概要

ラクスライトクラウドは不審なアクセスを検知し、2026年10月21日0時30分にブラストメールの管理画面とAPIを緊急停止した。メール配信も1時頃に止まった。外部の第三者がAPI用サーバー2台に侵入してコマンドを実行し、販売管理システムとサービスのデータベースに接続してデータを持ち出した。契約者情報（会社名、担当者名、電話番号、メールアドレス、請求先メールアドレス、契約・支払履歴など）は全契約者分が持ち出された。配信先リストなどの漏えいが確認された契約は10月23日時点で288件、10月24日に344件、10月26日に345件へ増えた。影響は契約者の委託元や関係会社にも広がり、東京都、横浜市、東北電力フロンティア、東邦HD、名古屋銀行、カカオピッコマ（約100万件）、アルク、新潟日報社、NHK出版、東京メトロなど、10月27日までに197組織が自ら公表した。配信基盤にブラストメールを使う「アイ・メール」も影響範囲に含まれる。サービス再開は未定で、専門機関による外部調査が続いている。

経緯

経緯情報は未登録です。

原因

外部の第三者がAPI用サーバー2台に侵入してコマンドを実行し、販売管理システムとサービスのデータベースに接続してデータを持ち出した。侵入経路の詳細は調査中。

攻撃手法

公表情報で確認できる攻撃手法はありません（推測による割り当ては行っていません）。

影響範囲

影響を受けたユーザー数

不明

サービス停止

あり

金銭的被害

不明

対象システム

ブラストメール API用サーバー、販売管理システム、ブラストメール サービスデータベース、アイ・メール配信基盤

漏洩した情報

• 確認済み全契約者の会社名・担当者名・電話番号・メールアドレス・請求先メールアドレス
• 確認済み契約および支払の履歴
• 確認済み345契約の配信先リストなどメール配信に関する情報（メールアドレス、氏名など）
• 可能性ありログインID・パスワード・APIキー（アイ・メール）

全契約者の契約者情報が持ち出され、345契約で配信先リストなどの漏えいが確認された。10月27日までに197組織が影響を公表し、そのうち36組織が配信先リストの漏えいを公表した。カカオピッコマの1,002,404件をはじめ、件数が数万〜数十万件に及ぶ組織が多数ある。サービスは10月21日から停止しており、再開は未定。クレジットカード番号は保持していない。

対応

不審なアクセスを検知して管理画面・APIとメール配信を緊急停止した。該当する契約者には個別に連絡し（345件完了）、個人情報保護委員会への連名報告を受け付けた。専門機関による外部調査を続けている。

• 管理画面・APIの緊急停止とメール配信の停止
• 漏えいが確認された契約者への個別連絡
• 個人情報保護委員会への連名報告の受付（申込期限10月29日）
• 専門機関による外部調査
• 定期的な続報の公表

教訓・対策

• SaaS型のメール配信基盤が侵害されると、多数の委託元・再委託元の組織に影響が連鎖する
• APIサーバーから販売管理システムや本番DBへ直接接続できない、ネットワークと権限の分離が必要
• OEM提供先の環境は一般環境と分離しておくべき
• 委託先が扱う配信先リストの範囲や保存期間を把握し、不要なデータを残さない

参考資料

1. メール配信サービス「ブラストメール」への不正アクセスについてまとめてみた
   piyolog公開日: 2026-10-27報道二次情報取得日: 2026-11-01

関連情報

関連するCVE

関連付けられたCVEはありません。

関連組織

ラクスライトクラウド

関連するインシデント

関連付けられたインシデントはありません。