ブラストメールへの不正アクセスによるサイバー攻撃まとめ-JAPEX・自治体・琉球新報などで個人情報漏洩の恐れ|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年10月22日更新日時: 2026年10月22日

2026年10月21日、株式会社ラクスは、子会社の株式会社ラクスライトクラウドが運営するメール配信サービス「ブラストメール（blastmail）」への第三者による不正アクセスについて、第2報を公表しました。API用サーバー2台に侵入され、販売管理システムに保存されていた全契約者の情報と、一部契約者のメール配信先リストなどが外部へ持ち出されたことを確認しています。

同サービスを利用する石油資源開発（JAPEX）や自治体、放送局、新聞社、各種団体でも、登録情報への影響や配信停止が相次いで公表されています。2026年10月22日13時20分（日本時間）までに公式発表を確認した公表先・配信サービスは少なくとも23件です。これは漏えいが確定した組織数ではなく、複数サービスを同一の運営主体が提供する例も含みます。

ブラストメール不正アクセスのサマリー

10月21日、親会社ラクスが不正アクセスと情報の外部持ち出しを確認したと発表しました。
攻撃者はAPI用サーバー2台でコマンドを実行し、販売管理システムとサービスのデータベースに接続していました。
全契約者について、会社名、担当者名、電話番号、メールアドレス、請求先メールアドレス、契約・支払履歴などの持ち出しが確認されています。
一部契約者の配信先リストも漏えいしていますが、すべての契約者の配信先情報が流出したとの発表ではありません。
サービスは10月21日午前0時30分から停止。10月22日昼時点で確認できる第2報では、再開日時は未定とされています。
影響を公表したサービス・組織にはJAPEX、大分県、周南市、香美市、山梨市、湯沢市、田上町、BS11、琉球新報などが含まれます。
香美市は登録制メールのメールアドレスの流出を確認したと発表。一方、他の多くの公表先では個々の配信先データが実際に流出したか調査中です。
周南市の302件は現時点で把握できる登録件数であり、確定した漏えい件数ではありません。
ブラストメールの障害は防災・防犯通知や団体のメールマガジンにも及び、代替の情報発信手段を案内する自治体が出ています。
ラクスは別途、7サービスを予防的措置として一時停止しましたが、これら7サービスへの不正アクセスや情報漏えいを確認したとの発表ではありません。

影響を公表した組織・サービス一覧（2026年10月22日13時20分時点）

以下は、各組織・サービスの公式サイトでブラストメールへの不正アクセスまたは停止による影響を確認できたものです。漏えいの「確認」はブラストメール運営元の契約者情報・一部配信先の流出と、各利用組織の配信先リストについて区別しています。

公表元・サービス	対象となる情報・業務	公表時点の判定
石油資源開発（JAPEX）	一般向けメルマガのメールアドレス、機関投資家・証券アナリスト向けイベント案内の氏名・会社名・所属・役職・メールアドレス・住所・電話番号など	配信対象者情報の漏えいの可能性。件数調査中
大分県	おおいた子育て応援パスポートのメルマガ配信希望者。メールアドレス、市町村名、会員区分	漏えいの可能性。個別調査中
周南市（山口県）	周南市ファンクラブメールマガジン。氏名、住所、電話番号、メールアドレス／登録302件	漏えいの可能性。302件は登録件数
香美市（高知県）	香美市登録制メールのメールアドレス	市が登録者メールアドレスの流出を確認したと公表
山梨市（山梨県）	防災防犯メールの登録者のメールアドレス	漏えいのおそれ。防災アプリは対象外
湯沢市（秋田県）	緊急・防災メール。市役所の担当者名・連絡先、登録者の配信先情報	市役所側の契約者情報の流出は確認。住民等の配信先情報は調査中。配信停止
田上町（新潟県）	行政情報、緊急情報、不審者情報、除雪情報のメール配信	配信停止。登録者情報の漏えい有無は調査中
BS11	「BS11マガジン」のメール配信	配信停止。登録情報の漏えい有無は調査中
subsclife	メルマガ等のメールアドレス、一部の配信先の氏名	漏えいの可能性。対象の該当有無を確認中
事業構想オンライン	メールマガジンの登録メールアドレス	漏えいの可能性
プラジャーナル	メールマガジンの企業名、担当者名、メールアドレス	漏えいの可能性。自社データの流出は未確認
先端教育オンライン	メールマガジンの登録メールアドレス	漏えいの可能性
古紙ジャーナル	メールマガジンの企業名、担当者名、メールアドレス	漏えいの可能性。自社データの流出は未確認
B.A.U.M. Consult Japan	メール配信先の氏名、メールアドレス、会社・組織名、部署名	漏えいの可能性。週次配信を当面停止
（公財）横浜市男女共同参画推進協会（横浜・横浜南の各センター）	両施設のメールマガジン	配信停止。登録情報への影響は運営元からの具体的な報告待ち
日本ショッピングセンター協会	「JCSC NEWS」メールマガジン	配信・入退会手続きを停止。配信先の漏えいに関する個別結果の発表なし
ママノワ	メールマガジン配信・新規登録	停止。登録者情報の漏えいは未確認
Deep Edge Plus	ニュースレター。登録されているのはニックネーム、メールアドレス	10月23日分の配信・新規登録を停止。会員情報は配信サービスに登録せず、漏えい未確認
琉球新報	「琉球新報ニュースレター」	配信停止。漏えい有無は調査中
日本診療放射線技師会	メルマガ本文に掲載されたリンクの遷移	リンクが開かない障害。技師会自体のシステム侵害ではないと説明
日刊産業新聞	「日刊産業新聞メール速報」	配信停止。配信先情報の漏えいに関する個別発表なし
ディ・クリエイト	メールマガジン	配信停止、代替手段を検討。配信先情報の漏えいに関する個別発表なし
日本自由党	党員向けメールマガジン	配信できない状況を告知。登録情報の漏えいに関する個別発表なし

※23件は公表先・配信サービスを行単位で数えたものであり、同一法人が運営する媒体、同一団体が管理する複数施設などを含みます。契約者数、独立した被害法人の数、漏えい確定組織数、漏えい人数のいずれでもありません。掲載は網羅的な全契約者一覧ではありません。

API用サーバー2台を侵害、全契約者の販売管理情報を取得

親会社ラクスが10月21日に発表した第2報によると、第三者はAPI用サーバー2台へ侵入し、内部でコマンドを実行しました。その後、販売管理システムとブラストメールのデータベースに接続し、情報を持ち出しています。初回侵入時期や入口となった脆弱性・認証情報など、具体的な侵入経路は引き続き調査されています。

販売管理情報はブラストメールを契約する企業・団体側の情報です。配信先リストは、契約者が一般利用者や顧客、メルマガ読者にメールを送るために登録した情報を指します。今回、前者は全契約者で外部持ち出しが確認されましたが、後者は一部契約者で確認された段階です。ラクスライトクラウドはクレジットカード番号を保持していないとしています。

ラクスは個人情報保護委員会とJIPDECへの報告を公表し、配信先リストの該当契約者には詳細を精査した上で個別に連絡する方針です。

防災・行政メールへの影響、山梨市は別の事業者のインシデントと区別

今回確認された自治体では、対象者への注意喚起と並行して、配信を一時停止する動きがみられます。湯沢市は緊急・防災メールを利用できない間、LINEなどで情報を伝えるとしています。田上町も行政情報や除雪情報など複数種類のメール配信を停止しました。

山梨市が影響を公表したのは、ラクスライトクラウドの「防災防犯メール」配信サービスに登録したメールアドレスです。同市は公式案内で、10月13日ごろから問題となった別の配信事業者「アルカディア」に関する事案とは異なることを明示しています。二つの不正アクセスを同一事案として合算することはできません。

香美市は登録制メールのメールアドレスの流出を確認した一方、大分県、周南市、山梨市などは利用者ごとの流出有無を調査しています。メールアドレス以外に住所や電話番号、属性情報を登録している組織では、二次被害への注意喚起に必要な情報の種類も異なります。

投資家向け案内、専門紙、業界団体にも波及

JAPEXは、一般向けのメールマガジンだけでなく、機関投資家・証券アナリストに送るイベント案内にもブラストメールを利用していました。案内対象者には部署や役職、住所、電話番号を含む情報が登録されています。同社によると、社内ネットワークや自社事業への影響はありません。

新たに確認した公表では、古紙ジャーナルとB.A.U.M. Consult Japanが、一般読者・法人担当者向けメールの登録情報への影響可能性を案内しました。日本ショッピングセンター協会はメールマガジンの入退会手続きまで一時停止しています。

配信停止だけにとどまらない機能への影響もあります。日本診療放射線技師会は、10月20日に配信済みのメルマガ本文中のリンクを開けないと発表しました。これは利用していたブラストメールの停止に伴う障害であり、同会のシステム自体への不正アクセスを意味しません。subsclifeでも、配信済みメールにある「配信停止」リンクが利用できないと説明しています。

ラクスの別サービス7件は予防的な停止、流出確認と区別

ラクスは10月21日、「楽楽販売」「楽楽勤怠」「楽楽自動応対」「楽楽メールマーケティング」「ChatDealer」「クルメル」「楽テル」の7サービスについても、予防的措置として一時停止・緊急メンテナンスを実施すると公表しました。10月21日付の案内では10月22日朝を再開予定とし、ChatDealerのみ同日中の再開予定としています。

ラクスは、これら7サービスで今回の事案に起因する不正アクセスや情報漏えいは確認していないと説明しています。ブラストメールで確認された顧客情報の流出を、別の7サービスにまで広げて記載することはできません。ブラストメール自体の復旧時期とも分けて確認する必要があります。

同種事例「める配くん」でも2026年に情報流出

別のメール配信サービス「める配くん」を運営する株式会社ディライトフルは、2026年6月の不正アクセスについて8月14日に調査結果を公表しました。一部の契約者が預けていたメールアドレスなどの配信先情報が、第三者に取得されていたと確認しています。同社は影響が確認された契約者に個別連絡し、現在は通常通りサービスを提供していると説明しています。

ブラストメールとめる配くんは別の事業者による別個のインシデントです。共通するのは、メール配信を委託した組織が、委託先からの報告を受けて自社の登録情報の対象範囲を調べ、配信先への説明や代替の情報発信を判断する必要が生じる点です。める配くんの詳細はセキュリティ対策Labの影響企業・団体を一覧化した記事で確認できます。