ピッコマのメールアドレス100万2,404件が漏洩、ブラストメールへの不正アクセスが波及

電子マンガ・ノベルサービス「ピッコマ」を運営する株式会社カカオピッコマは2026年10月24日、メールマガジン配信に利用している外部サービス「ブラストメール」への不正アクセスにより、ピッコマのメールマガジン1回分の配信先メールアドレス1,002,404件が流出したと発表しました。

流出したのはメールアドレスのみで、管理番号や最終課金日などの情報は含まれていないとしています。ピッコマのアプリ・Webサービス自体への不正アクセスはなく、アカウント、パスワード、購入情報にも影響はないと説明しました。カカオピッコマはメールマガジンの配信を停止し、対象者には個別に連絡する方針です。

ピッコマのメールアドレス流出に関するサマリー

• 公表日：2026年10月24日
• 公表元：株式会社カカオピッコマ
• 不正アクセスを受けたサービス：株式会社ラクスライトクラウドが提供するメール配信システム「ブラストメール」
• 流出確認件数：1,002,404件（ピッコマのメールマガジン1回分の配信先）
• 流出した情報：メールアドレスのみ
• 流出対象外と説明した情報：顧客識別用の管理番号、最終課金日、氏名、クレジットカード情報、パスワードなど
• ピッコマのアカウント・購入情報：影響なし。アプリ・Webサービスは通常どおり利用可能
• ピッコマノベルズのメールマガジン：10月24日時点で流出は確認されていない
• 10月21日午前0時30分ごろ：ブラストメールの運営会社が不審アクセスを検知し、全サービスを停止
• 10月24日：カカオピッコマが配信先情報の流出について連絡を受け、公表
• カカオピッコマの対応：メルマガ配信停止、なりすまし対策の設定変更、個人情報保護委員会への報告、対象者への個別連絡

メルマガ1回分の宛先100万2,404件が流出　メールアドレス以外は対象外

カカオピッコマによると、流出したのはピッコマのメールマガジン1回分の配信において、宛先となっていたメールアドレス1,002,404件です。この数字は同社が公表した配信先の件数であり、重複を除いた実人数やピッコマの全利用者数を表すものではありません。

同社は、現時点の調査で流出した情報はメールアドレスのみで、顧客を識別するための管理番号や最終課金日などは含まれていないと説明しています。また、氏名とクレジットカード情報は同社で保有していないとしています。パスワードについても、ブラストメール側に預けていないため、今回の不正アクセスで流出する可能性はないと説明しました。

また、ピッコマノベルズのメールマガジンについては、10月24日時点で流出を確認していないとしています。ピッコマのアプリやWebサービス、購入履歴を扱うシステムが侵害された事案とは区別する必要があります。

10月21日にブラストメールが緊急停止、24日にピッコマへ流出を報告

公式発表では、10月21日午前0時30分ごろ、ブラストメールの運営会社が不審なアクセスを検知し、全サービスを停止しました。その後、運営会社による調査が進められ、10月24日、カカオピッコマに対して同社のメールマガジンの配信先メールアドレスが流出したとの報告がありました。

ブラストメールを提供するラクスライトクラウドの親会社、株式会社ラクスは10月21日の第2報で、第三者がAPI用サーバー2台に侵入してコマンドを実行し、販売管理システムとサービスのデータベースに接続して情報を外部へ持ち出していたことを公表しています。

同サービスでは、全契約者の販売管理情報に加え、一部契約者のメール配信先リストの流出が確認されています。今回のピッコマの発表は、その委託先被害が具体的な利用企業の配信先に及んだことを示すものです。

侵害されたシステムや他の利用企業への影響は、セキュリティ対策Labのブラストメールへの不正アクセスとデータ持ち出しの解説記事と影響企業・自治体のまとめ記事で整理しています。

メルマガを停止し、なりすまし対策を変更　対象者には個別連絡へ

カカオピッコマは現在、ブラストメールを利用したメールマガジンの配信を停止しています。加えて、ブラストメールから送信されるメールがピッコマの正規メールとして取り扱われないよう、設定を変更したと公表しました。具体的な認証方式やDNS設定の変更内容までは説明していません。

同社は個人情報保護委員会への報告を完了し、ラクスライトクラウドと連携して流出した情報の詳細や対象となる利用者の確認を進めています。対象者には個別に連絡するとしています。

メールアドレスのみの流出でも、ピッコマを装った偽メールやSMSの送信先として悪用される恐れがあります。同社は、身に覚えのないメッセージのリンクを開かず、個人情報やパスワードを入力しないよう利用者に注意を呼びかけています。ピッコマがメールでパスワードやクレジットカード情報の入力を求めることはないとしています。

配信委託先の事故が100万件規模の利用者情報に波及

今回、流出が確認されたのはメルマガの配信に必要なメールアドレスであり、ピッコマのアカウント管理情報や決済情報ではありません。それでも、配信システムを外部に委託することで、サービス本体が侵害されなくても100万件規模の顧客連絡先が影響を受ける事態となりました。

企業の情報システム部門や個人情報管理部門では、配信委託先に預けているデータの項目、リストごとの件数、実際の配信履歴を把握することが被害範囲の特定につながります。また、外部配信基盤が停止した際の代替連絡手段や、委託先から送信されるメールの認証・なりすまし対策も確認事項となります。

カカオピッコマは新たな事実が判明した場合、公式のお知らせページで公表するとしています。

出典

• 株式会社ラクスライトクラウドのメール配信システム「ブラストメール」への不正アクセスによるお客様のメールアドレス流出に関するお知らせとお詫び（第1報）―株式会社カカオピッコマ（2026年10月24日）
• 【第2報】当社子会社が提供する「ブラストメール」における不正アクセスによる情報漏えいおよびサービス停止について―株式会社ラクス（2026年10月21日）
• 【第1報】当社子会社が提供する「ブラストメール」における不審なアクセスの検知およびサービス停止について―株式会社ラクス（2026年10月21日