ラクスライトクラウド「ブラストメール」の不正アクセス(2026年10月公表)
結論から
- ラクスの子会社ラクスライトクラウドは、メール配信サービス「ブラストメール」のAPI用サーバー2台に侵入され、データを持ち出されたと2026年10月21日に公表しました。全契約者の契約者情報が漏えいし、配信先リストなどの漏えいを確認した契約は345件です。
- 利用企業・団体の公表が続いています。カカオピッコマはメールマガジンの宛先1,002,404件、アルクは約31万件、東京都の関係団体は最大約16,000件としています。
- サービスは10月21日から止まっており、11月11日ごろの再開を目指しています。個人情報保護委員会への連名報告は11月5日まで受け付けています。侵入経路は調査中です(2026年10月30日時点)。
概要
- 公表日
- 2026年10月21日
- 検知・発覚
- 2026年10月20日
- 最新の公表
- 2026年10月30日
- 組織・業種
- ラクスライトクラウド「ブラストメール」(メール配信サービス。利用企業・自治体の配信先に波及)(メール配信SaaS / IT・SaaS・SI・BPO)
- 漏えいした情報・件数
- 全契約者の契約者情報(会社名、担当者名、電話番号、メールアドレス、請求先のメールアドレス、契約と支払いの履歴など)。契約者情報以外(配信先リストなど)の漏えいを確認した契約は345件で、全件に個別連絡済み(2026-10-30 12:00時点)。クレジットカード番号は保持していない
- 業務への影響
- 2026-10-21 0:30ごろから管理画面・API、1:00ごろからメール配信を停止。11月11日ごろの再開を目指す(日程は変わる可能性あり。OEM版は再開の目途が未定)
- 行政の対応
- 個人情報保護委員会・JIPDEC・総務省関東総合通信局に報告し、警視庁に通報。契約者の個人情報保護委員会への報告は、民間は連名報告、行政機関・自治体は代行報告を取りまとめ(第2次受付は2026-11-05まで)
この事案の続報をメールで受け取る
続報(調査結果・侵入経路・再発防止策の公表)が出たらお知らせします。登録はメールアドレスだけです。
会社・サービス別の影響と復旧状況(2026年10月30日12時時点(各社の公表は記載の日付時点))
| 会社・サービス | 止まったもの | 2026年10月30日12時時点(各社の公表は記載の日付時点)の状況 |
|---|---|---|
| ブラストメール(管理画面・API・メール配信) | 2026-10-21 0:30ごろ(配信は1:00ごろ) | 停止中。11月11日ごろの再開を目指すが、日程は変わる可能性がある。OEM版は再開の目途が未定 [1] |
| ラクスグループの他のクラウドサービス(楽楽精算など) | なし | 本件の影響と、利用者の情報漏えいは確認されていない(10月28日の追記) [4] |
| カカオピッコマ(ピッコマのメールマガジン) | 記載なし | 10月14日18時配信のメールマガジンの宛先メールアドレス1,002,404件が流出(10月28日の第2報)。流出はメールアドレスのみで、パスワード流出の可能性はないとしている。対象者にアプリ内メッセージとメールで順次連絡 [5] |
| アルク(ALC News +) | ブラストメールを使った配信を停止 | 配信先のメールアドレスと管理用の番号など約31万件が漏えい(10月23日時点)。10月30日から11月4日に個別メールを送信。他のメールマガジンでは漏えいは確認されていない(10月30日時点) [6] |
| 東京都農林水産振興財団(東京広域援農ボランティア事業) | サービスの利用とメール配信を停止 | 生産者・ボランティア参加者の氏名・メールアドレス・属性、最大約16,000件が漏えい(10月23日)。ラクスライトクラウドに詳細な報告を求めている [7] |
| 石油資源開発(JAPEXメールマガジン、投資家向けイベント案内) | 記載なし | 漏えいの可能性があり、件数は調査中(10月21日)。自社のネットワーク・システムと事業への影響はないとしている [8] |
経緯
-
21時52分、システム監視のアラートを検知して初動対応を開始。22時39分から、パスワード再設定メールなどのシステムメールの通知を停止 [1]
-
0時27分から全サービスへの通信を社内からだけに制限し、管理画面とAPIを緊急停止。1時ごろにAPIへの外部からの通信を遮断し、メールの配信も止まった [1]
-
1時20分、全契約者に緊急停止の案内メールを送付。4時44分に外部への通信の遮断を完了 [1]
-
親会社ラクスが第1報で不審なアクセスの検知とサービス停止を公表。個人情報保護委員会とJIPDECに報告 [3]
-
17時25分、不正アクセスと、全契約者の契約者情報・一部契約者の配信先リストなどの持ち出しを公表(ラクス第2報) [4]
-
利用企業の石油資源開発が、メールマガジン登録者などの情報の漏えいの可能性を公表 [8]
-
個人情報保護委員会への連名報告・代行報告の案内を公開 [2]
-
東京都が、関係団体の事業の配信先 最大約16,000件の漏えいを公表。アルクも配信先 約31万件の漏えいを公表した [7]
-
カカオピッコマが、メールマガジンの宛先メールアドレスの流出を公表(第1報) [5]
-
ラクスが、グループの他のクラウドサービスへの影響と情報漏えいは確認されていないと追記。ピッコマは第2報で流出を1,002,404件と公表 [4]
-
12時の更新で、前回以降に新たな漏えいが判明した契約はないと報告。連名報告の第2次受付(11月5日まで)を開始。次回の報告は10月31日の予定 [1]
侵入経路と原因
会社によると、外部の第三者がAPI用のサーバー2台に侵入してコマンドを実行しました。そこから販売管理システムとサービスのデータベースに接続し、データを持ち出しました。
サーバーへの侵入経路の詳細は調査中です。専門機関による外部調査が続いており、完了の目途は判明次第知らせるとしています(2026年10月30日時点)。
影響
販売管理システムから、全契約者の会社名、担当者名、電話番号、メールアドレス、請求先のメールアドレス、契約と支払いの履歴などが持ち出されました。クレジットカード番号は保持していないとしています。
一部の契約では、配信先リストなど配信に関する情報も漏えいしました。該当する契約は345件で、全件に個別に連絡済みです。会社は、数値は外部機関の調査で変わる可能性があるとしています(2026年10月30日12時時点)。
配信先リストの持ち主である利用企業・団体が、自社の利用者向けに公表しています。ピッコマはメールアドレス1,002,404件、アルクは約31万件、東京都農林水産振興財団の事業は最大約16,000件です。石油資源開発は件数を調査中としています。
サービスは10月21日から止まっており、利用企業はブラストメールでのメール配信ができない状態です。ラクスグループの他のクラウドサービスへの影響は確認されていません。
会社の対応と再発防止策
会社は検知から約2時間半後に管理画面・API・配信を止め、10月21日4時44分に外部への通信の遮断を終えました。専門機関による外部調査を続けています。
配信先リストなどの漏えいを確認した345契約には、全件に個別に連絡しました。個人情報保護委員会・JIPDEC・総務省関東総合通信局に報告し、警視庁に通報しています。
契約者が個人情報保護委員会に報告する手続きを、会社が取りまとめています。民間の企業・団体は連名報告、行政機関・自治体は代行報告で、第2次受付は11月5日23時59分までです。会社が再委託先に当たる場合も対象です。
会社は、連名・代行のどちらでも速報の目安期間を超えたことを報告の遅延として扱わないと、委員会に確認したとしています。一方、本人への通知と、プライバシーマーク付与事業者のJIPDECへの報告は、契約者自身が行う必要があります。
サービスは11月11日ごろの再開を目指し、具体的な日時と手順は確定次第知らせるとしています。原因の究明と再発防止策は全社で進めるとしています(2026年10月30日時点)。
この事案から学べること
- メール配信サービスに預けた配信先リストは、委託先が侵入されると自社の利用者の情報として漏れます。同じ10月には、Cuenote FC や SpeeCAN RAIDEN など、ほかの配信サービスでも不正アクセスが公表されました。
- 委託先が個人情報保護委員会への連名報告を取りまとめましたが、本人への通知は利用企業が行う必要がありました。報告と通知は別の手続きです。
- 配信サービスが止まると、利用企業は自社の利用者へ一斉に連絡する手段を失います。漏えいの連絡を出す時期と、配信が止まる時期が重なりました。
- 配信先リストだけでなく、利用企業の担当者名や連絡先、契約と支払いの履歴も全契約者分が持ち出されました。委託先の販売管理の情報も漏えいの対象になります。
自社で確認すること
- 1 メール配信サービスなどの委託先に、どの配信先リストを、どの項目つきで預けているか一覧にしていますか?
- 2 委託先で漏えいしたとき、個人情報保護委員会への報告と本人への通知を、誰がいつまでに行うか決めていますか?
- 3 配信サービスが長く止まったときに、利用者へ連絡する別の手段を用意していますか?
同じ手口の事案
利用しているSaaS・他社製ソフト
- JAL・ANA(Amadeus) (2026年10月28日) 航空会社が使う予約システムに不正アクセス。JAL・JTAの延べ約9万2,000件の予約情報が対象に
- デジタル庁 (2026年10月22日) Web制作サービス「Studio」への不正アクセスの波及で、問い合わせフォームの入力内容 最大1万3,323件が漏えいした可能性
- バルテック (2026年10月22日) 業務クラウドの脆弱性を突かれてマルウェアを設置され、契約企業1,213件の情報などを外部へ送信。20超のサービスを停止
委託先・取引先経由
- ベネフィット・ワン(トク買) (2026年10月28日) 委託先のシステムに不正アクセス。クレディセゾン会員向け優待サービスの2万9,465人分が漏えい
- JAL・ANA(Amadeus) (2026年10月28日) 航空会社が使う予約システムに不正アクセス。JAL・JTAの延べ約9万2,000件の予約情報が対象に
- デジタル庁 (2026年10月22日) Web制作サービス「Studio」への不正アクセスの波及で、問い合わせフォームの入力内容 最大1万3,323件が漏えいした可能性
関連する事案
- 2026年10月19日 ・ ユミルリンク メール配信サービスなど50システムに不正アクセス。49システムでデータが出力され、漏えいのおそれは延べ最大5,162万8,280件
- 2026年10月13日 ・ SpeeCAN RAIDEN 自治体の防災メールなどに使う配信サービスに不正アクセス。メールアドレス最大約313万6千件が漏えいした可能性
- 2026年10月16日 ・ Studio Web制作サービスの脆弱性を悪用され、全登録顧客のアカウント情報やフォームの送信内容が外部から取得できる状態に
- 2026年8月1日 ・ Eストアー EC構築サービスに不正プログラム。最終報で約2,335万6,000人・7,858店が対象(当初は延べ885万件と発表)
よくあるご質問
- 自社の配信先リストが漏えいしたかどうかは、どうすれば分かりますか?
- 会社は、配信先リストなど契約者情報以外の漏えいを確認した345契約には、全件に個別の連絡を終えたとしています。前回の報告以降、新たに漏えいが判明した契約はないとしています。全契約者の契約者情報(会社名・担当者名・連絡先・契約と支払いの履歴など)は持ち出されています。数値は外部調査で変わる可能性があります(2026年10月30日12時時点)。
- 個人情報保護委員会への報告はどうすればよいですか?
- ラクスライトクラウドとの連名報告(民間の企業・団体、個人事業主)か、同社による代行報告(行政機関・自治体など)を選べます。第2次受付は2026年11月5日23時59分までで、10月29日までに申し込んだ場合は再度の申し込みは不要です。会社は、速報の目安期間を超えても遅延として扱わないことを委員会に確認したとしています。自社で個別に報告する場合は申し込み不要です。
- 配信先の本人への通知は必要ですか?
- 会社の案内では、配信先リストなどの漏えいが確認された契約者は、連名報告・代行報告のどちらを選んでも、本人(読者など)への通知を自社で行う必要があります。プライバシーマーク付与事業者は、JIPDECへの報告も自社で行う必要があります。
- ブラストメールはいつ再開しますか?
- 会社は11月11日ごろの再開を目指していますが、調査や検証の状況で日程は変わる可能性があるとしています。OEM版の再開の目途は未定です。次回の報告は10月31日中の予定です(2026年10月30日12時時点)。
- クレジットカード情報は漏れましたか?
- ラクスライトクラウドは、クレジットカード番号を保持していないとしています。持ち出されたのは、契約者情報と、一部契約の配信先リストなど配信に関する情報です。
出典
- 【重要】ブラストメールの緊急停止および個人情報漏えいに関するお詫びとご報告(2026年10月30日12時00分更新) ↗ (株式会社ラクスライトクラウド、2026-10-30)
- 個人情報保護委員会への連名報告・代行報告に関するご案内 ↗ (株式会社ラクスライトクラウド、2026-10-30)
- 【第1報】当社子会社が提供する「ブラストメール」における不審なアクセスの検知およびサービス停止について ↗ (株式会社ラクス、2026-10-21)
- 【第2報】当社子会社が提供する「ブラストメール」における不正アクセスによる情報漏えいおよびサービス停止について ↗ (株式会社ラクス、2026-10-21)
- 「ブラストメール」への不正アクセスによるお客様のメールアドレス流出に関するお知らせとお詫び(第2報) ↗ (株式会社カカオピッコマ、2026-10-28)
- メール配信サービスへの不正アクセスによるメールアドレス漏えいに関するお詫びとお知らせ(第2報) ↗ (株式会社アルク、2026-10-30)
- メール配信サービスへの不正アクセスによる個人情報の漏えいについて ↗ (東京都、2026-10-23)
- 株式会社ラクスライトクラウドで発生した不正アクセスに伴う個人情報漏えいの可能性について ↗ (石油資源開発株式会社、2026-10-21)
- メール配信システムで契約者情報が流出 - ラクスグループ会社 ↗ (Security NEXT、2026-10-26)
- メール配信システム「ブラストメール」に不正アクセス、データ持ち出しを確認 ↗ (ScanNetSecurity、2026-10-23)