ブラストメールの不正アクセス｜公表と続報のまとめ

何が起きたか

2026年10月21日、ラクスの子会社のラクスライトクラウドは、メール配信サービス「ブラストメール」への外部の第三者による不正アクセスで、顧客の個人情報を含むデータが持ち出されたと公表しました（ラクスの発表）。 第三者が API 用のサーバー2台に侵入してコマンドを実行し、販売管理システムとサービスのデータベースに接続してデータを持ち出したとしています。 すべての契約者の会社名・担当者名・電話番号・メールアドレス・請求先のメールアドレス・契約と支払いの履歴など、一部の契約者の配信先のリストなどが対象です。クレジットカード番号は保持していないとしています。件数と侵入の経路は調査中です（2026年10月22日17時の更新）。

会社の対応

• 10月21日0時30分から管理画面と API を、同日1時ごろからメールの配信を停止。再開は未定
• 10月22日14時ごろから、対象の契約者へ個別の連絡を開始
• 漏えいの対象の精査を進め、10月23日10時ごろをめどに状況を知らせるとしている
• システムの安全の確認と復旧、再発防止策を進めるとしている

この事例から中小企業が学べること

• メール配信・フォーム・顧客管理など、客の情報を預けているクラウドのサービスと、預けている項目を一覧にしておく
• 配信先のリストは必要な分だけを預け、使い終わったリストは消す
• 外部のサービスが止まったときに、客への連絡を別の方法で送れるようにしておく
• 漏えいのあとは自社や取引先を名乗る詐欺メールが増えるため、社内と客に注意を呼びかける手順を決めておく
• API の鍵や連携の設定を一覧にし、すぐ切り替えられるようにしておく