カカオピッコマのメールアドレス流出 第2報｜10月14日配信分の約100万件で確定

株式会社カカオピッコマは2026年10月28日、メール配信の委託先「ブラストメール」（ラクスライトクラウド）への不正アクセスによる、ピッコマ利用者のメールアドレス流出の第2報を出しました。 流出したのは、2026年10月14日18時に配信したメールマガジンの宛先1,002,404件で、ラクスライトクラウドから「この配信での流出件数はこれ以上増えない」との報告を受けたとしています（カカオピッコマの2026年10月28日の発表・第2報）。 ピッコマのメールマガジンを受け取っていた利用者に関係します。

公表された内容

• 流出した配信：2026年10月14日18時のメールマガジン1回分の宛先（第1報では日時は公表されていませんでした）
• 件数：1,002,404件で、第1報から変わっていません。委託先から、この配信での件数はこれ以上増えないと報告を受けたとしています（2026年10月28日の発表）
• 情報の種類：メールアドレスだけで、パスワードが流出したおそれはないとしています
• 対象者への連絡：準備ができしだい、ピッコマのアプリ・Web の中のメッセージと、流出したメールアドレスへのメールで順に知らせるとしています
• 偽のメールの見分け方：同社から送るメールにはリンクを一切入れず、パスワード・個人情報・クレジットカード情報の入力も求めないとしています。リンクがあるメールや入力を求めるメールは同社からのものではないとして、開かずに消すよう呼びかけています
• 原因：委託先のシステムへの不正アクセスとしています。侵入の方法は、カカオピッコマの発表には書かれていません

経緯

• 2026年10月14日18時：ピッコマのメールマガジンを配信（今回流出した宛先の配信）
• 2026年10月21日：ラクスライトクラウドが、ブラストメールへの不正アクセスを公表し、サービスを停止
• 2026年10月24日：カカオピッコマが第1報。メールマガジン1回分の宛先1,002,404件の流出を公表
• 2026年10月28日：第2報。流出した配信が10月14日18時の分であること、件数がこれ以上増えないこと、対象者への連絡の方法を公表

中小企業が今日からできること

• 「自社のメールにはリンクを入れない」と決めて先に知らせる：漏えいのお知らせやお詫びのメールにリンクを入れないと決め、Web サイトで先に伝えておくと、偽のメールとの見分けがつきやすくなる
• 配信の記録を残しておく：いつ、どのリストに、何件送ったかを残しておくと、委託先から漏えいの報告を受けたときに、対象の配信と件数をすぐに特定できる
• 対象者への連絡の手段を2つ用意する：メールだけでなく、マイページやアプリのお知らせなど、偽物が入り込めない場所からも知らせられるようにしておく
• 委託先に件数の確定を確かめる：委託先の報告を受けたら、件数が増える可能性があるか、調査が終わったかを必ず確かめ、確定したら続報で知らせる