ブラストメールの不正アクセス 続報｜漏えい確認の契約が421件に

メール配信サービス「ブラストメール」への不正アクセスについて、ラクスライトクラウドは2026年11月4日13時10分の更新で、外部の専門機関の調査により、新たに76件の契約で漏えいが分かったと公表しました（ブラストメールのお知らせ）。 契約者の情報以外の漏えいを確認した契約は、10月26日以降の345件から421件に増えました。421件すべてに個別の連絡を終えたとしています。 ブラストメールを使っている会社と、その会社のメールマガジンなどの配信先になっている人に関係します。サービスは10月21日から止まったままです。

公表された内容

• 新たに分かった76件：配信先のアドレスや顧客のリストなどの読者のデータと、メールの本文の漏えいは確認されていないとしています（2026年11月4日の更新）
• 全体の状況：契約者の情報以外の漏えいを確認した契約は421件。数は外部の調査の進み具合で変わるおそれがあるとしています
• 全契約者の情報：販売管理システムから、すべての契約者の会社名・担当者名・電話番号・メールアドレス・請求先のメールアドレス・契約と支払いの履歴などが持ち出されたとしています。クレジットカード番号は保持していないとしています
• 原因：第三者が API 用のサーバー2台に侵入してコマンドを実行し、販売管理システムとサービスのデータベースに接続してデータを持ち出したとしています。侵入の経路の詳しいことは調査中です
• 再開：11月11日（水）ごろの再開を目指すとしています。OEM 版は再開のめどが立っていません

経緯

• 2026年10月20日21時52分：システムの監視の警告で気づき、対応を始める
• 10月21日0時30分ごろ：管理画面と API を緊急に止め、1時ごろからメールの配信も止まる
• 10月21日17時25分：不正アクセスとデータの持ち出しを公表（同日、親会社のラクスも第2報を公表）
• 10月23日17時：契約者の情報以外の漏えいを確認した契約は288件
• 10月24日13時20分：344件に
• 10月26日17時：345件に（11月1日の更新まで変わらず）
• 10月30日12時：11月11日ごろの再開を目指すと公表
• 11月4日13時10分：新たに76件が分かり、421件に

会社の対応

• 新たに分かった76件の契約者には、11月4日にメールで個別に知らせたとしています
• 専門機関による外部の調査を続けています。次の報告は11月5日（木）中の予定です
• 個人情報保護委員会への報告を、契約者の会社と連名で行えるようにしています（行政機関などは代行の報告。10月30日から2回目の受付）
• 個人情報保護委員会などの機関へ報告し、警視庁へ通報したとしています

中小企業が今日からできること

• ブラストメールを使っている会社は、個別の連絡が届いていないか確かめる：契約の担当者のメールアドレスと迷惑メールのフォルダを見て、自社が421件に入っているかを確かめる
• 自社の名前をかたるメールに備える：契約者の会社名・担当者名・連絡先が持ち出されているため、取引先や客に「当社がパスワードやカード番号を聞くことはない」と知らせる文面を用意する
• 再開を待つ間の連絡の手段を決める：大事なお知らせは、別の配信サービスや会員サイトのお知らせなど、別の方法で送れるようにしておく
• 配信サービスに預けているリストを減らす：再開のあとに、使っていない配信先のリストや古い退会者のデータを消す
• 個人情報保護委員会への報告の要否を確かめる：配信先のリストが漏えいした会社は、連名の報告の受付を使うかどうかを、社内で決めておく