ジーイエット「マックハウス」メルマガの登録 個人情報漏えいの恐れ-ブラストメールへの不正アクセスで

ジーイエット株式会社（東証スタンダード、証券コード7603）は2026年10月23日、衣料品店「マックハウス」のメールマガジン配信に利用する外部サービス「ブラストメール」への不正アクセスを受け、配信先として登録していた個人情報が漏えいした可能性があると発表しました。

対象となる可能性がある情報は、氏名、メールアドレス、生年月日、性別、地域です。仮会員として登録した人はメールアドレスのみが対象となります。対象件数は調査中で、10月23日19時の開示では確定していません。今回の侵害はメール配信サービスの運営元で発生したもので、マックハウスの店舗システムや通販サイト自体への侵入を確認したという発表ではありません。

ジーイエット・マックハウスへの影響のサマリー

• 公表日時は2026年10月23日19時。ジーイエットが適時開示しました。
• 対象は「マックハウス」のメールマガジン配信に利用している外部サービス「ブラストメール」です。
• 運営会社はラクスライトクラウドで、10月21日に第三者による不正アクセスが公表されました。
• 漏えいの可能性がある登録情報は氏名、メールアドレス、生年月日、性別、地域です。
• 仮会員登録者については、メールアドレスのみが対象とされています。
• マックハウス関連の対象件数は精査中で、漏えいの有無や規模が確定したとの公表ではありません。
• ブラストメールは10月21日午前0時30分から停止し、10月23日のジーイエット開示時点でも停止中です。
• ジーイエットは運営会社と連携し、影響調査、関係機関への報告、対象者への案内など必要な対応を進める方針です。
• 同社は不審メールのURLや添付ファイルを開かないよう注意を呼び掛けています。
• 連結業績への影響は軽微との見方を示しています。

不正アクセスの概要と影響範囲

「漏えいの可能性がある個人情報の種類」と「実際に持ち出されたと確認できた情報」は区別する必要があります。ジーイエットは、対象項目を列挙した一方で、マックハウスのメールマガジン登録者の何人分が実際に漏えいしたかは公表していません。

氏名・生年月日・性別・地域が対象、仮会員はメールアドレスのみ

ジーイエットの発表では、メールマガジンの配信先として登録していた情報が影響対象となる可能性があります。メールアドレスだけでなく、生年月日、性別、地域が含まれる点が特徴です。

生年月日と連絡先を組み合わせた情報は、登録先に実在の利用者がいることを示す材料になり得ます。例えば、マックハウスからの会員向けキャンペーン、誕生日特典、登録情報の確認を装ったメールが送られた場合、利用者にとって普段の案内と見分けにくくなるおそれがあります。これは一般的な悪用シナリオであり、今回の情報を使った詐欺メールの発生が確認されたという意味ではありません。

なお、発表では「地域」と記載されており、詳細な住所まで登録・漏えいしたと読み替えることはできません。

ブラストメールではAPI用サーバー2台への侵入とデータ持ち出しを確認

ブラストメールの親会社であるラクスは10月21日の第2報で、第三者がラクスライトクラウドのAPI用サーバー2台に侵入し、コマンドを実行したことを公表しました。攻撃者が販売管理システムとサービスのデータベースに接続して情報を持ち出したことを確認しています。

影響範囲は大きく二つに分かれます。第一に、販売管理システムにある全契約者の会社名、担当者名、電話番号、メールアドレス、契約・支払履歴などの外部持ち出しが確認されています。第二に、一部契約者についてはメールマガジン等の配信先リストの漏えいも確認されています。

全契約者の販売管理情報が持ち出されたことを根拠に、全契約者の配信先リストまで持ち出されたと断定することはできません。10月23日14時時点で、運営元が配信先リストの漏えいを確認した契約は288件と、利用団体に報告されています。ただし、調査は継続中です。ジーイエットの19時の開示は、マックハウスの配信先情報について対象件数を精査中としており、この288件に該当するかどうかを明示していません。

ブラストメール全体の侵害原因や事業者向けの影響は、ブラストメール不正アクセスの第2報にまとめています。また、各社・自治体・団体への影響と公表状況の一覧でも波及先を整理しています。

メール配信は停止、対象件数の確認と個別案内を進める

ラクスライトクラウドは10月21日午前0時30分にブラストメールを緊急停止しました。ジーイエットは10月23日時点でサービス停止が続いていると説明しており、マックハウスのブラストメール経由のメール配信も停止しています。

ジーイエットは今後、配信サービス運営会社と連携して件数と影響範囲を調査するとともに、個人情報保護委員会などへの報告や、対象者への案内を法令に沿って進めるとしています。開示に記載された「報告などを進める」という方針は、すべての報告や個別連絡が完了したことを意味しません。

同社は今回の事案による連結業績への影響は軽微と認識していますが、新たな開示事項が生じた場合には公表する方針です。

マックハウスのメルマガ登録者が注意したい偽メール

登録者は、マックハウスやジーイエットの名前を使った「会員情報の再登録」「誕生日クーポンの再発行」「メール配信再開のための本人確認」などを装う連絡に注意してください。公式発表の存在を悪用し、漏えいの確認を口実に偽のログイン画面へ誘導するフィッシングも想定されます。

メールに氏名や生年月日、利用地域が記載されていても、それだけで送信元が正規の事業者である証明にはなりません。確認が必要な場合は、メール本文のURLを使わず、普段利用している公式サイトや公式アプリからアクセスしてください。心当たりのない添付ファイルは開かず、パスワードや認証コード、決済情報を返信で送らないようにします。

既に偽サイトへパスワードを入力した場合は、正規サイトからパスワードを変更し、他サービスで同じパスワードを使っている場合は使い回し先も変更します。氏名やメールアドレスなどの漏えい可能性の通知を受けたことだけを理由に、すべてのアカウントのパスワードが漏えいしたと判断する必要はありません。

委託先のインシデントで顧客情報の管理が問われる

今回の事案は、衣料品事業者の顧客向けメール配信が、外部のメール配信サービスへの侵害で停止したケースです。一般にメール配信サービスでは、メールアドレス以外にも性別、生年月日、地域、会員属性などを配信リストへ登録できます。その結果、委託先に保存されるデータの項目次第で、第三者による不正取得時の影響が変わります。

企業のマーケティング部門と情報システム部門では、配信ツールに保管している項目、更新元システムとの同期範囲、不要な属性の削除方法、配信不能時の代替連絡手段、委託先から情報漏えいの連絡があった際の顧客通知手順を確認することが考えられます。今回の具体的な侵入経路や自社システムへの影響について、ジーイエットが公表していない事項まで推測して原因とすることはできません。

出典

• 「ブラストメール」への不正アクセスに伴う、情報漏えいの可能性に関するお知らせ ― ジーイエット株式会社（2026年10月23日19時、適時開示）
• 【第2報】当社子会社が提供する「ブラストメール」における不正アクセスによる情報漏えいおよびサービス停止について ― 株式会社ラクス（2026年10月21日）
• ブラストメールの緊急停止および個人情報漏えいに関するお詫びとご報告 ― 株式会社ラクスライトクラウド（2026年10月23日更新）
• トライアスロンジャパンが利用する外部メール配信サービスに関する報告 ― 公益社団法人トライアスロンジャパン（2026年10月23日）