出しがまだ続いていたことになります。

なお、本文の「３．新たに判明した不正アクセス」では、本サービスを経由した不正アクセスを「2026年10月28日から31日にかけて」と書いており、別表１の持ち出しの時間帯（10月29日1時36分から10月30日2時22分）とは書き方が異なります。区分の表の「発生」も10月28日から31日です。どちらも第２報の記載のまま示しています。

本サービスを経由した不正アクセスの中身

第２報で新しく分かった中心は、区分（1）の本サービスを経由した不正アクセスです。第２報は経緯を次のように説明しています。第三者がアララの本サービスのサーバーに不正にアクセスし、そのサーバーを経由して本サービスの多数のサーバーに侵入し、データベースの内容を外部に持ち出しました。アララは10月31日、一連の原因を調べる中でこれを把握し、同じ日に不正に使われた認証情報の無効化や各サーバーの通信の遮断などを行い、本サービスの提供をすべて停止しました。

対象は、契約企業の環境のうちサーバー97台で、メールアドレスと会員情報の外部への持ち出しが確認されています。対象となる契約企業の数は精査中で、現時点の推計は最大約380社です。

流出した情報は、メールアドレス、契約企業が本サービスに登録した項目（氏名、性別、生年月日、電話番号、会員番号、住所等。契約企業により異なる）、配信の宛先などの記録です。どの項目が含まれるかは、メールを送っていた企業や自治体が、アララメッセージに何を登録していたかで変わります。メールアドレスだけを登録していた組織もあれば、氏名や住所まで登録していた組織もある、ということです。

第２報は、アララのサービスではクレジットカード番号は一切保有していないと明記しています。

共用環境の件の更新と原因

第1報で「メールアドレス約301万件」と知らせた共用環境の件について、第２報は、その後の調査で次の情報が外部に持ち出されていたことが分かったとしています。関係する契約企業は61社ですが、件数も含めて精査中です。

• メールアドレス 3,386,187件（重複を除いた件数）
• 契約企業（5社）が登録した、氏名、会社名等を含む顧客データ 最大411,827件

発生の経緯は、第三者が2026年10月27日から28日にかけて、その環境の管理画面に不正にログインし、データの出力機能などを悪用してデータを持ち出した、というものです。アララは28日16時31分にその環境を緊急停止しています。管理画面とは、メールの送り先の登録や配信の設定をするための、契約企業の担当者向けの操作画面のことです。

原因について、第1報は「Webサーバーの脆弱性を第三者に悪用されたもの」としていました。第２報は、調査の結果、その脆弱性に加えて「システム環境における問題」も本事象の発生に関係していたことが分かったとしています。システム環境の問題が具体的に何を指すのかは、第２報には書かれていません。

記録される情報と今回の影響（別表２）

第２報の別表２は、本サービスに記録される情報の種類ごとに、区分（1）と区分（2）でどう影響したかを示しています。

情報の種類	内容	（1）本サービス経由	（2）既報の環境
会員情報（アドレス帳）	メールアドレスと、契約企業が登録した氏名・性別・生年月日・電話番号・会員番号・住所等（項目は契約企業により異なる）	約97台	5社
サービス利用のための認証情報	契約企業がAPI接続等に使う認証情報（APIキー等）	利用停止中	該当なし
契約企業の担当者の情報	管理画面を使う担当者の氏名・メールアドレス等	確認中	確認中

APIキーとは、契約企業のシステムがアララメッセージに自動でつながってメールを送るときに使う、合い言葉のような文字列のことです。区分（1）では「利用停止中」とされています。また、契約企業の担当者の氏名やメールアドレスなどについては、2026年11月4日時点で確認中です。企業や自治体の担当者として管理画面を使っていた人は、この点の続報も見ておく必要があります。

[email protected] から届いた不審メール

第２報の5では、アララメッセージの一部の環境が第三者に不正に使われ、2026年10月28日から30日にかけて、クレジットカード会社を装った不審なメールが送信されたと説明しています。アララは10月28日に不正利用を確認し、同日7時にその環境への外部からのアクセスを止めました。その後、別の環境でも同日8時47分頃から不正利用が続いていたことが10月30日に分かり、同日、その環境への通信を遮断しました。同日13時32分を最後に、新たな送信は確認されていません。

項目	第２報の記載
送信件数	最大約713万通（2つの環境の合計）
送信元メールアドレス	[email protected]
件名	「利用内容確認のご依頼」「ご利用明細確認のご依頼」等
送信先	第三者が外部から持ち込んだメールアドレス
個人情報への影響	本件の不正送信自体に伴うメールアドレス以外の流出は確認されていない

ここで注意したいのは、送信先が「第三者が外部から持ち込んだメールアドレス」とされている点です。不審メールが届いたからといって、自分のアドレスがアララメッセージから持ち出されたとは限りません。反対に、不審メールが届いていなくても、持ち出しの対象に入っていないとは言えません。不審メールと持ち出しは、別の区分として扱われています。

送信元が本物のアララのドメインだったことも見落とせません。送信元のアドレスを見て判断する方法は、今回は通じなかったということです。件名がカード会社の利用確認を思わせるものだったため、カードを持っている人ほど開いてしまいやすい作りでした。偽のメールの見分け方は、フィッシング詐欺メールの見分け方｜5秒で振り分ける手順と開いた後の対処で、送信元に頼らずに本文とリンク先で振り分ける手順を説明しています。

サービスの停止と再開

第２報の6では、被害の拡大を防ぐため、アララメッセージ（メール配信サービス）を2026年10月31日から停止中としています（同日19時53分に停止完了）。その他のアララのサービスには影響がないとしています。

再開については、侵入経路の特定、認証情報の全面的な変更、システムの安全性の確認などを行ったうえで判断するとしており、時期は未定です。再開にあたっては、契約企業に管理画面のパスワードや認証情報（APIキー等）の再設定を頼む予定だとしています。

利用者の側では、メールマガジンや確認メール、ログインの確認のコードが届かないといった形で影響が出ます。影響の内容は組織ごとに案内が出ているので、使っているサービスの公式のお知らせで確かめてください。

公表した企業と自治体の一覧

アララメッセージへの不正アクセスに関わる件として、2026年11月4日時点で各組織の公式の発表を開いて確かめた範囲を一覧にします。件数と項目は、各組織の発表の表現のままです。アララの第２報の数字とは数え方が違うので、混ぜずに読んでください。この一覧は、アララメッセージを使っていたすべての組織を網羅したものではありません。

組織	対象のサービス	公表日	件数と項目（公式の表現）
株式会社ビックカメラ・株式会社コジマ・株式会社ソフマップ	メールマガジン	2026年11月2日	お客様のメールアドレス 等、グループ合計約1,490万件。外部に流出した可能性
株式会社TKC	TKCのシステムを利用する客へのメール配信	2026年11月2日（第2報）	TKCのシステムを利用する客のメールアドレス 最大223万812件が漏えい対象に含まれる
横浜市	横浜市電子申請・届出システム	2026年11月3日	利用者メールアドレス、利用者名など。漏えいの可能性。件数は確認中
大津市	大津市マイナンバーカード交付予約・管理システム	2026年11月3日	カードの受取を予約した市民のメールアドレス。漏えいした可能性。件数の記載なし
豊橋市	マイナンバーカード交付予約・管理システム	11月2日にTKCから連絡	マイナンバーカード受取予約の際に登録したメールアドレス。漏えいの恐れ。調査中
新潟市	新潟市オンライン申請システム（e-NIIGATA）	2026年11月3日	漏えいの可能性がある情報は調査中
姫路市	姫路市オンライン手続きポータルサイト	2026年11月2日	登録されたメールアドレス、氏名等。漏えいした可能性（クレジットカードの情報は含まない）
岡山県	医療安全情報等のお知らせ、岡山県感染症情報メールマガジン	2026年11月3日	メールアドレス 最大2,240件（県が登録・管理する件数）。流出したことが判明
沖縄県	離島とのつながり促進事業（島まーる）のメールマガジン	2026年10月29日	メールアドレス2,560件。漏洩した可能性
スズキ株式会社	スズキメディアサイト	2026年10月30日	メールアドレス 最大2,575件。流出した可能性
北陸電力株式会社	会員サービス「ほくリンク」	2026年11月2日	会員のメールアドレス約55万件が外部に流出したことが判明
小田急トラベル	小田急トラベル（小田急旅の予約サイト）の会員	2026年11月2日	メールアドレス 63,006件
神戸新聞	メールマガジン	2026年11月2日	メールマガジン受信者のメールアドレスのみ、約4万件が漏えいしたとの連絡
大阪ガス株式会社	おかずの定期便サービス「FitDish」	2026年11月2日	メールアドレス 34,489件が流出

一覧の中の自治体のうち、横浜市・大津市・豊橋市・新潟市・姫路市は、いずれもシステムを株式会社TKCに委託しており、TKCがメールの配信をアララに委託していた、と各自治体が公式の発表で説明しています。TKCは第2報で、アララの調査の結果、漏えい対象にTKCのシステムを利用する客のメールアドレスが最大223万812件含まれていることが分かったとしています。

組織の間で同じ人のアドレスが重なっている可能性もあるので、表の件数は合算しません。沖縄県とスズキの件は、別の記事で詳しく整理しています。

自分が対象かを確かめる方法

アララの第２報は、契約企業への連絡について「すべてのご契約企業に本件をご連絡いたします。各社の環境が対象となるかどうか、および流出した情報の内容は、個別にご連絡いたします」としています。つまり、アララから個人に直接連絡が来るのではなく、アララからまず契約企業に知らせ、契約企業がそれぞれの利用者に知らせる、という流れです。

そのため、自分が対象かを確かめるときは、次の順番で進めます。

1. 前の節の一覧など、アララメッセージに関わる件を公表した組織の中に、自分が会員登録やメールマガジンの登録、オンラインの手続きをしたことがある組織がないかを確かめる
2. その組織の公式サイトのお知らせを開き、対象の期間や対象のメールの件名などの条件を読む
3. 組織から登録のメールアドレスあてなどに個別の連絡が届いていないかを確かめる
4. 分からないことは、その組織の公式のお知らせに載っている問い合わせ窓口に聞く

アララのお問い合わせ先として第２報に載っている「サポート窓口 03-5414-3611」は、「ご契約企業の皆様」向けの窓口です。個人の利用者が自分の情報について聞く窓口としては案内されていません。個人の人は、メールを受け取っていた企業や自治体の窓口に問い合わせてください。

最終ユーザーへのお願い

アララの第２報の7（2）には、最終ユーザーへのお願いとして、二次被害を防ぐための注意が書かれています。そのまま引用します。

当社や本サービスのご契約企業をかたるメール、SMS、電話、郵便物等にご注意ください。心当たりのない連絡に記載された URL へのアクセス、ID・パスワードやクレジットカード情報等の入力、添付ファイルの開封は行わないようお願いいたします。 2026 年 10 月 28 日から 30 日にかけて、送信元「[email protected]」から５．（２）の件名のメールを受信された場合は、本文中の URL にはアクセスせず、メールを削除してください。万一、リンク先でクレジットカード情報等を入力された場合は、速やかにカード発行会社にご連絡ください。 なお、当社から、パスワードやクレジットカード情報等の入力をお願いするメールをお送りすることはありません。 出典: アララ株式会社「当社が提供する「アララメッセ－ジ」への不正アクセスによる情報流出およびサービス停止について（第２報）」

注意の対象が、メールだけでなく、SMS、電話、郵便物にまで広げられている点に目を向けてください。区分（1）では、契約企業によっては氏名、電話番号、住所なども持ち出されています。メールアドレスだけなら偽のメールで済みますが、電話番号や住所が加わると、電話や郵便を使ったなりすましも考えられるからです。

アララは、パスワードやクレジットカード情報の入力を頼むメールは送らないとしています。お詫びや返金を名目にカード番号の入力を求める連絡にも応じないでください。

もし不審メールを開いて入力してしまったら

[email protected] からのメールなど、不審なメールのリンク先で何かを入力してしまった場合は、入力した情報ごとに、すぐ手を打ちます。

• クレジットカードの情報を入力した場合は、アララの第２報が書いているとおり、速やかにカード発行会社に連絡する。カードの裏面の電話番号にかける
• パスワードを入力した場合は、そのサービスのパスワードをすぐ変え、同じパスワードを使っているほかのサービスも変える
• 確認のコード（SMSなどで届く数字）を入力した場合は、そのサービスにログインして、ログインの履歴や登録情報が書き換えられていないかを確かめる
• 住所や電話番号を入力した場合は、その情報を使った次の連絡が来ることを前提に、知らない番号からの電話や郵便に気をつける

入力した項目ごとの具体的な手順は、フィッシング詐欺で入力してしまったら｜カード番号・パスワード・住所ごとにすぐすること 2026で、カード番号・パスワード・住所の順に整理しています。

メールアドレスが漏れたかもしれないときに見直すこと

今回の件で持ち出されたのは、多くの人にとってメールアドレスが中心です。第２報には、利用者のパスワードが持ち出されたという記載はありません。メールアドレスが漏れたこと自体で、すぐにアカウントが乗っ取られるわけではありません。それでも、メールアドレスが知られると、次のようなことが起きやすくなります。

• 偽のメールが増える。登録していた店や自治体の名前を使った、本物らしいメールが届く
• ほかのサービスで漏れたパスワードと組み合わせて、ログインを試される
• 氏名や電話番号も含まれていた場合は、名前入りのメールやSMS、電話が来る

まず見直したいのは、パスワードの使い回しです。同じメールアドレスと同じパスワードで複数のサービスに登録していると、どこか1つで漏れたパスワードが、ほかのサービスでも試されます。お金を扱うサービス（ネットバンキング、カード会社、通販、決済）から順に、別々のパスワードに変え、二段階認証を設定しておくと安心です。変更の順番は、パスワードが漏洩したらどうなる｜変更の順番と使い回しの見直し方 2026で整理しています。

自分のメールアドレスが過去の漏えいに含まれていないかを調べる方法の1つとして、海外のサービス「Have I Been Pwned」があります。使い方と注意点は、Have I Been Pwnedの使い方｜メールアドレスとパスワードの漏洩を確認する方法と、大手クラウドの過去の漏洩で説明しています。ただし、今回のアララの件が登録されているかどうかは分からないので、結果に出ないことを理由に安心しないでください。

契約企業の側が確かめること

アララメッセージを使ってメールを送っていた企業や団体の担当者は、利用者とは違う立場で確かめることがあります。第２報に書かれている範囲で整理します。

• アララから届く個別の連絡で、自社の環境が対象かどうかと、流出した情報の内容を確かめる
• 自社がアララメッセージに登録していた項目（メールアドレスだけか、氏名や電話番号、住所なども登録していたか）を確かめる。持ち出された情報の範囲は、ここで決まる
• 管理画面を使っていた担当者の氏名・メールアドレス等の扱いが確認中とされているので、担当者あての不審なメールにも気をつける
• 再開のときに、管理画面のパスワードや認証情報（APIキー等）の再設定を求められる予定なので、自社のシステムのどこでAPIキーを使っているかを整理しておく
• サービスの停止中は、確認メールやログインのコードのメールが届かないことを利用者に案内する

アララの「サポート窓口 03-5414-3611」は、こうした契約企業向けの窓口です。

公的機関への報告

第２報の8には、公的機関などへの報告の状況が書かれています。

報告先	第２報の記載
個人情報保護委員会	2026年10月29日に速報を提出。今回判明した事項を11月2日に報告予定
警察	10月29日通報済み
一般財団法人日本情報経済社会推進協会（JIPDEC）	10月29日速報済み、11月2日に中間報予定

第２報の9では、外部の専門機関と連携して、侵入の経路・開始時期と影響範囲の調査を進めるとともに、認証情報の全面的な変更、システムの再構築、監視体制の強化などの再発防止策に取り組むとしています。件数などの精査の結果は、第３報で知らせるとしています。2026年11月4日に確かめた時点で、第３報はまだ出ていません。

在宅で仕事をする人が気をつけたいこと

在宅で業務委託の仕事を受けている人の中には、取引先のメールマガジンの配信や、会員へのお知らせの送信を任されている人がいます。そのとき、取引先が契約したメール配信サービスの管理画面に、自分のアカウントでログインして作業することがあります。今回の共用環境の件では、管理画面への不正ログインとデータの出力機能の悪用で、データが持ち出されています。

個人情報保護委員会の漏えい等の対応とお役立ち資料のページでは、民間の事業者が委員会への報告を求められる場合の1つとして、不正の目的をもって行われたおそれがある行為による個人データの漏えい等（又はそのおそれ）を挙げています。その主体には従業者だけでなく第三者も含まれるとされています。また、本人の数が1,000人を超える漏えい等（又はそのおそれ）も報告の対象です。同じページでは、委託先の事例や「委託先管理に関する着眼点」も紹介されています。

メール配信の作業を任されている人が、ふだんから気をつけたいのは次の点です。

• 管理画面のアカウントは、取引先ごとに別のパスワードにし、使える場合は二段階認証を設定する
• 配信リストを自分のパソコンに書き出して保存したままにしない。作業が終わったら、取引先の決まりに従って削除する
• 管理画面に覚えのないログインの記録や、身に覚えのない配信の予約があったら、すぐ取引先に知らせる
• 配信サービスの運営会社から重要なお知らせが出ていないかを、取引先と一緒に確かめる

どこまでが自分の責任になるかは、契約の内容や事情で変わるので、ここでは断定できません。ただ、気づいた時点ですぐ取引先に伝えることが、取引先が必要な手続きを早く進めるうえで欠かせない点は変わりません。

フリーランス・在宅ワークの仲介を2004年から続けてきた運営者として見てきた限りでは、長く取引が続く人ほど、納品物の質だけでなく、預かった情報の扱い方で信頼を得ています。作業が終わったら書き出した配信リストを削除したことを一言添える、といった地味な手順が、そのまま次の依頼につながっていきます。中間の手数料が乗らない直接の取引では、こうした信頼の積み重ねが、手取りの厚さにもそのまま返ってきます。

セキュリティの知識を仕事に生かす

今回の件は、1つのメール配信サービスへの不正アクセスが、企業と自治体の数多くのサービスに広がった例です。自社が使っている外部のサービスを把握し、どこに何の情報を預けているかを整理する作業は、多くの会社で後回しになりがちな分野です。中小企業がどこから手をつけるとよいかは、中小企業のサイバーセキュリティ対策2026｜IT導入補助金で防御力を強化する方法で全体像をつかめます。

在宅で受けられるセキュリティ関連の仕事の種類と探し方は、@SOHOのAI・マーケティング・セキュリティのお仕事で紹介しています。まずは自分が扱うアカウントと配信リストの管理を整え、事案の発表を正確に読む習慣をつけるところから始められます。

アララの件は、2026年11月4日時点で、件数の精査と侵入の経路・開始時期の調査が続いている段階で、精査の結果は第３報で知らされる予定です。企業や自治体からメールを受け取っていた人は、アララや契約企業を名乗るメール・SMS・電話・郵便物のURLを開かず、ID・パスワードやクレジットカード情報を入力しないこと、[email protected] から届いたメールは削除すること、パスワードの使い回しを見直すことを先に済ませ、続報はアララと、メールを受け取っていた組織の公式のお知らせで確かめてください。

よくある質問

Q. アララの情報漏洩では、何件の情報が持ち出されたのですか？

アララの2026年11月2日の第２報では、本サービスを経由した不正アクセスで持ち出されたメールアドレスは、現時点の調査で約77百万件（精査中）とされています。これはメールアドレスの件数で、最終ユーザーの数ではありません。このほか、既報の共用環境でメールアドレス3,386,187件と、5社が登録した顧客データ最大411,827件が持ち出されたとしています。区分の間で重複の可能性があるため、件数は合算されていません。

Q. 自分の情報が含まれているかどうかは、アララに問い合わせればよいですか？

アララの第２報に載っている「サポート窓口 03-5414-3611」は、契約企業向けの窓口です。アララは、各社の環境が対象かどうかと流出した情報の内容を、契約企業に個別に連絡するとしています。個人の利用者は、メールを受け取っていた企業や自治体の公式のお知らせと、その組織の問い合わせ窓口で確かめてください。

Q. [email protected] から届いたメールはどうすればよいですか？

アララは、2026年10月28日から30日にかけて送信元「[email protected]」から「利用内容確認のご依頼」「ご利用明細確認のご依頼」等の件名のメールを受け取った場合は、本文中のURLにアクセスせず、削除するよう呼びかけています。万一リンク先でクレジットカード情報等を入力した場合は、速やかにカード発行会社に連絡してください。

Q. アララメッセージはいつ再開しますか？

アララは2026年10月31日に本サービスの提供をすべて停止し、2026年11月4日時点で再開の時期は未定です。侵入経路の特定、認証情報の全面的な変更、システムの安全性の確認などを行ったうえで判断するとしています。停止中は、アララメッセージを使っていた企業や自治体のメールが届かないことがあるので、各組織の案内を確かめてください。