アララ301万件流出｜メール配信委託先の危険とサービス停止対策

社長、顧客へのお知らせメールが突然送れなくなったら、どうしますか。メール配信サービスを外部企業へ委託している場合、自社のシステムに問題がなくても、委託先のサイバー事故によって顧客情報の流出や業務停止が起きる可能性があります。

2026年10月、アララ株式会社が運営するメール配信サービス「アララ メッセージ」で不正アクセスが確認され、利用企業が保有するメールアドレス約301万件が外部へ持ち出されました。アララは対象システムをネットワークから切り離し、サービスの一部を停止しています。

この記事では、アララの公式発表で確認できる事実を整理したうえで、委託先に預けた顧客情報の管理、メール配信停止時の対応、経営者が今すぐ確認したい実務を解説します。

1．アララで何が起きたのか

アララ株式会社は2026年10月28日、メール配信サービス「アララ メッセージ」の一部システムで第三者による不正アクセスを確認したと発表しました。被害の拡大を防ぐため、対象サーバーをネットワークから切り離し、一部環境のサービスを停止しています。

同日付の追加案内では、エンドユーザーリストに登録されたメールアドレス約301万件の流出を確認したと公表しました。翌29日の発表では、利用企業が保有するメールアドレスが外部へ持ち出されたことや、Webサーバーの脆弱性が悪用されたことが説明されています。

公式発表は、アララの2026年10月29日付のお知らせで確認できます。

2．約301万件の流出対象と注意点

アララの発表によると、外部へ持ち出されたことが確認されたのは、対象環境を利用する企業が保有するメールアドレス約301万件です。10月28日の案内では、メールアドレス以外の情報の流出は確認されていないと説明されています。

ただし、「メールアドレス以外の流出が確認されていない」という発表は、今後の調査で新たな事実が判明する可能性まで否定するものではありません。最新の発表を継続して確認する必要があります。

3．原因はWebサーバーの脆弱性悪用

アララは10月29日の公式発表で、一部環境におけるWebサーバーの脆弱性を第三者に悪用されたと説明しています。対象サーバーはネットワークから切り離され、外部の専門機関と連携した調査や再点検を進めるとしています。

一方、今回の発表だけでは、悪用された脆弱性の具体的な識別番号、攻撃手法の詳細、侵入開始時刻などは確認できません。特定のソフトウェア製品や設定ミスが原因だったと推測で書くことは避ける必要があります。

中小企業が学べるのは、外部サービスを選ぶ際に、脆弱性への対応体制、更新管理、事故発生時の連絡手順などを確認する重要性です。

4．メール配信サービス停止の影響

今回の事故では、情報流出に加えてメール配信サービスの一部停止も発生しました。アララは10月28日の案内で、対象環境の再開時期を未定としています。

メール配信が停止すると、販促メールだけでなく、予約期限、手続き案内、会員向けのお知らせなど、業務上必要な連絡に影響する場合があります。

実際に川口市は、施設予約システムの一部通知メールを停止したと公表しました。抽選結果や予約確定期限などの通知が対象となる一方、予約の申込みや確認は継続でき、停止した通知内容はマイページで確認できると案内しています。

参考：川口市｜施設予約システムの一部メール配信停止について

5．利用企業によって影響が異なる理由

同じメール配信サービスを利用していても、すべての企業が同じ被害を受けるとは限りません。利用するサーバー環境やサービス機能によって、情報流出の対象や業務停止の範囲が異なる場合があります。

例えば、スーパーのベルクは2026年10月29日、自社が利用するメール配信環境は不正アクセスを受けた環境と異なり、顧客情報の漏えいはないと確認した旨を公表しました。

一方、メールアドレスの流出が確認されていない企業でも、メール配信の停止によって顧客への通知ができなくなる場合があります。

参考：ベルク｜メール配信サービスにおける不正アクセスについて

つまり、「情報が漏れたか」と「業務が止まったか」は別々に確認する必要があります。

6．委託先管理で確認したい契約と運用

メール配信サービスを利用する企業は、顧客のメールアドレスを外部サービスへ預けている場合があります。委託先が管理する情報の範囲、保管場所、アクセス権限、事故時の報告体制を把握しておくことが重要です。

個人情報保護法では、個人データの取扱いを委託する場合、委託元に必要かつ適切な委託先の監督が求められます。具体的な対応は、委託する業務や情報の内容に応じて判断します。

契約・運用で確認したい事項

• 委託先へ預けている個人データの種類と件数
• 利用しているシステムやサービスの範囲
• 再委託の有無と管理体制
• 不正アクセス発生時の報告期限と連絡窓口
• サービス停止時の対応とデータの取扱い
• 契約終了時のデータ削除・返却手順

委託契約を締結するだけでなく、必要に応じて取扱状況を把握し、契約内容と実際の運用が一致しているか確認することが重要です。

公式資料：個人情報保護委員会｜個人情報保護法ガイドライン（通則編）

7．自社が対象か確認する手順

外部サービスで不正アクセスが公表された場合、まず自社がそのサービスを利用しているかを確認します。利用している場合でも、すぐに情報流出の対象だと決めつけず、委託先の公式案内と個別連絡を確認しましょう。

実務での確認順序

1. 対象サービスを利用しているか確認する
2. 委託先からの公式通知を確認する
3. 自社の利用環境が対象に含まれるか問い合わせる
4. 預けている情報の種類と件数を整理する
5. メール配信など停止している機能を確認する
6. 顧客対応と法令上の報告・通知の必要性を検討する

委託先から回答が得られていない段階では、「漏えいした」「漏えいしていない」のどちらも断定しないことが大切です。確認済みの事実と調査中の事項を分けて記録しましょう。

8．メールが送れない場合の代替連絡

メール配信が停止した場合、顧客への連絡をすべて止めてしまうと、予約、支払期限、重要なお知らせなどに影響する可能性があります。まず、停止した通知の種類と業務への影響を洗い出しましょう。

代替手段としては、自社公式サイトでの案内、顧客用マイページ、電話、郵送などが考えられます。ただし、代替手段を使う際も、個人情報の適切な取扱いと本人確認が必要です。

なお、別のメール配信サービスへ急いで顧客データを移す場合も、委託先の安全管理や契約条件を確認せずに移行することは避けましょう。

9．流出したメールアドレスの悪用リスク

メールアドレスが流出すると、不審なメールや偽サイトへの誘導に利用される可能性があります。ただし、今回流出したメールアドレスが実際に悪用されたかどうかは、確認された事実と分けて扱う必要があります。

アララも公式発表で、心当たりのないメールのURLを開かないこと、返信や添付ファイルの開封を避けること、ID・パスワードや個人情報を入力しないことを呼びかけています。

10．個人情報保護法上の対応を確認する

委託先で個人データの漏えいが発生した場合、委託元企業にも事実確認や顧客対応が必要になることがあります。ただし、すべての漏えいで行政への報告義務が発生するわけではありません。

個人情報保護法では、要配慮個人情報を含む漏えい、財産的被害が生じるおそれがある漏えい、不正の目的による漏えい、1,000人を超える漏えいなど、一定の要件に該当する場合に報告と本人通知が求められます。

委託先と委託元のどちらが報告を行うかについても、法令上の取扱いがあります。事故が発生した場合は、個人情報保護委員会の公式資料を確認し、必要に応じて専門家や関係機関へ相談しましょう。

公式資料：個人情報保護委員会｜漏えい等の対応とお役立ち資料

11．建設業でも起こり得る業務停止

今回の事故はメール配信サービスの事例ですが、建設業にも共通する課題があります。例えば、協力会社への一斉連絡、現場の安全情報、工事日程の変更通知、顧客への定期案内などを外部サービスに依存している場合です。

外部サービスが停止すると、情報漏えいがなくても、連絡の遅延や確認作業の増加につながる可能性があります。特に、急ぎの安全連絡を特定のシステムだけに頼っている場合は、代替連絡手段を準備しておくことが重要です。

これは今回のアララの事故によって建設現場で被害が発生したという意味ではありません。外部サービスの停止を、自社の業務継続に置き換えて考えるための実務上の例です。

12．社長向け7項目チェックリスト

アララの事例を踏まえ、外部メール配信サービスを利用する中小企業が確認したい事項を整理しました。

すべてを一度に見直す必要はありません。まずは利用しているメール配信サービスの名称、預けている情報、緊急連絡先を確認しましょう。

13．まとめ｜今日できる一つの行動

アララのメール配信サービスでは、Webサーバーの脆弱性を悪用した不正アクセスにより、利用企業が保有するメールアドレス約301万件が外部へ持ち出されました。対象サービスの一部停止も発生しており、外部委託先の事故が顧客情報と業務継続の両方に影響し得ることを示しています。

中小企業が確認したいのは、委託先に預けている情報、自社への影響、サービス停止時の代替連絡手段です。さらに、事故発生時の報告体制や顧客への説明手順も整理しておきましょう。

公式一次情報

• アララ｜不正アクセスによる情報流出およびサービス停止について（2026年10月29日）
• アララ｜サービス停止および個人情報流出に関するお詫びとご報告（2026年10月28日）
• アララ｜不正アクセスに伴うサービス停止のお知らせ（2026年10月28日）
• 川口市｜施設予約システムの一部メール配信停止について
• ベルク｜メール配信サービスにおける不正アクセスについて
• 個人情報保護委員会｜個人情報保護法ガイドライン（通則編）
• 個人情報保護委員会｜漏えい等の対応とお役立ち資料

※本記事は2026年10月30日時点で確認できる公式発表を基に作成しています。流出対象の利用企業ごとの詳細やサービス再開状況は、今後更新される可能性があります。個別の企業について、情報流出の有無を推測で断定するものではありません。