ペイクラウドHD、「アララ メッセージ」への不正アクセスで約7700万件のメールアドレスが流出

　ペイクラウドホールディングス株式会社は11月2日、子会社のアララ株式会社が運営するメール配信サービス「アララ メッセージ」において発生した不正アクセスについて、第2報を発表した。

　同社は10月29日、一部のサーバーシステムへの不正アクセスが10月28日に確認され、メールアドレス約301万件が外部に持ち出されたと公表していた。その後の調査で、流出した情報や被害の範囲が拡大していたことが判明し、第2報を発表した。

　アララは被害の拡大を防止するため、10月31日に同サービスの提供を全て停止した。再開の時期は未定で、侵入経路の特定、認証情報の全面的な変更、システムの安全性の確認などを行った上で判断するとしている。

新たにサーバー97台からメールアドレスと会員情報が流出

　発表によると、第三者が同サービスのサーバーに不正にアクセスし、10月28日～31日にかけて、当該サーバーを経由して多数のサーバーに侵入し、データベースの内容を外部に持ち出した。アララは10月31日に一連の不正アクセスの原因を調査する過程で把握し、不正に使用された認証情報の無効化や、各サーバーの通信の遮断などの措置を講じた。

　契約企業の環境のうちサーバー97台について、メールアドレスと会員情報の外部への持ち出しが確認された。対象となる契約企業は現時点の推計で最大約380社。持ち出された恐れのあるものを含むメールアドレスは約7700万件で、件数は精査中のため変わる可能性があるとしている。

　流出した情報は、メールアドレスのほか、契約企業が登録した氏名、性別、生年月日、電話番号、会員番号、住所などと、配信の宛先などの記録。登録項目は契約企業によって異なる。なお、同サービスではクレジットカード番号は一切保有していないという。

既報の共用環境でも流出件数を更新

　10月29日の初報でメールアドレス約301万件の流出を公表していた共用環境についても、その後の調査で、重複を除く338万6187件のメールアドレスが持ち出されていたことが判明した。関係する契約企業は61社で、このうち5社が登録した氏名、会社名などを含む顧客データ最大41万1827件が持ち出されていた。

　また、不正アクセスの原因については、既報において原因とされていたウェブサーバーの脆弱性に加え、システム環境における問題も関係していたことが判明したとしている。

クレジットカード会社を装う不審メールを最大約713万通送信

　10月28日～30日にかけて、同サービスの2つの環境が第三者に不正利用され、クレジットカード会社を装った不審メールが最大約713万通送信された。送信元メールアドレスは「news@arara.com」、件名は「利用内容確認のご依頼」「ご利用明細確認のご依頼」などで、送信先は第三者が外部から持ち込んだメールアドレスだという。

　同社は、該当するメールを受信した場合は本文中のURLへアクセスせず、メールを削除するよう呼びかけている。また、リンク先でクレジットカード情報などを入力した場合は、速やかにカード発行会社へ連絡するよう案内している。

法人向けメール配信サービスでの不正アクセス、漏えい事例相次ぐ

　このほかにも、法人向けメール配信サービスでの不正アクセス事案が相次いでおり、配信を委託していた企業・組織からの発表が多数行われている。株式会社ラクスライトクラウドのメール配信サービス「ブラストメール」では全ての契約者（345件）の個人情報が漏えいしたと発表されている（メールアドレス数は明らかにされていない）。

　また、ユミルリンク株式会社のメール配信サービス「Cuenote FC」ではそれ以外のシステムを含む50システムが不正アクセスを受け、のべ最大5162万8280件のメールアドレスを含む流出が確認されたと発表されている（契約法人数は明らかにされていない）。