ペイクラウドホールディングスは11月2日、グループ会社のアララ株式会社が運営するメール配信サービス「アララ メッセージ」で発生した不正アクセスについて、

追加の調査結果を公表した。

今回の不正アクセスにより、メールアドレス約7700万件が外部に持ち出された、または持ち出された可能性があることが判明。契約企業によって異なるものの、氏名、電話番号、住所、生年月日、会員番号などの個人情報も影響を受けた。

対象となる契約企業は最大約380社と推計されている。

なお クレジットカード番号は漏えい対象に含まれていないという。

今回の問題は、メールアドレスの流出にとどまらず、企業が月額利用料などを支払って利用するメール配信基盤そのものが不正アクセスを受け、サービスの全面停止に至った点でも影響が大きい。

▪️メールアドレス約7700万件 最大380社の登録情報が対象に

アララが運営する「アララ メッセージ」は、企業や団体が顧客や会員に向けてメールを配信するサービスだ。

今回、第三者による不正アクセスを受けたのは、同サービスのサーバーシステム。調査の結果、契約企業向けの環境に設置されたサーバー97台への不正アクセスが確認された。

対象となる契約企業は最大約380社と推計されている。

メールアドレスは約7700万件に上り、契約企業が登録していた顧客情報についても、氏名、性別、生年月日、電話番号、会員番号、住所などが含まれていた可能性がある。

ただし、登録情報は契約企業ごとに異なるため、すべての対象者について同じ種類の情報が漏えいしたわけではない。また、約7700万件はメールアドレスの件数であり、個人の人数を示す数字ではない。

▪️当初の発表から被害範囲が拡大

アララは10月29日、最初の不正アクセスについて公表した。当初は共用環境における情報流出として、メールアドレス約301万件が外部に持ち出されたと説明していた。

しかし、その後の調査で、別の契約企業向け環境にも不正アクセスが及んでいたことが判明した。

11月2日の追加発表では、共用環境の被害についてもメールアドレス338万6187件、契約企業5社の顧客データ最大41万1827件という数字が示された。

さらに、契約企業向け環境のサーバー97台に被害が拡大していたことが明らかになり、メールアドレス約7700万件という規模が公表された。

それぞれの環境で同じメールアドレスが重複している可能性があるため、各数字を単純に足し合わせて被害総数とすることはできない。

▪️最大約713万通の不審メールも送信

今回の問題では、情報流出に加えて、アララのメール配信サービスが第三者に不正利用されていたことも確認された。

クレジットカード会社を装った不審メールが送信され、「利用内容確認のご依頼」などの件名が使われていた。送信されたメールは最大約713万通に上る。

送信元には「 news@arara.com」が使用されていたという。

この713万通は不審メールの送信通数であり、個人情報の漏えい件数とは別の数字だ。

同社は、アララや顧客企業を装ったメールや電話などに注意するよう呼び掛けている。

▪️10月31日にサービス全面停止 11月2日に追加発表

今回の経緯を時系列で見ると、10月28日に不正利用や情報持ち出しが確認され、翌29日に最初の公表が行われた。

その後、10月31日に契約企業向け環境への不正アクセスとデータ持ち出しが新たに判明。同社は不正に使用されたアカウントや認証情報の無効化、各サーバーの通信遮断などを進め、同日午後7時53分にサービス提供を全面停止した。

追加の調査結果が公表されたのは11月2日だった。

最初の発表から追加発表までには月末を挟んでいるが、月末を越えて公表した理由について、会社側が月末の業務日程や経営判断を理由として説明した事実は確認できない。

公表資料から確認できるのは、10月31日に新たな被害が判明し、サービス停止などの対応を進めた後、11月2日に被害状況を追加公表したという経緯だ。

▪️月額利用料を負担する契約企業への影響

今回のサービス停止は、アララと契約する企業にも直接的な影響を及ぼす。

「アララ メッセージ」は、企業が顧客や会員に向けて情報を届けるための業務システムであり、利用企業は契約に基づいて月額利用料などを負担している。

そのため、サービスの全面停止によって、契約企業は通常のメール配信業務を継続できない状況となった。

利用企業にとっては、顧客情報の安全性だけでなく、サービスを利用できない期間の契約料金をどう取り扱うのかも重要な問題となる。

ただし、11月2日時点で、利用料金の返金、減額、補償、契約期間の延長などについて、具体的な対応方針が公表されたことは確認できない。

今後、アララが契約企業に対して、利用停止期間の料金をどのように扱うのか、また個別の被害に対してどのような対応を行うのかが注目される。

▪️再発防止とサービス再開に向けた対応が焦点

アララは外部の専門機関と連携し、

不正アクセスの侵入経路や情報流出の範囲について調査を進めている。

サービス再開については、安全性の確認や必要なセキュリティー対策を実施したうえで判断する方針で、11月2日時点では具体的な再開時期は示されていない。

ペイクラウドホールディングスとアララに求められるのは、最終的な被害規模の確定だけではない。情報が流出した可能性のある利用者への説明、契約企業への対応、サービス停止期間中の料金の取り扱い、そして再発防止策についても、具体的な説明が必要になる。