ブラストメールに不正アクセス｜全契約者の会社名・連絡先が持ち出し

メール配信サービス「ブラストメール」を提供するラクスライトクラウド（ラクスの子会社）は2026年10月21日、外部の第三者による不正アクセスで、顧客の個人情報を含むデータが持ち出されたと公表しました。 すべての契約者について、会社名・担当者名・電話番号・メールアドレスなどの持ち出しを確認したとしています（ラクスの2026年10月21日の発表）。 メールマガジンや一斉配信にブラストメールを使っている会社に関係します。サービスは10月21日から止まっています。

公表された内容

• 何が起きたか：外部の第三者が API 用のサーバー2台に侵入してコマンドを実行し、そこから販売管理システムとサービスのデータベースに接続してデータを持ち出したとしています
• すべての契約者の情報：会社名、担当者名、電話番号、メールアドレス、請求先のメールアドレス、契約と支払いの履歴など
• 一部の契約者の情報：配信先のリストなど、メールの配信に関する情報
• 対象外の情報：クレジットカード番号は保持していないとしています
• 件数：公表されていません。漏えいの対象の精査に想定より時間がかかっているとしています（2026年10月22日17時の更新）
• 侵入の経路：調査中としています
• サービスの停止：管理画面と API は10月21日0時30分から、メールの配信は同日1時ごろから停止。再開は未定です
• 会社の対応：10月22日14時ごろから、対象の契約者へ個別の連絡を始めたとしています。精査の状況は10月23日10時ごろをめどに知らせるとしています

中小企業が今日からできること

• 自社が契約者か、配信先のリストを預けていたかを確かめる：ブラストメールを使っているなら、個別の連絡が届いていないかを見る。配信先のリストを預けていた場合、そのリストに載る客や取引先にどう知らせるかを決めておく
• メールの配信を止めている間の連絡の手段を決める：予定していたメールマガジンや一斉の案内を、別の方法で送るか延期するかを決め、客への説明を用意する
• ブラストメールを名乗る連絡と、自社を名乗る詐欺メールに注意する：持ち出された会社名・担当者名・メールアドレスを使った不審なメールが届くおそれがある。社内と、配信先の客に注意を呼びかける
• 外部のサービスに預けている顧客の情報を一覧にする：メール配信・フォーム・顧客管理など、客の情報を預けているクラウドのサービスと、預けている項目を書き出す。要らないリストは消す
• API の鍵や連携の設定を把握しておく：自社のシステムと API でつないでいる場合、使っている鍵と連携先を一覧にし、会社から案内が出たらすぐ切り替えられるようにする