暮らしと制度 / 情報セキュリティ
ブラストメールの不正アクセスで何が漏れたか、延べ900万件
「メールマガジンの配信を停止しました」「登録したメールアドレスが漏えいしたおそれがあります」。10月21日から、会社や自治体のこうしたお知らせが相次いでいます。共通しているのは、メールを送るのに使っていた外部の配信サービスが不正アクセスを受けたことです。何が漏れたのか、登録した人は何を確かめるかを、公表資料をもとにまとめました。
結論
ラクスの子会社が提供するメール配信サービス「ブラストメール」は10月21日、不正アクセスで全契約者の会社名・担当者名・メールアドレスなどと、一部の契約者の配信先リストが持ち出されたと公表しました。そのため、メルマガや防災メールを送っていた会社や自治体が、登録者に漏えいのおそれを知らせています。
ブラストメールの停止
10/21
0時30分から。再開は未定（第2報）
影響を公表した組織
23件
報道のまとめ（10月22日13時20分時点）
ユミルリンクの出力
900万件
延べ約。メールアドレスを含む（試算）
この記事の要点（5項目）
- ラクスの子会社ラクスライトクラウドは10月21日、メール配信サービス「ブラストメール」のAPI用サーバー2台が侵入を受け、顧客の個人情報を含むデータが持ち出されたと公表しました。
- 持ち出されたのは、全契約者の会社名、担当者名、電話番号、メールアドレス、契約・支払い履歴などです。一部の契約者については、配信先リストなどメール配信の情報も含まれます。
- ブラストメールでメルマガや防災メールを送っていた会社や自治体が、配信の停止や漏えいのおそれを公表しています。報道のまとめでは、10月22日昼までに23件の公表がありました。
- 同じ週には、メール配信サービスのユミルリンクも、5つのシステムからメールアドレスを含む情報が延べ約900万件出力されたと試算する第一報を、10月19日に出しています。
- 登録した人は、配信元の会社や自治体の公式サイトで、自分が使っていたメルマガが対象かを確かめます。メールの差出人や本文だけで、本物かどうかを決めないようにします。
ブラストメールで何が起きたのか
この章の結論
ブラストメールは10月21日から止まり、全契約者の情報と一部の配信先リストが持ち出されました。どの配信先リストが対象かは、まだ公表されていません。
ブラストメールは、会社や自治体がメールマガジンや一斉のお知らせを送るための配信サービスです。受け取る人から見ると、差出人は配信元の会社や自治体の名前になっています。
API用サーバー2台に侵入、全契約者の情報が持ち出された
ブラストメールを提供するのは、ラクスの子会社のラクスライトクラウドです。ラクスは10月21日、不審なアクセスを検知して同日0時30分からサービスを止めたとする第1報を出し、同じ日の第2報で、顧客の個人情報を含むデータが持ち出されたことを確かめたと公表しました。
第2報によると、第三者がラクスライトクラウドのAPI用サーバー2台に侵入してコマンドを実行し、販売管理システムとサービスのデータベースに接続してデータを持ち出しました。侵入の経路はまだ確定しておらず、調べているとしています。
| 対象 | 持ち出された情報（ラクスの第2報） |
|---|---|
| 全契約者（販売管理システム） | 会社名、担当者名、電話番号、メールアドレス、請求先メールアドレス、契約・支払い履歴など |
| 一部の契約者 | 配信先リストなど、メール配信に関する情報 |
| 対象外 | クレジットカード番号（保持していないため） |
出典：株式会社ラクス「【第2報】当社子会社が提供する「ブラストメール」における不正アクセスによる情報漏えいおよびサービス停止について」（2026年10月21日）。
配信先リストは「一部の契約者」、件数は未公表
受け取る人に関わるのは、配信先リストです。第2報は、一部の顧客について配信先リストなどの漏えいを確かめたとし、該当する顧客には個別に連絡するとしています。どの契約者の配信先リストが、何件対象になったかは公表されていません。
サービスは10月21日0時30分から止まっていて、第2報の時点で再開の日時は決まっていません。そのため、ブラストメールを使っていた会社や自治体では、漏えいのおそれがなくても、メルマガやお知らせのメールが届かない状態が続いています。
メルマガや防災メールが止まった会社・自治体
この章の結論
メルマガや防災メールを送っていた会社と自治体が、配信の停止や漏えいのおそれを知らせています。対象の項目は、配信元ごとに違います。
ブラストメールを使っていた会社や自治体は、それぞれ登録者に向けてお知らせを出しています。
公表した会社・自治体の例
| 公表した組織 | 対象 | 公表の内容 |
|---|---|---|
| 石油資源開発（JAPEX） | メルマガ登録者、機関投資家・証券アナリスト向けのイベント案内の配信先 | 漏えいの可能性。項目はメールアドレス、案内の配信先は氏名・会社名・住所・電話番号など。件数は調査中 |
| 大分県 | 子育て応援パスポートのメルマガ配信希望者 | 漏えいの可能性 |
| 山梨市（山梨県） | 防災防犯メールの登録メールアドレス | 漏えいのおそれ。防災アプリは対象外 |
| 香美市（高知県） | 登録制メールのメールアドレス | 流出を確認 |
| 湯沢市（秋田県） | 緊急・防災メール | 市の契約者情報の流出を確認。登録者の分は調査中。配信を停止 |
| 琉球新報、BS11 など | ニュースレター、メルマガ | 配信を停止。漏えいの有無は調査中 |
出典：JAPEXは同社のお知らせ（2026年10月21日）、ほかはセキュリティ対策Lab（ロケットボーイズ）のまとめ（10月22日13時20分時点）によります。JAPEX以外の各組織の公式発表は個別に確かめていません。
JAPEXは、同社のネットワークへの侵入ではないとし、今のところ不正に使われた事実は確認していないとしています。漏えいが確かめられた場合は、対象の人に個別に連絡するとしています。
自治体では、防災メールや登録制のお知らせメールに使っていた例があります。配信が止まっている間は、自治体の公式サイトや防災アプリなど、ほかの手段でお知らせを確かめることになります（当社の見方）。
同じ週に、ユミルリンクも第一報
この章の結論
ユミルリンクも、メールアドレスを含む情報が延べ約900万件出力されたと試算しています。どの会社の配信先かは、まだ公表されていません。
メール配信サービスへの攻撃は、ブラストメールだけではありません。
5つのシステムから、延べ約900万件
メール配信サービスを提供するユミルリンクは10月19日、一部のサーバーシステムへの不正なアクセスについて第一報を出しました。10月16日未明に担当者が不正アクセスを確かめ、5つのシステムで不正アクセスとデータの出力があったとしています。出力されたのはメールアドレスを含む情報で、延べ約900万件と試算し、詳しい中身は調べているとしています。
第一報によると、プログラムの脆弱性を使われ、サポートや品質管理の担当者の認証情報を取られたうえで、不正なプログラムを置かれてデータベースからデータを出力されました。影響のあるサーバーを切り離し、脆弱性を直し、捜査機関に届け出たとしています。報道では、対象は「Cuenote FC」の専用ASPプランと伝えられています。
メルマガや防災メールに登録している人が今できる3つのこと
ラクス、ユミルリンク、JAPEXの公表をもとにまとめました。
配信元の公式サイトで、対象かどうかを確かめる
登録しているメルマガや防災メールの配信元（会社や自治体）の公式サイトに、配信の停止や漏えいのお知らせが出ていないかを確かめます。受け取る人からは、どの配信サービスが使われているかは見えません。
差出人の名前だけで、本物と決めない
登録しているメルマガの名前で届いても、リンクを開いてパスワードやカード番号を入れるよう求めるメールには応じません。メールアドレスや所属が漏れていると、登録先を名乗る偽のメールが作られやすくなります（当社の見方）。
防災の情報は、ほかの手段でも受け取る
防災メールが止まっている自治体では、公式サイトや防災アプリ、テレビ・ラジオなど、ほかの手段でお知らせを確かめます（当社の見方）。
よくある質問
- 登録していたメルマガが届かなくなったのはなぜですか
- 配信元の会社や自治体が、ブラストメールなど外部の配信サービスを使っていた場合、そのサービスが止まっていると届きません。ブラストメールは10月21日0時30分から止まっていて、第2報の時点で再開の日時は決まっていません。
- 自分のメールアドレスは漏れましたか
- ブラストメールで配信先リストが漏れたのは一部の契約者で、どの契約者の配信先かは公表されていません。配信元の会社や自治体のお知らせで確かめます。
- 何が漏れたのですか
- ブラストメールでは、全契約者（配信元の会社や自治体）の会社名、担当者名、電話番号、メールアドレス、契約・支払い履歴など、一部の契約者の配信先リストが持ち出されました。クレジットカード番号は保持していないため対象外としています。
- ユミルリンクの件とは関係がありますか
- 別の会社の別のサービスです。ユミルリンクは10月19日、5つのシステムからメールアドレスを含む情報が延べ約900万件出力されたと試算する第一報を出しました。
- 届いたお知らせのメールは本物ですか
- 配信元の会社や自治体の公式サイトに、同じ内容のお知らせがあるかで確かめます。メールのリンクは開かず、パスワードやカード番号を求められても応じません。
- なぜプラスチックパレット株式会社がこの記事を書いているのですか
- 当社は物流資材を扱う会社で、取引先や中小企業に関わる情報漏えいの公表を日々見ています。メルマガや防災メールに登録している人が確かめられるよう、公表資料をもとに整理しました。
出典・エビデンス一覧6件（会社の公表4・報道・まとめ2）
会社の公表
- 株式会社ラクス「【第2報】当社子会社が提供する「ブラストメール」における不正アクセスによる情報漏えいおよびサービス停止について」（2026年10月21日）
- 株式会社ラクス「【第1報】当社子会社が提供する「ブラストメール」における不審なアクセスの検知およびサービス停止について」（2026年10月21日）
- 石油資源開発株式会社「株式会社ラクスライトクラウドで発生した不正アクセスに伴う個人情報漏えいの可能性について」（2026年10月21日）
- ユミルリンク株式会社「当社システムへの不正なアクセスに関するご報告（第一報）」（2026年10月19日、適時開示）
報道・まとめ
- セキュリティ対策Lab「ブラストメールへの不正アクセスによるサイバー攻撃まとめ-JAPEX・ヌーラボ・クラシコム・自治体に影響、複数で個人情報漏洩の恐れ」（2026年10月22日）
- ナウレッジ株式会社「メール配信サービス「Cuenote FC」に不正アクセス、ユミルリンクが延べ約 900 万件の情報の持ち出しを公表」（2026年10月20日）
当社の関連記事
- 身に覚えのないお詫びメールはなぜ届くのか、Studioへの不正アクセスと岐阜県など利用者側の公表
- ビューカード情報漏洩でカードは止めるべきか、約403万件のメールアドレスとJR九州・IDCFクラウド
- 情報漏洩のお知らせメールが来たら何をするか、漏れた項目ごとの対応表とIPA・警察庁が勧める確認
- 委託先の情報漏洩で何をするか、大和証券・シチズン時計・損保ジャパンに広がったi-ask最大約71万件
- ※内容は2026年10月23日時点の公表にもとづきます。ブラストメールの再開や配信先リストの件数、ユミルリンクの詳細は、続報で変わる可能性があります。
- ※JAPEX以外の会社・自治体の公表は、まとめサイトによるもので、各組織の公式発表は個別に確かめていません。
- ※「当社の見方」と書いた部分は、公表資料をもとにした当社の整理です。
「情報漏えい・サイバー攻撃」の新しい記事
- IDAREの情報漏洩で何をするか、Fivot 12万9,659人の残高・取引履歴と本人確認書類の番号
- ムーンスターの情報漏洩で自分は対象か、楽天市場など8つの公式ショップと最大59万3千人
- OTOTOYの不正アクセスで自分は対象か、オトトイ最大約48万件と購入履歴・カード情報の扱い
- ビューティガレージの情報漏洩でサロンは何をするか、77万5,725件とアイラッシュガレージ
- SpeeCAN RAIDENの不正アクセスで自分は対象か、自治体の安全メール約313万件とアルカディア
- アエナの情報流出で自分は対象か、アプリ会員最大81万人とカード下4桁、LINE会員は対象外
ほかのテーマ：テーマから探す