ラクスライトクラウド「ブラストメール」への不正アクセス（全契約者情報および配信リストの流出）
公表日
ラクスライトクラウドのメール配信サービス「ブラストメール」が不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受け、全契約者の情報および一部顧客の配信先リストが外部へ持ち出されました。
対象者は？
ブラストメールを利用している全契約企業・団体の担当者情報（会社名、担当者名、電話番号、メールアドレス、請求先メールアドレス、契約・支払履歴など）、および一部契約者が登録していた配信先リストに含まれる個人。なお、クレジットカード番号は同社が保持していないため含まれていません。
ブラストメールを利用している企業・団体からの公表や案内、またはラクスライトクラウドからの個別通知を確認してください。
いますぐできること
- 利用している企業や自治体、登録中のメールマガジンなどを騙る不審なメールやフィッシング銀行・通販サイト・宅配業者・公的機関などを装ったメールやSMSを送り、本物そっくりの偽サイトに誘導して、IDやパスワード、カード番号などを入力させる手口です。SMSを使うものは「スミッシング」、電話を使うものは「ビッシング」とも呼ばれます。詐欺に注意し、心当たりのないURLや添付ファイルを安易に開かない。
- ブラストメールを契約している企業は、自社が登録していた配信データの内容を確認し、影響が懸念される場合は自社の利用者へ向けた注意喚起を行う。
何が起きたのか
2026年10月21日未明、メール配信サービス「ブラストメール」で不審なアクセスが検知され、管理画面やAPI、メール配信機能が緊急停止されました。調査の結果、第三者がAPI用サーバー2台に侵入してコマンドを実行し、販売管理システムやサービスデータベースに接続してデータを持ち出したことが確認されました。これにより全契約者の企業・担当者情報と、一部契約者のメール配信先リストが外部に持ち出され、サービスを利用する多くの企業や自治体に影響が及んでいます。
なぜ起きたのか・なぜ広がったのか
攻撃者がAPI用サーバー2台に侵入し、そこから社内の販売管理システムやデータベースにアクセスできる状態になっていたためです。API用サーバーへどのような手口で侵入したのかという具体的な経路は調査中とされています。
いまの状況2026-10-23 時点続報待ち
ブラストメールは2026年10月21日からサービス停止が継続しており、安全確認と調査が行われていますが再開時期は未定です。漏えいが確認された契約者に対しては10月22日から順次個別連絡が行われています。なお、親会社のラクスが予防的措置として一時停止した別サービス7件は安全確認を終えて再開されています。
企業として考えたいこと
自社が利用している外部クラウドサービスがサイバー攻撃を受けた際、預けている顧客データの影響範囲を迅速に特定し、利用者へ適切な注意喚起や対応を行える手順が整っていますか？
技術的な要約
株式会社ラクスの子会社である株式会社ラクスライトクラウドが提供するメール配信サービス「ブラストメール」において、外部の第三者による不正アクセスが発生した。2026年10月21日未明にシステムへの不審なアクセスを検知してサービスを緊急停止した後の調査で、攻撃者がAPI用サーバー2台に侵入してコマンドを実行し、販売管理システムやサービスデータベースに接続してデータを持ち出したことが確認された。これにより販売管理システムに登録されていた全契約者の情報が持ち出されたほか、一部契約者ではメール配信先リストの漏えいも確認された。利用企業や自治体など少なくとも51項目で会員や登録者のメールアドレス等が漏えいした可能性が公表され、サービスは停止が継続している。
攻撃の分類
- 侵入口
- 不明公表で確認外部の第三者がAPI用サーバー2台に侵入してコマンドを実行したが、API用サーバーへの具体的な侵入経路や手口は調査中とされている。
- 脆弱性
- CVE 非公表不明API用サーバー具体的な侵入手口や悪用された脆弱性の有無については調査中とされている。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 2026年10月21日午前0時30分より管理画面およびAPIを緊急停止し、同日午前1時頃よりメール配信を停止した。詳細な調査とシステムの安全確認のためサービス停止が継続しており、再開時期は未定となっている。期間：2026-10-21から継続中
- データ
- 確定上限 —確定 —件取引先情報メール氏名電話販売管理システムの全契約者について、会社名、担当者名、電話番号、メールアドレス、請求先メールアドレス、契約および支払履歴などの外部持ち出しが確定。また一部顧客について配信先リストなどメール配信に関する情報の漏えいも確認されている。クレジットカード番号は保持していない。
- 波及先
- 51 項目
- 東北電力フロンティア（eポイントモール）：最大約10万件のメールアドレス・内部管理IDが対象の可能性
- JR四国：ツアーウェブ会員約3万件の個人情報が漏えいした可能性
- MIRARTHホールディングス（タカラレーベンDLPS）：会員約1万1,300件の氏名・メールアドレス・住所が漏えいした可能性
- 沖縄県南城市：尚巴志ハーフマラソン大会関係者1万1,117件のメールアドレスが漏えいした可能性
- 横浜市：GREEN×EXPO関連ボランティア応募者6,334人の個人情報が漏えいした可能性
- 十日町市：市内農業者向けメール配信登録者599人分の個人情報が流出した可能性
- ヌーラボ、医書ジェーピー、subsclife、クラシコム、事業構想オンライン等におけるメール配信リスト・登録情報の漏えい懸念
- 金銭影響
- —
- サプライチェーン
- ラクスライトクラウドが提供するメール配信ASP「ブラストメール」のAPIサーバーが侵害されたことで、同サービスを利用していた民間企業や自治体など多数の契約者の配信リスト・登録者情報が外部漏えいリスクに晒された。
時系列
技術解説
APIサーバーへの不正侵入とデータ持ち出しの経緯 事実
ラクスライトクラウドの公表によると、2026年10月21日未明にシステムへの不審なアクセスが検知され、同日午前0時30分に「ブラストメール」の管理画面およびAPIが緊急停止、午前1時頃にはメール配信機能も停止された。調査の結果、外部の第三者が同サービスのAPI用サーバー2台に侵入し、内部でコマンドを実行していたことが確認された。攻撃者はこのAPI用サーバーを経由して販売管理システムおよびサービスのデータベースに接続し、データを外部へ持ち出した。販売管理システムからはすべての契約者に関する会社名、担当者名、電話番号、メールアドレス、請求先メールアドレス、契約・支払履歴などの情報が持ち出され、一部の顧客についてはメール配信先リストの漏えいも確認されている。API用サーバーへの具体的な侵入経路や悪用された脆弱性の有無については、発表時点で引き続き調査中とされている。
公開APIサーバーを起点とした内部システムへのアクセス構造 解釈
本件では、攻撃者が外部に露出していたAPI用サーバー2台に足場を築いた後、コマンド実行を通じて販売管理システムとサービス用データベースという異なる性質のデータ領域にアクセスしている。APIサーバーは通常、外部からのリクエストを処理するために内部ネットワーク上のデータベースや他システムへの通信権限を持つが、サーバー上で任意のコマンド実行が許容された場合、その権限が悪用されて内部ネットワークの探索やデータ収集に利用されるリスクを孕む。特に販売管理システムのような契約・請求情報を扱うバックオフィス系システムと、メール配信処理を担うサービス用データベースの双方が同一のAPIサーバーから接続可能なネットワーク構成や認証状態になっていたことが、契約者情報と配信リストという2種類の機微データが同時に持ち出される要因になったとみられる。
メール配信ASP侵害によるサプライチェーン波及と初動対応 解釈
メール配信プラットフォームの侵害は、同サービスを利用する契約企業だけでなく、その配信先に登録された一般ユーザーにまで被害が波及する典型的なサプライチェーンインシデントとなった。公表時点で東北電力フロンティア、JR四国、MIRARTHホールディングス、横浜市、南城市など少なくとも51項目の企業・自治体・サービスが個人情報漏えいの懸念や影響を公表する事態に発展している。一方で、運営元の初動としては検知後速やかに管理画面やAPIを遮断し、個人情報保護委員会およびJIPDECへの即日報告、該当契約者への個別通知を開始した。また親会社のラクスが「楽楽販売」など自社7サービスを予防的措置として一時停止し、安全確認を行った上で翌日順次再開させるなど、グループ全体への水平展開リスクを早期に遮断しようとする姿勢が取られた。
対応
- 封じ込め
- 不審なアクセス検知に伴い2026年10月21日0時30分にブラストメールの管理画面およびAPIを緊急停止し、同日1時頃にメール配信を停止した。また、親会社のラクスは予防的措置として自社7サービス（楽楽販売、楽楽勤怠等）を一時停止して緊急メンテナンスを実施した（翌22日に順次再開）。
- 公表の仕方
- 2026年10月21日に親会社のラクスが第1報および第2報を公表し、APIサーバーへの侵入と全契約者の販売管理情報持ち出しの事実を公表した。漏えいが確認された契約者に対しては10月22日14時頃より個別に順次連絡を開始した。
- 当局対応
- 個人情報保護委員会
- 一般財団法人日本情報経済社会推進協会（JIPDEC）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 外部公開APIサーバーにおけるコマンド実行リスクの極小化と監視 | APIサーバーのOSおよびミドルウェアに対するパッチ適用を徹底するとともに、Webアプリケーションファイアウォール（WAF）による不正リクエスト遮断や、サーバー上での不審プロセスの起動・コマンド実行を検知・隔離するEDRの導入と監視を行う。 |
| APIサーバーと基幹・販売管理システム間のネットワーク分離とアクセス制御 | サービス提供用APIサーバーから販売管理システムや内部管理用データベースへの通信経路を厳格に分離し、APIの正規機能に不要なセグメント間通信はファイアウォールやセキュリティグループで原則遮断するマイクロセグメンテーションを実装する。 |
| データベース接続における最小特権の原則と認証情報の保護 | APIサーバーからデータベースへの接続アカウントに対して必要最小限の権限（特定テーブルの参照・更新のみなど）を設定し、全テーブルの一括出力や管理系データの参照を制限する。また接続用認証情報の平文保存を避け、動的シークレット管理を活用する。 |
| SaaS利用組織における外部委託データの最小化とインシデント時連携の確立 | 外部のメール配信ASPやSaaSを利用する際は、配信業務に不要な属性情報（氏名、住所、顧客ID等）を極力登録せずメールアドレスのみに絞るなどデータ投入を最小化し、委託先侵害時における連絡受付・影響範囲特定の体制をあらかじめ定めておく。 |
自組織などでの確認項目
- 自社の外部公開サーバー（APIサーバーやWebサーバー）から、社内基幹システムや販売管理システムへの通信経路が不要に開通していないか確認されているか。
- サーバー上でシェルや不正な管理コマンドが実行された際に、リアルタイムでアラートを発報し遮断できる監視体制（EDR・SIEM等）が整っているか。
- メール配信ASPなど外部SaaSに顧客情報を連携する際、業務に必要な最小限の項目に絞られているか、不要な個人情報が蓄積されていないか。
未解明点
- 攻撃者がAPI用サーバー2台に最初に侵入した際の手口（公開脆弱性の悪用、認証情報の漏えい、設定不備など）の具体的な根本原因。
- 販売管理システムに登録されていた「全契約者」の総件数、および配信先リストの漏えい対象となった契約者数と登録エンドユーザーの総流出件数。
出典
- 1株式会社アクト2026-10-22報道本文確認済
- 2医書ジェーピー株式会社2026-10-22公式本文確認済
- 3JAPANSecuritySummit Update2026-10-22報道本文確認済
- 4株式会社にぎわい研究所2026-10-21報道本文確認済
- 5TeNYテレビ新潟2026-10-22報道本文確認済
- 6株式会社ヌーラボ2026-10-22公式本文確認済
- 7セキュリティ対策Lab（合同会社ロケットボーイズ）2026-10-23報道本文確認済
- 8セキュリティ対策Lab2026-10-22報道本文確認済
- 9ScanNetSecurity2026-10-23報道本文確認済
- 10subsclife（株式会社ソーシャルインテリア）2026-10-21公式本文確認済
- 11株式会社ラクス2026-10-21公式本文確認済
- 12サンライトヒューマンTDMC株式会社2026-10-22公式本文確認済