アララ流出、約7,700万件に拡大…最大380社に影響、カード会社装う不審メール713万通

　アララは11月2日、メール配信サービス「アララメッセージ」への不正アクセスについて、第2報を発表した。10月29日の既報で公表した約301万件から、被害の範囲が大きく広がったことが分かった。

　新たに判明したのは、サービス本体を経由した不正アクセスだ。第三者が10月28日から31日にかけて、契約企業の環境にあるサーバー97台に侵入し、メールアドレスと会員情報を外部に持ち出したという。持ち出されたメールアドレスは約7,700万件、対象の契約企業は最大約380社と推計している。ただし精査中で、区分間の重複や、1人が複数のアドレスを持つ場合もあるため、個人の数を示すものではないとしている。

　既報の共用環境でも、影響が見直された。10月27日から28日に不正に操作された環境では、契約企業61社のメールアドレス338万6187件（重複除く）が持ち出され、このうち5社が登録した氏名や会社名などの顧客データが最大41万1827件含まれていた。

　持ち出された情報は、メールアドレスのほか、氏名、性別、生年月日、電話番号、会員番号、住所などで、項目は契約企業によって異なる。クレジットカード番号は保有していないという。

　原因については、既報の「Webサーバーの脆弱性」に加えて、システム環境の問題も関係していたと改めた。一連の不正アクセスは、攻撃元の共通性などから、既報と同じ第三者によるものとみている。

　不審メールも確認された。10月28日から30日にかけて、サービスの2つの環境が不正に利用され、クレジットカード会社を装うメールが最大約713万通送信された。送信元は「news@arara.com」で、件名は「利用内容確認のご依頼」「ご利用明細確認のご依頼」などだった。最後の送信は10月30日13時32分という。

　アララは10月31日にサービスの提供をすべて停止した。再開時期は未定で、業績への影響は第3報で公表する予定だ。警察には10月29日に通報している。同社や契約企業を装う心当たりのないメールについては、記載のURLにアクセスしたり、ID・パスワードやクレジットカード情報を入力したりせず、削除するよう呼びかけている。