ラクスルへの不正アクセス（最大249ファイル流出のおそれ）
公表日
ラクスルの印刷データ入稿の仕組みで、不正に取得された認証情報によりクラウド上のデータが読み取られた可能性があり、最大249ファイルに個人情報が含まれるおそれがあります。
対象者は？
「ラクスル Adobe Express連携」で2025年3月から2026年11月8日までの間に入稿された印刷データが対象です。読み取られた可能性のあるファイルは最大249ファイルで、個人情報の件数や人数とは一致しません。名刺やはがきの宛先など、入稿データに載った第三者の情報が含まれる場合があると報じられています。クレジットカード情報、ログインID、パスワードの漏えいは確認されていません。グループ会社の「ダンボールワン」「トートバッグ工房」「ペライチ」は対象外です。
ラクスルの公式お知らせ（第1報・第2報）を確認してください。同社は問い合わせ窓口を設けています。窓口の連絡先は入力された資料にないため、公式のお知らせをご覧ください。
いますぐできること
- ラクスルを装ったメールやSMS、電話に注意し、心当たりのない連絡のリンクや添付ファイルは開かないでください。
- 「ラクスル Adobe Express連携」でデータを入稿したことがある場合は、公式のお知らせで内容を確認してください。
- 名刺やはがきの宛先など他の人の情報を入稿した場合は、必要に応じて関係者に状況を共有してください。
何が起きたのか
2026年11月8日0時20分ごろ、ラクスルは印刷データ入稿の仕組みへの不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。と異常を把握しました。調べたところ、不正に取得された認証情報により、11月7日3時ごろから11月8日1時ごろまで、クラウド上の保管データにアクセスできる状態でした。同社は認証情報の無効化とアカウントの停止を行い、入稿を伴う一部サービスを止めて安全を確認しました。11月9日に第1報を公表し、11月11日に個人情報保護委員会へ報告しました。11月12日の第2報で、対象は「ラクスル Adobe Express連携」で入稿された印刷データ（最大249ファイル）と発表しました。
なぜ起きたのか・なぜ広がったのか
不正に取得された認証情報が使われ、その権限の範囲でデータにアクセスできる状態になりました。認証情報がどのように取得されたかは公表されていません。
いまの状況2026-11-12 時点続報待ち
2026年11月12日時点で、「ラクスル パッケージ」は11月10日、「デザイン制作依頼サービス」は11月11日に再開しました。11月9日に停止が続くとされた他の2サービス（Adobe Express連携、カタログサイト）の再開は、入力された資料にはありません。停止の影響で、データチェックや出荷に通常より時間がかかる場合があります。個人情報の不正利用などの二次被害は、現時点で確認されていません。流出が確定した件数や、認証情報の取得経路は、まだ発表されていません。
企業として考えたいこと
自社が顧客から預かっているファイルに、取引先や宛先など第三者の個人情報が含まれている場合、保管期間とアクセス権限は最小限になっているでしょうか。
技術的な要約
ラクスル株式会社は2026年11月9日、印刷通販サービス「ラクスル」のデータ入稿処理に関わるシステムが不正アクセスを受けたと発表した。調査の結果、2026年11月7日3時頃から11月8日1時頃までの間、不正取得された認証情報によりクラウド上の保管データにアクセスできる状態となっていたことが判明した。漏えいのおそれがあるのは「ラクスル Adobe Express連携」で入稿された印刷データ（対象期間：2025年3月〜2026年11月8日）で、読み取られた可能性のあるファイルは最大249ファイル（個人情報の件数・人数とは不一致）と発表された。停止していた機能は順次再開され、11月11日に個人情報保護委員会への報告が行われた。クレジットカード情報等の漏えいや不正利用等の二次被害は確認されていない。
攻撃の分類
- 侵入口
- 認証情報窃取・流用公表で確認「ラクスル」のデータ入稿処理に関わるシステムの認証情報が不正に取得され、2026年11月7日3時頃から11月8日1時頃までの間、認証情報の権限の範囲でクラウド上の保管データに外部からアクセスできる状態となっていた（認証情報の取得経路は公表されていない）。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 安全確認のため2026年11月8日よりデータ入稿を伴う一部サービスを停止。11月9日7時から順次再開し、11月10日12時に「ラクスル パッケージ」、11月11日12時に「デザイン制作依頼サービス」の提供を再開した。停止の影響により、データチェックや出荷に通常より時間がかかる場合があると案内されている。期間：2026-11-08 - 継続中
- データ
- おそれ上限 249確定 —件氏名住所電話メール取引先情報業務データその他漏えいのおそれがあるのは「ラクスル Adobe Express連携」で入稿された印刷データ。読み取られた可能性のあるファイルは最大249ファイルで、ファイル数は個人情報の件数や人数とは一致しない。対象期間は同連携機能の提供を開始した2025年3月から2026年11月8日まで。クレジットカード情報、ログインID、パスワードの漏えいは確認されておらず、本件に関連する個人情報の不正利用等の二次被害も確認されていない。なお、グループ会社の「ダンボールワン」「トートバッグ工房」「ペライチ」は対象外とされている。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 印刷通販サービスとして受託・保管していた顧客の入稿データ（名刺に記載された取引先担当者やはがきの宛先などの第三者個人情報を含む）が外部から閲覧可能な状態となり漏えいのおそれが生じた。
時系列
- 2026-11-08 00:20
- 2026-11-08
- 2026-11-08
- 2026-11-09 07:00
- 2026-11-09
- 2026-11-09
- 2026-11-09事案に関する問い合わせ窓口を設置し、同社を装った不審な連絡への注意を呼びかけ8
- 2026-11-09
- 2026-11-07 03:00第三者による不正アクセスにより、認証情報の権限の範囲でクラウド上の保管データにアクセスできる状態となる（11月8日1時頃まで）9
- 2026-11-10 12:00停止していた「ラクスル パッケージ」のサービス提供を再開9
- 2026-11-11個人情報保護委員会へ本件事案を報告9
- 2026-11-11 12:00停止していた「デザイン制作依頼サービス」の提供を再開9
- 2026-11-12ラクスルが第2報を公表。漏えいのおそれがあるのは「ラクスル Adobe Express連携」で入稿された印刷データ（最大249ファイル）であることや、アクセス可能期間、グループ各社が対象外であることなどを発表9
技術解説
確認されている事実：アクセス可能期間と検知 事実
ラクスルの公表によると、不正取得された認証情報により、2026年11月7日3時頃から11月8日1時頃までの間、認証情報の権限の範囲でクラウド上の保管データに外部からアクセスできる状態だった。不正アクセスと異常を把握したのは11月8日0時20分頃で、複数の報道もこの時刻を伝えている。同社は不正に使われた認証情報の無効化と、悪用されたアカウントの停止を11月8日に実施した。検知時刻はアクセス可能だった期間の終了（1時頃）より前にあたる。認証情報がどのような経路で取得されたかは公表されておらず、攻撃者の名称や主張も公表されていない。
確認されている事実：対象データと件数の更新 事実
第1報（11月9日）では、漏えいのおそれがある情報として入稿された印刷データ、請求書、Web郵便データに記載された氏名、会社名、住所、電話番号、メールアドレスが挙げられ、対象件数や期間は調査中とされていた。11月12日の第2報で、漏えいのおそれがあるのは「ラクスル Adobe Express連携」で入稿された印刷データと発表された。対象期間は同連携の提供開始（2025年3月）から2026年11月8日まで。読み取られた可能性のあるファイルは最大249ファイルで、ファイル数は個人情報の件数や人数とは一致しない。流出が確定した件数は公表されていない。クレジットカード情報、ログインID、パスワードの漏えいは確認されていない。
確認されている事実：サービス停止と再開の状況 事実
同社は安全確認のため、11月8日からデータ入稿を伴う一部サービスを停止した。停止していたサービスは11月9日7時から順次再開された。11月9日の時点では「ラクスル パッケージ」「ラクスル Adobe Express連携」「デザイン制作依頼サービス」「カタログサイト」の4サービスの停止が続いていた。その後、「ラクスル パッケージ」は11月10日12時、「デザイン制作依頼サービス」は11月11日12時に再開した。「ラクスル Adobe Express連携」と「カタログサイト」の再開は、入力された資料には記載がない。停止の影響で、データチェックや出荷に通常より時間がかかる場合があると案内されている。
確認されている事実：当局対応・対象外の範囲・別事案 事実
ラクスルは11月9日の第1報の時点で個人情報保護委員会への報告を予定すると発表し、11月11日に報告した。専用の問い合わせ窓口が設けられ、同社を装った不審な連絡への注意も呼びかけられている。グループ会社の「ダンボールワン」「トートバッグ工房」「ペライチ」は本件の対象外とされた。本件に関連する個人情報の不正利用などの二次被害は、現時点で確認されていない。なお報道によると、同社は10月16日に、外部Web制作サービス「Studio」への不正アクセスによりフォーム送信情報6,412件が漏えいした可能性があると公表している。これは今回とは別の事案とされる。
解釈：第三者の個人情報が含まれやすい構造 解釈
入稿された印刷データには、名刺に記載された取引先担当者の情報や、はがきの宛先など、注文者本人以外の個人情報が含まれうると報じられている。この点で、直接の契約関係にない第三者にも影響が及ぶ構造である。最大249ファイルという数字は小さく見えるが、1ファイルに複数の人の情報が入りうるため、影響人数はファイル数から推定できない。件数だけで規模を判断せず、ファイルの中身を基準に影響を評価する必要がある。この見方は公表資料に基づく解釈であり、実際にどのような情報がどれだけ含まれていたかは公表されていない。
解釈：認証情報悪用と検知の観点 解釈
有効な認証情報による保管データへのアクセスは、正規の通信に見えるため境界防御では見分けにくい。今回は、アクセス可能だった期間が約22時間で、検知から無効化までが1日以内に収まっている点は、被害の限定に寄与した可能性がある。一方で、権限の範囲でアクセスできた対象が機能単位の入稿データに絞られていたのか、取得経路は何だったのかは公表されていない。第1報で挙げられた請求書やWeb郵便データが第2報で対象としてどう扱われたかも含め、権限設計と保管ライフサイクルが妥当だったかは、続報を待って検証すべき点である。
対応
- 封じ込め
- 不正に使われた認証情報の無効化、不正アクセスに悪用されたアカウントの停止、データ入稿を伴う関係サービスの一時停止など被害拡大防止措置を実施した。
- 公表の仕方
- 2026年11月9日に公式Webサイトにて第1報を公表し、専用問い合わせ窓口を設置。11月12日の第2報で、アクセス可能期間、対象が「ラクスル Adobe Express連携」の印刷データ最大249ファイルであること、グループ会社が対象外であることなどを発表した。
- 当局対応
- 個人情報保護委員会（2026年11月11日報告済）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 連携機能ごとの認証情報は権限範囲が被害範囲を決める | 機能（入稿連携など）ごとにサービスアカウントを分け、IAMポリシーで読み取り可能なバケットやプレフィックスを必要最小限に絞る。アクセスキーは自動ローテーションし、可能なら長期キーを廃止して短期トークンに置き換える。 |
| 受託データは保管期間が長いほど曝露する範囲が広がる | 印刷工程の完了後は、ストレージのライフサイクルルールで入稿ファイルを自動削除またはアクセス遮断領域へ移す。保管期間の根拠を機能ごとに定義し、期限をコードで管理する。 |
| 有効な認証情報による異常な読み取りを検知する | ストレージの監査ログ（オブジェクト単位のアクセスログ）を集約し、通常と異なる送信元IP、時間帯、取得ファイル数に対するアラートを設定する。しきい値超過時にキーを自動で無効化するRunbookを整備する。 |
| 漏えい対象のファイル範囲を早く特定できるログ設計にする | アクセスログに主体、対象オブジェクトキー、時刻を残し、保持期間を十分に確保する。インシデント時に読み取られた可能性のあるファイルを機能別・期間別に抽出できるクエリを事前に用意する。 |
| 機能単位で停止と再開を切り分けられるようにする | サービスを機能単位で独立して停止できるフラグやルーティングを用意し、安全確認が済んだ系統から再開する手順と判断基準を平時に文書化する。再開状況は公表ページで機能別に更新する。 |
自組織などでの確認項目
- 自組織で使っているAPIキーやサービスアカウントを機能ごとに棚卸しできているか。それぞれが読み書きできるストレージの範囲は最小限か。漏えいが疑われたときに即時無効化できる手順はあるか。
- 顧客から預かった入稿ファイルや業務データについて、保管期間の上限と自動削除ルールは設定されているか。名刺や宛名リストのように第三者の個人情報を含みうるデータを、別扱いにしているか。
- ストレージの監査ログから、特定の認証情報が過去に読み取ったファイルの一覧を、何時間で出せるか。ログの保持期間は被害範囲の特定に足りているか。
- インシデントで機能を停止した場合、どの機能から再開するかを決める基準と担当者は決まっているか。再開状況を利用者に機能別に伝える方法は用意されているか。
未解明点
- 不正取得された認証情報の取得経路（端末の侵害、設定不備、委託先経由など）は何だったのか。公表されていない。
- 第2報で対象とされたAdobe Express連携の印刷データ最大249ファイルのうち、実際に読み取られたことが確認されたファイル数と、影響を受ける人数は何件か。
- 「ラクスル Adobe Express連携」と「カタログサイト」は再開したのか。再開していない場合、いつ再開する見込みか。
- 第1報で挙げられていた請求書やWeb郵便データは、第2報の調査結果では漏えいのおそれの対象に含まれるのか。
- 10月16日に公表された「Studio」への不正アクセス事案と、今回の事案に関連はあるのか。
出典
- 1株式会社アクト2026-11-09報道本文確認済
- 2ラクスル株式会社2026-11-09公式本文確認済
- 3ビジネス＋IT2026-11-09報道本文確認済
- 4CNET Japan2026-11-09報道本文確認済
- 5セキュリティ対策Lab2026-11-09報道本文確認済
- 6ITmedia NEWS2026-11-09報道本文確認済
- 7日本経済新聞2026-11-09報道本文確認済
- 8Impress Watch2026-11-09報道本文確認済
- 9ラクスル株式会社2026-11-12公式本文確認済
- 10ビジネス+IT（SBクリエイティブ株式会社）2026-11-09報道本文確認済