メールアドレス最大7700万件流出｜営業メールが詐欺と疑われないために

2026年11月5日 07:58

メール配信サービス「アララメッセージ」への不正アクセスで、流出したメールアドレスは最大約7,700万件にのぼる可能性がある（アララ株式会社、2026年11月2日第2報）。10月29日の第1報では約301万件だったが、契約企業の環境（推計最大約380社）にまで被害が広がった。配信基盤から最大713万通の不審メールが送られていたことも報じられている。ワークマンやモスなど、利用企業による公表も続いている。

■ 何が起きたのか

原因はWebサーバーの脆弱性などを突かれたこととされ、データベース内の情報が持ち出された。
流出した可能性があるのはメールアドレスのほか、氏名・生年月日・電話番号・住所など。クレジットカード番号は対象外。
アララは同サービスの提供を全面停止し、受信者には「心当たりのないメールのURLを開かず、ID・パスワードを入力せず削除する」よう呼びかけている。

■ 営業にとっての本当の影響は「信頼の目減り」

詐欺メールが広く届くと、受け手は企業からのメール全体を疑うようになる。正規のメルマガやお礼メールも、開かれずに削除されやすくなる。
今回の不審メールは、企業が実際に使っていた配信の仕組みから送られたと報じられている。「知っている会社の名前」だけでは、本物の証明にならない。
新規開拓メールやセミナー案内など、メールで接点をつくる営業ほど影響を受ける。

■ 送り手としての「本物の証明」が遅れている

なりすましを防ぐ送信ドメイン認証「DMARC」を導入している日経225企業は92%。ただし、なりすましメールを実際に止める設定（拒否・隔離）まで進めているのは43%にとどまる（日本プルーフポイント調査、2026年7月）。
2025年12月時点の調査では、この割合は主要18カ国で最下位だった。
大企業でもこの状況だ。中小企業では、自社ドメインの認証設定を誰も把握していないことも珍しくない。

■ 中小企業が見直す3つのこと

配信サービスと顧客リストの棚卸し：どのサービスに、何件の、どんな項目を預けているかを書き出す。使っていない古いリストや不要な項目（生年月日など）は削除する。預ける量が少ないほど、万一のときの影響も小さい。
送信ドメイン認証の確認：自社ドメインでSPF・DKIM・DMARCが設定されているかを、制作会社や配信サービスに確認する。大手メールサービスは一斉送信する企業に認証を求めており、未設定だと迷惑メール扱いになりやすい。
「本物と分かる」書き方の型：本文でパスワードやカード情報の入力を求めない。URLは必要最小限にする。担当者名と前回のやり取りに触れ、「あなたに宛てた連絡」だと分かる文面にする。

■ AIの使いどころは「点検の下ごしらえ」

リストの棚卸し：配信サービスから出力した項目一覧をAIに読ませ、営業に使っていない項目や重複を洗い出させる。削除の判断は人が行う。
文面の点検：送る前のメールをAIに渡し、「詐欺メールと誤解されそうな表現」（急かす言い回し、不自然なリンク、入力を求める文言）を指摘させる。
問い合わせへの備え：「このメールは本物か」と聞かれたときの回答文や、自社の送信元アドレス一覧をAIで整え、サイトに掲載する。

設定の確認と最終判断は人が持ち、AIは点検の手間を減らす道具と考えるとよい。

■ 今日からできる小さな一歩

自社が使っているメール配信サービスの名前と、預けている顧客リストの件数を書き出す。
制作会社か配信サービスに「自社ドメインのDMARCは設定済みか」を1通メールで確認する。
次に送る営業メールを1通、AIで「詐欺っぽさ」の点検にかけてみる。

■ まとめ

メール配信サービスへの不正アクセスで、最大約7,700万件のメールアドレスが流出した可能性がある。営業への影響は、詐欺メールの広がりで正規のメールまで疑われる「信頼の目減り」だ。一方、なりすましを止める設定まで進んだ大企業は43%にとどまる。中小企業は、預けている顧客リストを減らし、送信ドメイン認証を確かめ、本物と分かる書き方を型にする。AIは点検の下ごしらえに使い、判断は人が持つ。まずは自社の配信サービスと預けているリストの件数を書き出すことから始めたい。※流出件数は2026年11月2日時点のアララ公表値で、今後変わる可能性がある。
▼ 営業のAI活用診断（無料・全21問／約3分）で、最初に変えるべき工程がわかる → https://media.fortis-japan.com/sales-ai-checklist/
営業AXメディアでAI活用・営業DXの実践知を発信中 → https://media.fortis-japan.com

出典・補足

アララ株式会社「当社が提供する『アララメッセージ』への不正アクセスによる情報流出およびサービス停止について」（第1報 2026年10月29日）：10月28日に不正アクセスを確認、流出確認約301万件、原因はWebサーバーの脆弱性の悪用、不審メールの扱いに関する受信者への注意喚起。URL: https://www.arara.com/news/info/20261029_arara
GATE02 サイバーセキュリティラボ「アララ株式会社が『アララメッセージ』に不正アクセス被害、最大約7,700万件のメールアドレスや会員情報が流出」（2026年11月2日、第2報の要約）：契約企業環境のサーバー97台・推計最大約380社へ拡大、最大約7,700万件、共用環境61社でメールアドレス3,386,187件、カード番号は対象外、サービス全面停止。URL: https://www.gate02.ne.jp/lab/incident-news/arara-20261102/
日経クロステック「アララの情報流出で約7700万件追加か、最大713万通の不審メール送信も判明」／日本経済新聞「詐欺メール713万通、アララ配信基盤『乗っ取る』」（2026年11月）。※本文は有料・取得不可のため見出しの範囲のみ使用。URL: https://xtech.nikkei.com/atcl/nxt/news/24/03452/
利用企業の公表報道：ワークマン最大約145万件（セキュリティ対策Lab 2026-11-04）、モスウェブ会員751万件（読売新聞 2026-11-04見出し）。
日本プルーフポイント「DMARC導入状況日本・米国業種別 2026」（2026年8月公開、2026年7月調査、日経225企業）：導入92%、Reject21%・Quarantine22%（計43%）、None48%、未導入8%。URL: https://www.proofpoint.com/jp/blog/cyberthreats/dmarc-adoption-industry-japan-us-2026
ScanNetSecurity（2026年2月20日）：2025年12月調査で日経225のReject+Quarantine計36%、主要18カ国中最下位。URL: https://scan.netsecurity.ne.jp/article/2026/02/20/54669.html
※713万通の送信経路・内容の詳細は一次資料で未確認（報道見出しベース）。インシデントは進行中で数値が更新される可能性あり。特定企業を批判する意図はなく、送り手側の備えに論点を限定。