ワークマン最大145万件流出　アララ経由の被害は全体で7,700万件、最大380社の恐れ

　ワークマンは2026年11月4日、メール配信の委託先であるアララへの不正アクセスにより、ワークマンオンラインストアのメールマガジン利用者のメールアドレスが流出したと発表した。対象は最大約145万件で、流出したのはメールアドレスのみ。ほかの情報は流出していないとしている。

　同社によると、10月28日にアララから外部からの不正アクセスで個人情報の一部が流出したとの連絡があった。翌29日にはワークマン会員のメールアドレスは含まれないと伝えられたが、11月2日になって電話で流出の緊急報告があったという。ワークマンは書面による正式な確認を依頼している。

　ワークマンは10月28日以降、メールマガジンなどの配信を停止している。オンラインストアの通知メールとアプリ内通知は影響を受けていないという。個人情報保護委員会への報告手続きを進めるとともに、外部のセキュリティ専門家の助言を受け、委託先のセキュリティ水準と監視体制を検証する。流出したアドレスを使ったフィッシングやスパムが届く可能性があるとして、身に覚えのないメールのリンクや添付ファイルは開かないよう呼びかけている。

　一方、アララは11月2日に公表した第2報で、被害が当初より広がっていることを明らかにした。同サービス経由で持ち出されたメールアドレスは約7,700万件（精査中）で、対象はご契約企業のサーバ97台、企業数は最大約380社と推計している。ほかに、先に公表していた共用環境の3,386,187件（61社分）がある。2つの区分は重複している可能性があり、合算していないという。

　同社のサービスからは最大約713万通の不審メールも送られた。送信元は news@arara.com で、利用内容確認のご依頼などの件名が使われた。10月28日から30日にこの送信元から届いたメールは、URLを開かずに削除するよう求めている。原因は、既報のWebサーバの脆弱性に加え、システム環境の問題も関係していたとしている。サービスは10月31日に停止し、再開時期は未定だ。

　被害の連鎖は続いている。アララを委託先とする企業では、ビックカメラ・コジマ・ソフマップが約1,490万件の流出の可能性を発表している。