株式会社ラクスは2026年10月21日、子会社の株式会社ラクスライトクラウドが提供するメール配信サービス「ブラストメール（blastmail）」に対する不正アクセスについて、第2報を公表しました。調査の結果、第三者がAPI用サーバー2台に侵入してコマンドを実行し、販売管理システムなどからデータを外部へ持ち出していたことが確認されました。全契約者の販売管理情報に加え、一部契約者のメール配信先リストも漏えいしています。
同サービスは10月21日午前0時30分から緊急停止しており、第2報時点で再開日時は決まっていません。
ブラストメール不正アクセスのサマリー
- 公表日：2026年10月21日。初報の後、同日中に情報漏えいを確認した第2報を公開。
- 運営事業者：株式会社ラクスライトクラウド（株式会社ラクスの子会社）。
- 対象サービス：メール配信システム「ブラストメール」。
- 攻撃内容：第三者がAPI用サーバー2台に侵入し、コマンドを実行。販売管理システムとサービスのデータベースに接続し、情報を持ち出した。
- 漏えい確認：全契約者の販売管理情報、および一部契約者の配信先リストなど。
- 対象情報：会社名、担当者名、電話番号、メールアドレス、請求先メールアドレス、契約・支払履歴など。
- クレジットカード番号：運営事業者は保持していないと説明。
- 漏えい件数と侵入経路の詳細：第2報時点では調査中。
- サービス停止：10月21日午前0時30分から継続。再開日時は未定。
- 個人情報保護委員会およびJIPDECへの報告：同日の初報に記載。
| 項目 | 2026年10月21日の公式発表内容 |
|---|---|
| 公表元 | 株式会社ラクス |
| 被害サービス | ブラストメール（運営：ラクスライトクラウド） |
| 侵害されたシステム | API用サーバー2台、そこから接続された販売管理システムとサービスのデータベース |
| 外部持ち出しが確認された情報 | 全契約者の販売管理情報、一部契約者の配信先リスト等 |
| 配信リストの影響 | 一部契約者について情報漏えいを確認。対象者・件数を精査中 |
| サービスの状態 | 2026年10月21日0時30分から停止、再開日時未定（第2報時点） |
初報の「不審アクセス」から、情報の外部持ち出しを確認する事態へ
ラクスは10月21日の初報で、不審なアクセスを検知したためブラストメールを緊急停止したと説明していました。この段階では原因と影響範囲を調査中としていました。
その後の第2報で、不正アクセスに加えて情報が外部に持ち出されたことを明らかにしました。発表によると、攻撃者はAPI用サーバー2台に侵入してコマンドを実行し、販売管理システムとサービスのデータベースへ接続していました。
攻撃者の侵入経路、侵入開始時刻、利用された脆弱性や認証情報の有無など、詳細な技術的経緯は継続調査となっています。
全契約者の販売管理情報を持ち出し、一部の配信リストも漏えい
第2報で明らかになったのは、異なる性質の2種類の情報への影響です。
まず、販売管理システムでは、全契約者について会社名、担当者名、連絡先、契約・支払履歴などの外部持ち出しが確認されています。これらはブラストメールを契約している企業・団体の取引管理情報です。
さらに、一部契約者に関しては、メール配信に用いる宛先リストなどの漏えいも確認されています。配信先リストに含まれる情報の種類は、利用企業が登録していた項目によって異なる可能性があり、運営会社は対象顧客ごとの影響を精査して個別連絡するとしています。
「全契約者の販売管理情報が持ち出された」ことは、「全契約者が登録したすべての配信先アドレスが漏えいした」ことと同義ではありません。2つの対象範囲を区別する必要があります。
ラクスライトクラウドはクレジットカード番号を保持していないと説明しています。一方、支払履歴や請求先メールアドレスなどの取引情報は持ち出し対象に含まれます。
メール配信停止が利用企業にも波及
サービス停止は10月21日午前0時30分に始まりました。第2報の段階では安全確認と復旧対応が続いており、再開時期は示されていません。
ブラストメールを利用している企業・団体では、定期メールマガジンや各種案内の配信、管理画面を利用する作業などに影響が生じる可能性があります。停止した期間の予定配信については、自動的に再送されると決めつけず、運営会社の案内を確認する必要があります。
影響は委託先企業にも及んでいます。石油資源開発（JAPEX）は同日、ブラストメールを利用している同社のメールマガジン登録者や機関投資家・証券アナリスト向け案内先について、個人情報漏えいの可能性を発表しました。JAPEXのネットワークに直接侵入されたという発表ではありません。
情報システム部門・メール配信担当者が確認したい事項
ブラストメールの契約企業は、運営会社からの個別連絡を待つだけでなく、販売管理情報と配信先情報を分けて管理状況を整理できます。
- 契約名義、請求担当者、登録した連絡先と、その情報を受け取る社内部門を把握する。
- ブラストメールにアップロードした配信リストについて、保管期間、項目、登録件数、更新時期を確認する。
- 個人情報が含まれる場合は、運営会社からの情報を踏まえ、本人通知や監督当局への対応要否を自社で評価する。
- 停止中のメール配信予定を洗い出し、必要に応じて自社Webサイトなど別経路で案内する。配信先データの移行は安全性と利用目的を確認したうえで判断する。
- 契約情報や請求情報を装う不審メールに備え、担当者と配信先への注意喚起を検討する。
今回の事案では、配信リストを受託する事業者が侵害されたことで、顧客企業が管理する連絡先情報にも影響が及ぶ構造が示されています。情報漏えいの確定範囲については、各契約者宛ての続報による確認が必要です。
出典
- 【第2報】当社子会社が提供する「ブラストメール」における不正アクセスによる情報漏えいおよびサービス停止について – 株式会社ラクス（2026年10月21日）
- 当社子会社が提供する「ブラストメール」における不審なアクセスの検知およびサービス停止について – 株式会社ラクス（2026年10月21日、初報）
- 株式会社ラクスライトクラウドで発生した不正アクセスに伴う個人情報漏えいの可能性について – 石油資源開発株式会社（2026年10月21日）
関連記事
Google Chrome、Geminiによる詐欺サイト検知を拡大 ClickFixの不審コマンドをコピーした際にも警告
サイバー攻撃集団 ロックビット(LockBit)とは？
富士通で個人情報漏洩の恐れ マルウェア感染も
不正アクセスで「よどいこ！」から個人情報流出の可能性
モバイルファクトリーがSuishow 株式会社の現代表取締役へ訴訟提起 背景に「NauNau」のセキュリティ管理問題か？
国分生協病院がランサムウェア攻撃を受け、一部診療記録のPDFが閲覧不可に
北海道大学が不正アクセスで約2.3万の個人情報が流出した事を発表
ベネッセ 個人情報流出事件で地裁から賠償命令 3338人に計1100万円
WelcomeHRを運営するワークスタイルテックが約15万人の個人情報漏洩を発表
