ビックカメラ・コジマ・ソフマップ、アララ経由でグループ合計約1,490万件が流出の可能性

事案の概要データ

図解：この事故の構造

何が起きたのか

株式会社ビックカメラ、株式会社コジマ、株式会社ソフマップの3社は2026年11月2日、メール配信等を委託するアララ株式会社のメール配信システムへの不正アクセスにより、メールマガジン登録者のメールアドレス等がグループ合計約1,490万件流出した可能性があると連名で公表しました。

クレジットカード情報と通販サイトのログイン情報は対象に含まれないとされています。

この約1,490万件は、アララの事案で公表された波及先の件数としては最大規模です。ただしグループ3社の合算値であり、重複を除いた実人数ではありません。家電量販店のメールマガジンは複数登録している人も多く、人数は件数より小さくなります。

3社が連名で出した意味

実務として参考になるのは、3社が1本の文書で出したことです。

ビックカメラ、コジマ、ソフマップは同じグループですが、別会社です。個人情報保護法上の取扱事業者も別々です。本来なら3本の公表文が出ます。

それを1本にまとめると、どうなるか。

①読む側が全体像をつかめる。 「結局グループで何件なのか」が1回で分かります。3本に分かれていると、読者が自分で足し算することになり、かえって誤解が生まれます。

②問い合わせ窓口を集約できる。 「自分はコジマの会員だが、ビックカメラのメルマガも取っている」という人が、どこに聞けばいいか迷いません。

③対応の差が出ない。 3社で表現や件数の数え方がずれると、「なぜビックカメラだけ件数を出さないのか」といった不信を招きます。

本サイトではこれまでも連名公表の例を扱いました。ドン・キホーテ・長崎屋・橘百貨店・UDリテールの4社（2026年10月28日）、ファンケルとアテニア（同10月16日）などです。グループ会社や提携先と同じ委託先を使っている場合、連名で出す準備をしておくと速くなります。

中小企業でも、系列店やフランチャイズで同じ予約システム・同じ配信ツールを使っていることがあります。そのとき誰が代表して出すのかを、平時に決めておいてください。

「メールマガジンだけ」をどう受け止めるか

本件で流出したのはメールマガジン登録者のアドレス等です。ログイン情報もカード情報も対象外とされています。それでも油断できない理由があります。

家電量販店のメールマガジン登録者である、という事実が知られていることです。

そこから作れる偽メールは、こういうものです。「ポイントの有効期限が近づいています」「ご購入いただいた商品のリコールのお知らせ」「長期保証の更新手続き」。家電は高額で、保証やポイントの話が自然に成立します。

さらに、同じ時期にアララ経由の流出が数十社から公表されました。つまり同一の攻撃者が、多数の企業の名前を使える状態にあります。1人の受信者に、複数の企業を装ったメールが届く可能性があります。

利用者としての守り方は、本サイトで繰り返している1つに尽きます。メールのリンクを開かず、公式アプリかブックマークから自分で入る。

そして、ポイント残高を確認する習慣をつけてください。ポイントは換金性があり、乗っ取られたときの被害が直接的です。

時系列で見る経過

• 2026年10月28日〜31日アララのメール配信基盤を経由して契約企業向けサーバーに侵入され、データが持ち出される
• 2026年10月31日アララが「アララ メッセージ」を全面停止
• 2026年11月2日アララが第2報を公表（サーバー97台・最大約380社・約7,700万件）
• 2026年11月2日ビックカメラ・コジマ・ソフマップが連名で、グループ合計約1,490万件の流出の可能性を公表

中小企業が学ぶべきポイント

1. グループ3社が連名で1本の公表文を出した。読む側が全体像をつかめ、問い合わせ窓口も集約できる。
2. 系列店やフランチャイズで同じ委託先を使っている場合、誰が代表して公表するかを平時に決めておく。
3. 約1,490万件はグループ3社の合算値。重複を除いた実人数ではない。
4. 「メールマガジンのアドレスだけ」でも、家電量販店の会員と知られることで、ポイントや長期保証を装う偽メールが作れる。
5. 同時期に数十社がアララ経由の流出を公表した。攻撃者は多数の企業名を使える状態にある。
6. ポイント残高を確認する習慣をつける。ポイントは換金性があり被害が直接的。

出典・参考

• 2026年11月の不正アクセス・情報漏えい（不正アクセス・情報漏えい事案一覧）
• ペイクラウドHD、「アララ メッセージ」への不正アクセスで約7700万件のメールアドレスが流出（INTERNET Watch・2026年11月2日）