Únik z japonské služby Arara Message: 81 milionů e-mailových adres a phishing jménem kartových společností

Co se stalo

Arara Message je japonská služba pro hromadné rozesílání e-mailů, kterou firmy a dodavatelé softwaru používají k zasílání oznámení a newsletterů svým zákazníkům. Provozuje ji Arara Inc. ze skupiny Paycloud Holdings. Neznámá třetí strana se do ní dostala a služba to od 29. října 2026 postupně přiznává ve třech zprávách.

Podle 3. zprávy z 6. 11. mohlo uniknout 81 329 467 unikátních e-mailových adres (jde o počet adres, ne lidí):

• 78 102 937 adres z neoprávněného přístupu do samotné služby,
• 2 842 400 adres ze sdíleného prostředí, o kterém Arara psala v první zprávě (ve druhé zprávě uváděla 3 386 187, pak číslo snížila),
• 3 249 492 adres z dalšího cloudového prostředí, které vyšetřování odhalilo až ve 3. zprávě.

Zasaženo je až asi 380 firemních zákazníků (číslo se ještě prověřuje), z toho 61 ve sdíleném prostředí. Podle toho, co který zákazník do služby nahrál, mohly uniknout i jméno, pohlaví, datum narození, telefonní číslo, členské číslo a adresa. Čísla platebních karet Arara Message podle firmy neuchovává.

Útočník službu navíc zneužil přímo: 28.–30. října z ní odešlo až 7,13 milionu e-mailů z adresy news@arara.com, které se vydávaly za kartové společnosti a vyzývaly k potvrzení plateb. Arara 31. 10. zastavila všechny služby; obnovení závisí na uzavření cesty průniku, kontrole externí firmou a výměně přístupových údajů zákazníků.

Únik se propisuje k zákazníkům

Arara seznam zákazníků nezveřejnila, ale firmy, které službu používaly, oznamují dopad samy:

• TKC Corporation (software pro samosprávy a účetní) ve 3. zprávě z 4. 11. uvedla, že unikly až 2 230 812 e-mailové adresy uživatelů jejích systémů. Podle následného šetření Arary šlo jen o adresy – texty e-mailů, čísla My Number ani údaje z žádostí na úřady neunikly. TKC zatím nemůže rozesílat e-maily a přechází na jinou platformu.
• Město Ósaka (2,8 milionu obyvatel) 13. 11. ohlásilo únik 1 078 713 e-mailových adres uživatelů městského online systému pro úřední agendu, který provozuje TKC. Týká se každého, kdo od 1. 7. do 31. 10. 2026 dostal e-mail z adresy info-osaka-online@city.osaka.lg.jp (registrace, změna hesla, přihlášení, stav žádosti, hromadné oznámení ze 16. 9.). Jiné údaje podle města neunikly; o upozornění jednotlivých lidí město teprve rozhoduje.

Technické podrobnosti

Cestu průniku Arara zatím nezveřejnila – vyšetřuje ji externí specializovaná firma. Z dostupných zpráv plyne jen to, že útočník měl přístup k samotné službě (adresáře zákazníků i možnost rozesílat) a že data ležela ve více cloudových prostředích, z nichž jedno se našlo až při dalším šetření. Takový přístup obvykle vzniká přes ukradené administrátorské nebo API přístupové údaje – to je ale náš obecný předpoklad, ne zjištění Arary. Proto Arara před obnovením služby vymění přístupové údaje všech zákazníků.

Koho se to týká

• Příjemci e-mailů od firem a úřadů, které rozesílaly přes Arara Message nebo přes dodavatele postavené na ní – podle jmenovaných zákazníků hlavně v Japonsku.
• Firmy a úřady, které Arara Message používají přímo nebo nepřímo (přes dodavatele, jako je TKC). Mnoho organizací o tom, přes jakou rozesílací službu jejich dodavatel e-maily posílá, neví.

Jak poznat napadení

Indikátory napadení ve smyslu hashů nebo IP adres Arara nezveřejnila. Ověřené jsou tyto znaky:

news@arara.com                         # odesílatel phishingu 28.–30. 10. 2026 (jménem kartových společností)
info-osaka-online@city.osaka.lg.jp     # legitimní odesílatel systému města Ósaka – kdo od něj dostal e-mail 1. 7.–31. 10. 2026, má adresu v úniku

• Správci pošty mohou v logu bran hledat doručené zprávy od news@arara.com z 28.–30. 10. a zjistit, kdo na odkazy klikl.
• Zákazníci Arary by měli očekávat cílený phishing jménem své značky a sledovat hlášení zákazníků.

Co udělat

Uživatelé:

1. E-maily „od kartové společnosti“ s výzvou k potvrzení plateb smažte a odkazy neotevírejte. Pokud jste do takového formuláře zadali kartu, hned volejte vydavateli karty (doporučení Arary).
2. Buďte opatrní i u e-mailů, SMS a hovorů jménem úřadu nebo firmy, od které běžně poštu dostáváte. Hesla, PIN ani čísla karet nikdy nezadávejte přes odkaz z e-mailu a informace ověřujte na oficiálním webu (doporučení Ósaky).
3. Podezřelý odkaz si předem ověřte v naší Kontrole odkazu.

Firmy a úřady:

1. Zjistěte, přes jakou rozesílací službu jdou vaše e-maily – i u dodavatelů a SaaS. Rozesílací služby jsou součást dodavatelského řetězce a drží přesně ty údaje, které útočník potřebuje pro věrohodný phishing.
2. Pokud používáte Arara Message, počítejte s výměnou přístupových údajů, kterou Arara před obnovením služby požaduje, a s povinností oznámit únik dozorovému úřadu.
3. Připravte zákazníkům krátké upozornění, jak vypadají vaše pravé e-maily, a zkontrolujte SPF, DKIM a DMARC (p=reject), aby útočník nemohl posílat jménem vaší domény.

Časová osa

Aktualizace

• 13. 11. 2026: první verze.