国内の暗号資産取引所Zaifは4日、メール配信の委託先であるアララ株式会社への不正アクセスにより、アララに登録していたメールアドレス38万536件（重複を除く）が外部に流出したと報告した。流出は委託先サーバーへの不正アクセスによるもので、Zaif自身のシステムへの侵入や、不正ログイン・資産流出等の二次被害は現時点で確認されていないという。
メール配信サービス「アララ メッセージ」を運営するアララは、10月28日に不正アクセスを確認し、31日にサービスを全面停止した。親会社のペイクラウドホールディングスは2日、契約企業のサーバー97台から約7,700万件のメールアドレスが流出、またはそのおそれがあり、影響を受ける契約企業は最大約380社に及ぶと発表した。
Zaifによると、流出したアドレスには過去にアララへ登録した分が含まれる可能性があり、現在の利用者数を含む内訳を確認している。Zaifが登録していたのはメールアドレスのみで、パスワードなどの流出はなく、メールアドレスだけでは口座にログインできないと説明した。
アララによると、攻撃者は「アララ メッセージ」を悪用し、第三者が外部から持ち込んだアドレス宛に、10月28日から30日にかけてクレジットカード会社を装う不審メールを最大約713万通送信した。
Zaifは、同社やアララを名乗るなりすましメールが届くおそれがあるとして、リンクのクリックや添付ファイルの開封、偽画面での認証情報の入力を避けるよう呼びかけ、メール認証の利用者には認証アプリへの切替も案内した。
Zaifは2日に流出の可能性を公表して以降、アララのサービス停止に伴い各種お知らせメールの配信を一時停止しており、再開後に対象の顧客へ個別に連絡する。また、関係当局に報告済みで、アララへの原因説明の要求に加え、委託先の見直しを含む改善を進める方針だと伝えた。
