ペイクラウドホールディングスは11月6日、連結子会社アララが運営するメール配信サービス「アララメッセージ」への不正アクセスについて第3報を公表した。既報のクラウド環境とは別の環境（環境B）からも、メールアドレス324万9492件が外部に持ち出されていたことが新たに判明した。
環境Bへの侵入は、第三者が不正に入手した認証情報を用いて2026年10月28日から31日の間に行われたもので、第2報で説明した一連の不正アクセスと同一期間の事案である。持ち出されたのはメールアドレスのみで、クレジットカード番号の保有はない。アララは10月31日に当該認証情報を無効化し、環境Bを停止した。これにより重複を除いた持ち出し件数の合計は8132万9467件（約81百万件）となり、第2報時点の約80.4百万件から約94万件増加した。あわせて第2報の一部区分の件数も修正され、一部にテキスト情報の混入も確認された。
今回の判明は、調査範囲を広げたことで第2報時点では確認できていなかった侵入・持ち出しの実態が明らかになったもの。外部専門家の協力を得て侵入経路の特定を進めており、影響を受けたご契約企業は最大約380社に及ぶとされる。
サービスは10月31日から停止中で、侵入経路の特定・認証情報の全面変更・安全性確認を経て再開を判断する方針だが、再開時期は未定。2027年8月期業績への影響も引き続き精査中で、個人情報保護委員会や総務省、警察、JIPDECへの報告対応も継続している。