作業服・アウトドア用品チェーンのワークマンは2026年11月4日、メールマガジンの配信に使っているメール配信会社アララが外部から不正アクセスを受け、「ワークマンオンラインストアメールマガジン」の会員のメールアドレスが最大約145万件流出したと発表した。流出したのはメールアドレスだけで、それ以外の情報の流出はないとしている。
ワークマンの発表内容
ワークマンの発表によると、経緯は次のとおりである。
- 10月28日：アララから、同社のシステムが外部の第三者による不正アクセスを受け、預かっている個人情報の一部が流出したと連絡があった
- 10月29日：流出した情報にワークマンの会員のメールアドレスは含まれていない、と連絡があった
- 11月2日：アララから、ワークマンの顧客のメールアドレスが流出していたと電話で緊急の報告を受けた（ワークマンはアララに書面での正式な確認を依頼中）
一度は「含まれていない」とされたものが、数日後に「含まれていた」に変わった形である。
ワークマンは10月28日の連絡を受けた時点でメールマガジンの配信を止めている。オンラインサイトの各種通知メール（ワークマンアプリ内の通知を含む）はアララのサービスを使っておらず、影響はないという。個人情報保護委員会への報告も進めている。
二次被害への注意と再発防止
ワークマンは、流出したメールアドレスにフィッシングメール（企業などを装って偽サイトへ誘導し、情報をだまし取るメール）やスパムメールが届くおそれがあるとして、身に覚えのないメールのリンクや添付ファイルを開かないよう呼びかけている。
再発防止策としては、外部のセキュリティ専門家の助言を受けながら、アララのセキュリティ対策の水準と監視体制を客観的に評価・検証するとしている。そのうえで、委託先の管理を徹底し、情報セキュリティ体制を強化するという。
アララが11月2日に公表した第2報では、10月28日から31日にかけて、第三者が同社のサーバーを経由して契約企業の環境にあるサーバー97台に侵入したとしている。持ち出されたメールアドレスの件数は、精査中ではあるものの約7,700万件とされ、アララは10月31日にサービスの提供をすべて停止した。
「含まれていない」という連絡をどう受け止めるか
今回の経緯で注目したいのは、委託先からの「含まれていない」という説明が、その後「含まれていた」に変わった点である。委託先の調査では、侵入の範囲がわかるにつれて結果が変わることがある。最初の報告だけで「自社は無関係」と判断すると、利用者への注意喚起や配信の停止が遅れかねない。
ワークマンは最初の連絡の時点でメールマガジンの配信を止めており、これは被害の拡大を抑えるうえで意味のある判断だった。委託先で事故が起きたときは、影響の有無が確定する前でも、止められるものを止め、書面で事実を確かめていく。こうした初動の決まりごとを、委託契約と社内の手順の両方に用意しておきたい。
同じ手口に、自社は備えられていますか？