ブラストメールの不正アクセス 第2報｜配信先リストなどの漏えい344件
公開
メール配信サービス「ブラストメール」への不正アクセスについて、ラクスライトクラウドは2026年10月24日13時20分の更新で、契約者の情報以外（配信先のリストなど）の漏えいを確認した契約が344件になったと公表しました（ブラストメールのお知らせ）。 10月23日17時の更新の288件から、56件増えました。判明している対象すべてに個別の連絡を終えたとしています。 ブラストメールを使っている会社と、その会社のメールマガジンなどの配信先になっている人に関係します。サービスは10月21日から止まったままです。
公表された内容
- 配信先のリストなどの漏えい：契約者の情報以外の漏えいを確認した契約は344件。追加で分かった56件を含め、すべてに個別の連絡を終えたとしています。数は現時点のもので、外部の機関の調査によって変わるおそれがあるとしています（2026年10月24日13時20分の更新）
- すべての契約者の情報：販売管理システムから、全契約者の会社名・担当者名・電話番号・メールアドレス・請求先のメールアドレス・契約と支払いの履歴などが持ち出されたことを確認したとしています。クレジットカード番号は保持していないため対象外です
- 原因：外部の第三者が API 用のサーバー2台に侵入してコマンドを実行し、そこから販売管理システムとサービスのデータベースに接続してデータを持ち出したとしています。侵入の経路の詳しいことは調査中です
- サービスの停止：管理画面と API は10月21日0時30分から、メールの配信は同日1時ごろから停止。詳しい調査と安全の確認をしており、再開は未定です
- 調査：専門の機関による外部の調査を続けており、進み具合と完了のめどは分かりしだい知らせるとしています
- 個人情報保護委員会への報告：報告を考えている契約者の会社と、連名での報告に対応するとしています
- 今後の報告：次は10月25日（日）10時ごろ。土日も報告を続けるとしています
経緯
- 2026年10月21日：管理画面・API とメールの配信を止め、不正アクセスによるデータの持ち出しを公表（ラクスの第1報・第2報）
- 2026年10月22日：対象の契約者への個別の連絡を開始
- 2026年10月23日：17時の更新で、契約者の情報以外の漏えいを確認した契約を288件とした
- 2026年10月24日：13時20分の更新で344件に。判明しているすべての対象への個別の連絡を終えた
中小企業が今日からできること
- 個別の連絡が届いていないかをもう一度確かめる：ブラストメールを使っている会社は、担当者のメールに届いた連絡を確かめる。数は追加で増えているため、前に確かめた会社も見直す
- 配信先の客への説明を決める：配信先のリストの漏えいが自社で確認されたら、客にいつ・どの方法で知らせるか、個人情報保護委員会への報告をどうするか（連名での報告も選べる）を決める
- 配信の再開を待つ間の手段を用意する：再開は未定のため、予定していた案内を別の方法で送るか、延期するかを決め、客への説明を用意する
- 詐欺メールへの注意を社内と客に伝える：持ち出された会社名・担当者名・メールアドレスを使い、ブラストメールや自社を名乗る不審なメールが届くおそれがある
- 外部のサービスに預けているリストを減らす：使い終わった配信先のリストや、要らない項目を消し、漏えいしたときの範囲を小さくする