アララメッセージ情報流出の対象企業一覧｜自分は該当？確認方法と対処法

この記事の3行まとめ（2026年11月2日現在）

約7700万件は「メールアドレスの件数」で、人数ではありません。対象企業は最大約380社の推計で、全社の名前は公表されていません。
自分が対象かは、登録している企業の公式発表で確認します。news@arara.comの不審メールは、URLを開かず削除してください。
カード番号やパスワードを入力してしまった場合は、すぐにカード会社へ連絡し、パスワードを変更しましょう。

2026年11月2日現在の情報です。新たな発表により内容が変更される場合があります。

アララメッセージの情報流出で、自分のメールアドレスが対象かどうかを知る「全体の確認窓口」は、2026年11月2日時点ではありません。確認の基本は、自分が会員登録しているサービスの公式発表を見ることです。アララ株式会社の第2報（2026年11月2日付）では、メールアドレス約7700万件が持ち出された、または持ち出されたおそれがあるとされました。ただしこれは「人数」ではなく「件数」です。

「アララって何？登録した覚えがない」という人も多いはずです。私も最初はそうでした。アララメッセージは、企業が会員へメルマガや通知を送るための裏方のサービスで、私たちが直接登録するものではありません。だからこそ、知らないうちに自分のアドレスが関係していることがあります。この記事では、公式発表だけをもとに、確認方法と、不審メールが届いたときの動き方を整理します。

アララメッセージの情報流出とは？11月2日の最新情報

アララメッセージの不正アクセスは、10月29日の初報から約4日で、被害の範囲が大きく広がりました。まず全体像をつかみましょう。

何が起きた？初報から第2報までの流れ

アララ株式会社は10月29日、共用環境のメールアドレス約301万件が持ち出されたと公表しました。その後の調査で、この件数は3,386,187件（重複を除いた数）に修正されています。

11月2日の第2報では、新たに「ご契約企業の環境」にあたるサーバー97台でも、メールアドレスと会員情報が持ち出されたことが分かりました。原因も、初報の「Webサーバーの脆弱性」に加えて、システム環境の問題も関係していたと説明されています。

約7700万件・最大380社・97台・713万通の意味

第2報に出てくる主な数字を、公式の表現どおりに整理します。

約7700万件：持ち出されたメールアドレスの件数（精査中）
最大約380社：対象となる契約企業の数の推計（精査中）
97台：不正アクセスで確認されたサーバーの数
最大約713万通：悪用されて送られた不審メールの数（2つの環境の合計）

なお「最大約380社」はあくまで推計で、全社の企業名は公表されていません。「持ち出されたおそれ」は、記録の読み取り量から判断したものとされています。

「7700万件」と「7700万人」は違う理由

公式発表には、この件数は「最終ユーザー数を示すものではありません」と書かれています。一人で複数のアドレスを持っている人がいるため、件数と人数は一致しないからです。

また、共用環境の3,386,187件と、追加で分かった約7700万件は、同じアドレスが重複している可能性があるため、公式でも合算されていません。ニュースの見出しだけを見て「日本中の7700万人が被害にあった」と受け取るのは正確ではありません。

初報と第2報の比較表

項目	初報（10月29日）	第2報（11月2日）
範囲	共用環境（1システム）	共用環境に加え、契約企業の環境（サーバー97台）
件数	メールアドレス約301万件（後に3,386,187件と修正）	追加で約7700万件（精査中）
流出した情報	メールアドレス	メールアドレスに加え、氏名など会員情報（企業により異なる）
原因	Webサーバーの脆弱性	Webサーバーの脆弱性とシステム環境の問題
不審メール	一般的な注意喚起	最大約713万通の送信を確認
サービス	該当サーバーを切り離し	10月31日にすべての提供を停止

公式の数字を並べて計算してみた

私は第2報のPDFを読みながら、公式の数字を自分で並べて計算してみました。あくまで公表値をもとにした編集部の目安で、被害の実態を示すものではありません。

約7700万件 ÷ 3,386,187件＝約22.7倍。追加で分かった件数は、初報で修正された件数の約22.7倍にあたります
共用環境の5社が登録した氏名・会社名などの顧客データは最大411,827件。アドレス3,386,187件に対して約12.2％にあたります
3,386,187件＋約7700万件を単純に足すと約8,038万件になります。ただし重複の可能性があり、公式は合算していないので、この数字を被害の総数として使うのは避けてください

計算してみて分かったのは、数字が大きいほど「自分が入っているか」が気になる一方、件数だけでは個人の状況は何も分からないということです。

自分は対象？情報流出を確認する3つの方法

「自分は対象か」の答えは、アララ側ではなく、自分が登録していた企業の側にあります。アララは、各社の環境が対象かどうかを契約企業に個別に連絡するとしており、一般の個人が直接照会できる窓口は用意されていません。確認の手順は次の3つです。

利用企業の公式発表を確認する
企業からの案内・通知を確認する
不審メールが届いた場合は、リンクを開かずに削除し、本文の指示に従わない

利用企業の公式発表を確認する

まず、メルマガや会員登録をしているサービスの公式サイトの「お知らせ」を見ます。アララメッセージを使っているかどうかは、サービス側が発表するまで外からは分かりません。

私なら、普段使っている会員サービスを5〜10個ほど書き出して、順番に「お知らせ」欄を開きます。急ぐのは、金融機関、映画館、ポイントなど、会員情報が多いサービスです。

同じように「自分は対象か」を確認する流れは、過去の流出事案でも共通しています。進め方の参考に、こちらも読んでみてね。

→ OZmall不正アクセスで44万人？自分が対象か確認する方法

企業からの案内・通知を確認する

企業からの個別の案内を待つ手もありますが、通知が届かない人もいると思います。理由のひとつは、企業が顧客へ連絡に使うメール配信の仕組みそのものが、今回止まっているからです。

登録アドレスの受信箱を、念のため迷惑メールフォルダも含めて見直してください。案内メールが来ても、本文のリンクは押さず、公式サイトを自分で開いて確認するのが安全です。

不審メールが届いた場合に行うこと

公式発表では、送信元「news@arara.com」から、10月28日〜30日に特定の件名のメールを受け取った場合は、本文のURLにアクセスせず、メールを削除するよう案内されています。

ここで注意したいのは、不審メールが届いたかどうかと、自分の情報が流出したかどうかは別の話だという点です。詳しくは後半で説明します。

現時点で確認できない情報

次の点は、11月2日時点で公式に示されていません。

最大約380社すべての企業名
個人が自分のアドレスを照会できる公式ページ
退会済みのアドレスやメルマガ停止済みのアドレスの扱い
各社ごとの正確な件数

分からないことは分からないと割り切って、公表された情報だけで動くのがいちばんです。

【随時更新】影響を公表した企業・サービス一覧

ここでは、アララメッセージの影響を自社で公表した企業・団体を整理します。各社の最終確認日はすべて2026年11月2日です。状況は次の4つに分けて、厳密に書き分けています。

流出確認：企業自身が、情報の流出を確認したと発表している
流出のおそれ：流出した可能性がある、と発表している
調査中：流出の有無を確認している途中
流出なしの発表：企業が「対象外」と発表している

企業・サービス	発表日	状況
Payどん（鹿児島銀行など4行庫）	10月28日付	流出のおそれ
土木学会	10月29日	調査中
島まーる（沖縄県の事業）	10月29日	流出のおそれ
ほいくis／ほいくisお仕事探し	10月29日、11月2日続報	調査中
しまたび	－	一次情報を確認できていない
SMT Members（映画館の会員）	11月2日	流出確認
unbanked（金メール）	10月30日、11月2日更新	流出なしの発表（10月30日時点）

Payどん（鹿児島銀行・南日本銀行・鹿児島相互信用金庫・鹿児島信用金庫）

流出のおそれ。委託先のアララに不正アクセスがあり、利用者と加盟店のメールアドレス、決済情報（日時、店舗名、支払金額）が漏えいした可能性があると発表されています。アララが10月28日17時23分にメール関連サービスを止めたため、アプリのメール通知機能と新規登録を停止しました。公式URLは鹿児島銀行のお知らせです。

土木学会

調査中。アララから連絡を受けたとして、学会のメールアドレスが含まれるかどうかを調べている段階だと発表しています。問い合わせフォームも設けられています。公式URLは土木学会事務局のお知らせです。

島まーる（沖縄県）

流出のおそれ。沖縄県は、メールマガジン会員のメールアドレス2,560件が漏えいした可能性があるとしています。名前など、ほかの情報の漏えいはないと発表されています。公式URLは沖縄県の発表ページです。

ほいくis・ほいくisお仕事探し

調査中。11月2日の続報では、自社のお客様の情報は、新たに分かった不正アクセスや不審メール送信の対象ではないとの報告を受けたとしています。一方で、情報流出の有無と件数は、アララが確認中と説明しています。公式URLはほいくisの続報です。

しまたび

私が調べた範囲では、しまたびの公式発表を確認できませんでした。そのため、流出の有無や状況についてはここに書きません。メルマガを受け取っている人は、サイト運営元の公式発表をご自身で確認してください。

SMT Members（松竹マルチプレックスシアターズ）

流出確認。10月29日と30日のお知らせでは「流出なし」と案内していましたが、11月2日に「利用していた環境も対象だった」との報告を受け、メールアドレスの流出が判明したと発表しました。メール配信は停止を続けていますが、チケット購入やポイントの利用は通常どおりです。クーポンは、メール配信の停止中もマイページに付与されています。公式URLはSMT Membersの告知です。

unbanked（金メール）

流出なしの発表。10月30日に、登録者のメールアドレスは流出の対象外だと発表しました。ただし11月2日9時30分の更新で、委託先が再度サービスを停止して調査を続けるため、予定していたメール配信の再開は見送られています。この更新には、第2報を受けた再確認の結果は書かれていません。SMT Membersのように、後から状況が変わった例もあるので、最新の発表を見直す価値があります。公式URLはunbankedのお知らせです。

news@arara.comからの不審メールは詐欺？特徴と見分け方

不審メールは、アララのシステムが悪用されて送られました。同じ件名や送信元が公式に示されているので、見分ける手がかりがあります。

公式発表に記載された送信元と件名

第2報によると、不審メールの内容は次のとおりです。

送信元：news@arara.com
件名：「利用内容確認のご依頼」「ご利用明細確認のご依頼」など
送信期間：10月28日〜30日（最後の送信は10月30日13時32分）
送信件数：最大約713万通（2つの環境の合計）

アララは、パスワードやクレジットカード情報の入力をお願いするメールを送ることはない、とも明言しています。

クレジットカード会社を装ったメール

公式発表では、クレジットカード会社を装った不審なメールが送信されたと説明されています。カードの利用確認や明細確認を理由に、本文のURLへ誘導する手口です。

この種の詐欺は、フィッシング対策協議会などの公式の案内でも、典型的な手口として注意が呼びかけられています。気になるときは、メールのURLではなく、カードの裏面やアプリに載っている正規の窓口から確認するのがいちばんです。

正規の配信システムが悪用された仕組み

通常、詐欺メールは「なりすまし」の送信元から届くため、迷惑メールのフィルターで弾かれることがあります。今回は、正規の配信サービスそのものが第三者に悪用されたため、送信元の表示が本物だった点がやっかいです。私は、送信元の名前だけで安心できなくなった点が、この事案のいちばんの怖さだと感じました。

ここは次の記事とも通じる話です。普段から使っているサービスを装った詐欺が、どう見分けにくいか、読んでみてね。

受信しただけでは情報流出の証拠にならない理由

公式発表では、不審メールの送信先は「第三者が外部から持ち込んだメールアドレス」とされています。つまり、持ち出された約7700万件のアドレスに一斉に送られたわけではありません。

したがって、次の2つは分けて考える必要があります。

不審メールが届いた：自分のアドレスが攻撃者の送信先リストに入っていた、というだけで、アララ経由で流出したとは限りません
不審メールが届いていない：自分の情報が流出していない、という証明にはなりません

不審メールのリンクを開いたら？状況別の対処法

どこまで進んだかで、取るべき行動は変わります。ここでは、公式発表と、警察庁・IPA・クレジットカード会社などの一般的な案内にそって、危険度の目安ごとに整理します。必要以上に怖がらなくても大丈夫です。

あわせて、情報流出のあとに何をすればいいかは、過去の事案を扱った次の記事も参考になります。

→ タイムズカー情報漏洩で何をすればいい？

メールを受信しただけ

危険度は低めです。公式発表でも、該当のメールはURLにアクセスせず削除するよう案内されています。受信しただけで、直ちに被害が出るわけではありません。

削除したら、同じ送信元のメールを迷惑メールとして報告しておくと安心です。

メールを開いた

本文を開いただけなら、その場で慌てる必要はありません。ただし、本文のURL、ボタン、添付ファイルには触らず、閉じて削除します。

メールソフトによっては、画像を自動で読み込む設定があります。読み込みで「このアドレスは使われている」と相手に伝わる場合があるため、自動読み込みをオフにしておくのがおすすめです。

リンクを押したが入力していない

URLを開いただけで、必ずウイルスに感染するわけではありません。ただし、偽サイトを開いたことには変わりないので、ブラウザのタブを閉じて、画面に出た警告やボタンには触れません。

そのうえで、使っている端末のセキュリティ対策ソフトでスキャンを実行します。ダウンロードやインストールを求められても、応じないでください。

ID・パスワードを入力した

危険度は高めです。入力したIDとパスワードを使っている全サービスで、パスワードを変更します。変更は、メールのリンクではなく、ブックマークや公式アプリから開いた正規のサイトで行ってください。

同じパスワードを複数のサービスで使い回している場合は、そのすべてを変える必要があります。可能なら二段階認証も設定しましょう。

クレジットカード番号を入力した

最優先で行動してください。アララの発表でも、カード情報を入力した場合は、速やかにカード発行会社へ連絡するよう案内されています。

カード裏面にある紛失・盗難の受付窓口に電話して、利用停止と再発行を依頼する
利用明細に、身に覚えのない請求がないか確認する
被害があれば警察に相談する。警察の相談専用電話「#9110」も使える
消費者トラブル全般は、消費者ホットライン「188」で相談できる

連絡が遅れると、補償の判断に影響する場合もあります。迷ったら、まずカード会社に電話をしてください。

アララメッセージのサービス停止はいつまで？

10月31日に全面停止、11月2日時点では再開未定

アララは10月31日19時53分に、アララメッセージのサービス提供の停止を完了しました。11月2日時点で、再開の時期は未定です。

再開は、侵入経路の特定、認証情報の全面変更、システムの安全性確認などを行ったうえで判断するとされています。アララのほかのサービスには影響がないと説明されています。

メルマガ、ポイント有効期限通知、クーポン配信への影響

契約企業の側では、メルマガの配信が止まっています。たとえばSMT Membersは、メール配信を止めたままですが、チケット購入やポイント利用は通常どおりとしています。unbankedは、金メールの配信再開を見送りました。

ポイントの有効期限の通知やクーポンの案内がメールで届かなくなる場合もあります。大事なものは、会員ページやアプリで自分から確認しておくと安心です。

第3報で注目する情報

アララは、件数の精査結果や業績への影響を、第3報で知らせるとしています。注目したいのは次の点です。

持ち出された件数の確定値と、重複を除いた状況
対象となる契約企業の数
侵入の経路と開始時期
サービス再開の時期

私は、企業名の追加公表が、いちばん自分に関係する情報になると思っています。

まとめ｜まず公式情報を確認し、不審メールに注意

今回の事案でいちばん大事なのは、慌てて全部のパスワードを変えることではなく、順番に落ち着いて動くことです。

7700万件は人数ではなく、メールアドレスの件数
最大約380社は推計で、全社の企業名は公表されていない
自分が対象かは、登録している企業の公式発表で確認する
news@arara.comの不審メールは、URLを開かず削除する
カード番号やパスワードを入力したら、すぐにカード会社へ連絡し、パスワードを変更する

これからも発表が増えるはずです。分かったことは、このページに追記していきます。

公式一次情報へのリンク

更新履歴

2026年11月2日：アララ株式会社の第2報（11月2日付）にもとづいて公開。企業一覧の最終確認日は2026年11月2日

よくある質問｜アララメッセージ情報流出の10の疑問

Q. 自分が対象かどうか確認できる？

アララに直接照会できる窓口はなく、登録している企業の公式発表で確認します。アララは、各社の環境が対象かどうかを契約企業へ個別に連絡するとしています。

Q. 7700万人が被害を受けた？

いいえ。約7700万件はメールアドレスの件数で、人数ではありません。一人で複数のアドレスを持つ場合があり、数字には重複の可能性もあります。

Q. 対象企業380社の全リストはある？

ありません。最大約380社は推計で、全社の名前は公表されていません。本記事の一覧は、自社で発表した企業だけを載せています。

Q. Gmail利用者も対象？

公表資料に、メールのドメインで除外するという説明はありません。GmailでもYahoo!メールでも、対象の環境に登録していれば含まれる可能性があります。

Q. 退会済みでも対象？

公式には明らかにされていません。退会後もデータが残っているかどうかは企業ごとに違うため、利用していた企業の発表を確認してください。

Q. クレジットカード番号も流出した？

アララは、同社のサービスではクレジットカード番号を一切保有していないと説明しています。ただし、偽サイトにカード番号を入力した場合は、別の問題としてすぐカード会社へ連絡してください。

Q. 不審メールを受信しただけなら？

URLにアクセスせず、メールを削除すれば大丈夫です。受信しただけで被害が出るわけではなく、流出の証拠でもありません。

Q. パスワード変更は必要？

アララが示した流出情報の中に、一般利用者のパスワードは含まれていません。そのため、原則として一斉変更は不要です。偽サイトにID・パスワードを入力した場合は、すぐに変更してください。

Q. 通知が来ない理由は？

企業が連絡に使う配信の仕組み自体が止まっているためです。登録しているサービスの公式サイトを、自分で見に行くのが確実です。

Q. サービスの再開はいつ？

2026年11月2日時点で未定です。安全性の確認などを行ったうえで、アララが判断するとしています。