NTT ExCパートナー「LStep」、最大約9万件のメールアドレスに漏えいの可能性―IDCFクラウドへの不正アクセスで

株式会社NTT ExCパートナーは2026年10月13日、同社のクラウド型学習管理システム「LStep（エルステップ）」で利用するメール配信サービスについて、最大約9万件のメールアドレスが第三者に閲覧・取得された可能性があると発表しました。

メール配信サービスの提供事業者が利用する「IDCFクラウド」が不正アクセスを受けたことに伴うものです。10月13日の公表時点で、LStep利用者の情報が実際に外部へ漏えいした事実は確認されていません。同社は対象法人の窓口へ順次連絡しています。

NTT ExCパートナー「LStep」への影響のサマリー

• 公表日：2026年10月13日。
• 対象サービス：NTT ExCパートナーのクラウド型学習管理システム「LStep」で利用するメール配信サービス。
• 原因となった事案：メール配信事業者が利用するIDCフロンティアのクラウド環境への第三者による不正アクセス。
• 対象となる可能性のある情報：メールアドレス最大約9万件。
• 氏名、住所、電話番号、メール件名・本文、添付ファイル、パスワード、LStep内の学習履歴は、今回の漏えい可能性の対象外と説明。
• メール送信機能は10月9日時点で復旧済み。
• NTT ExCパートナーは対象となる法人の窓口に順次個別連絡を実施。

メール配信事業者の利用するクラウド環境で不正アクセス

NTT ExCパートナーによると、10月7日にLStepで利用するメール配信サービスに障害が発生しました。その後、メール配信サービスの提供事業者から、同社が利用するIDCフロンティアのサービス環境で第三者による不正アクセスが発生したと報告を受けました。

IDCFクラウドでは同日午前3時40分ごろからランサムウェア攻撃による障害が発生しています。IDCフロンティアは東日本リージョン1の4ゾーンに影響が生じたと公表し、直接の契約先である495の企業・自治体を影響対象として挙げています。

今回のNTT ExCパートナーの事例は、LStep自体がIDCFクラウドへの直接契約者として攻撃を受けたという発表ではありません。LStepが利用するメール配信サービスの提供事業者を介した影響です。障害とその影響先の全体像は、IDCFクラウドへのランサムウェア攻撃による影響企業・サービス一覧でも整理しています。

影響対象はメールアドレスのみ、学習履歴やメール本文は含まれず

NTT ExCパートナーは、今回第三者に閲覧または取得された可能性がある情報を、メールアドレス最大約9万件としています。対象となる顧客の特定は継続中です。

一方、氏名・住所・電話番号などの個人情報に加え、メール件名、本文、添付ファイル、ログインパスワードおよびLStepに保存されている学習履歴などについて、今回の事案による漏えいの可能性は確認されていないと説明しています。

最大約9万件はメールアドレスの件数であり、9万人分の情報漏えいが確定したことを意味しません。また、クラウド障害によってデータが利用できなくなることと、第三者がデータを外部へ持ち出すことは別の事象です。

メール送信は10月9日に復旧、対象法人へ順次個別連絡

LStepのメール送信機能は10月9日時点で復旧しています。NTT ExCパートナーは、IDCフロンティア側の調査が続いているため顧客情報への影響を完全には否定できないとして、10月13日に注意喚起を公表しました。

今後はメール配信事業者と連携してセキュリティ対策を強化するとともに、新たな事実が判明した場合は自社サイトなどで知らせる方針です。

LStep利用企業とメール受信者が確認したいこと

LStepを利用している企業の人事・研修担当者や情報システム部門は、NTT ExCパートナーからの通知の有無を確認し、対象となるメールアドレスの範囲と社内での周知方法を整理する必要があります。メール送信機能の復旧と、情報漏えいの有無に関する調査の終了は同義ではありません。

メールアドレスが実際に取得されていた場合には、研修案内や受講期限の通知などを装った不審メールが届くおそれがあります。LStepを利用する従業員には、メール内のリンクから安易に認証情報を入力せず、通常利用している正規のLStep画面から通知内容を確認するよう案内することが考えられます。

今回の公表は、学習履歴やパスワードが流出したと確認したものではありません。周知に際しても、調査中の情報と流出が確認された情報を混同しないことが必要です。

出典

• IDCフロンティア社で発生した不正アクセスに伴うメールアドレス漏えいの可能性について ― NTT ExCパートナー（2026年10月13日）
• 【第3報】当社サービスの一部システムへの不正アクセスによる障害について ― IDCフロンティア（2026年10月8日）

関連記事

アエナのEC アプリに不正アクセスによるサイバー攻撃、最大81万7,215人の個人情報漏洩の恐れ 佐賀大学でランサムウェア被害　事務情報システムのNASでファイル暗号化、教育・研究・診療システムへの影響は確認されず TableCheck、特集ページの誤設定で誤って別のユーザーの個人情報が表示される NECなど4社、サプライチェーン向け国産セキュリティサービス　AI利用制御・EDR・24時間SOCを統合 サイバー攻撃集団 ロックビット(LockBit)とは？ 富士通で個人情報漏洩の恐れ　マルウェア感染も 不正アクセスで「よどいこ！」から個人情報流出の可能性 モバイルファクトリーがSuishow 株式会社の現代表取締役へ訴訟提起 背景に「NauNau」のセキュリティ管理問題か？ 国分生協病院がランサムウェア攻撃を受け、一部診療記録のPDFが閲覧不可に

投稿者：三村

セキュリティ製品を手がける上場企業にて、SOC（セキュリティオペレーションセンター）運営およびWebアプリケーション脆弱性診断の営業に8年間従事。その後、システムエンジニアへ転身し、MDMや人事系SaaSの開発に携わる。
8年の実務経験と開発者としての知見を活かし、「セキュリティ対策Lab」ではダークウェブ調査、セキュリティインシデントの分析、および高度なセキュリティ対策解説の執筆・編集を統括しています。
LinkedIn(外部サイト)