アララメッセージ不正アクセス事案　／　2026年11月10日時点の整理

個人情報保護委員会への連名報告の全体像

Slackのやり取り、回答フォーム、一覧表.xlsx の3つを突き合わせて、誰が何をいつまでにやるのか、何がまだ決まっていないのかを1枚にまとめました。

3行でいうと

流出した配信リストは契約企業から預かったものなので、契約企業（委託元）とアララ（委託先）の両方に委員会への報告義務がある。
両者は連名で1本にまとめて出せる。そこでアララがフォームで情報を集め、委員会のテンプレ（一覧表.xlsx）に貼って代表で提出する。1回目は11/11目途。
契約企業のさらに先に取引先がいる3層のケースは1回目に入れず、精査とヒアリングをしてから2回目の連名報告でまとめる。

ケースA：2層契約企業が自社の顧客リストを預けている

契約企業委託元

配信リストを預ける

アララ委託先

ケースB：3層フォーム設問9で取引先が「いる」と答えた企業

取引先（小売りなど）委託元

リストを預ける

契約企業（代理店など）委託先

さらに預ける

アララ再委託先

10/28
不正アクセスを確認し、共用環境を緊急停止
10/29
第1報を公表。個人情報保護委員会に速報を提出。警察に通報、JIPDECに速報
10/31
アララメッセージの全サービスを停止（再開は未定）
11/2
第2報を公表。流出範囲が広がり、氏名等の会員情報も対象に。委員会に中間報告
11/4
総務省関東総合通信局に報告、JIPDECに中間報告
11/6
第3報を公表。持ち出されたメールアドレスは約8,133万件。委員会に追加報告（第3報では「本日報告予定」）
11/9（月）
18:00 連名報告フォームの一次締切
期限までに回答がない企業は連名の対象外になり、個別報告が必要になる場合あり（フォーム記載）
11/10
社内で回答リストを精査
11/11 目途
1回目の連名報告を委員会へ提出
委員会への報告としては、速報・中間報告・追加報告に続く通算4回目にあたる。「締切から2〜3営業日で提出」とも回答あり
その後
取引先「いる」の企業を精査、ヒアリング、期限を設けて2回目の連名報告
日程は未定

契約企業から連名の依頼が来た場合契約企業が回答フォームで連名報告に同意

取引先から連名の依頼が来た場合契約企業の先にいる取引先が、契約企業を通じて連名報告を希望

連名報告に「同意する」と答えたが、そのあと何をすればいい？

アララからの連絡を待ってください。

いつ委員会に報告してくれるの？

1回目は11/11目途で提出。それ以降は、期限を区切って回答を集め、まとめて提出する。

うちの取引先（委託元）には何を聞けばいい？

フォームと同じ内容でOK。一覧表.xlsx の列が埋まれば十分。

取引先が「いる」と答えた。どうなる？

アララから個別に改めて連絡する。アララ側で精査してから対応。

アララから流出した本人に一斉にメールしてくれるの？

原則として、アララからは送らない。本人の情報を集めたのは契約企業（委託元）で、アララではないため。