ラクスライトクラウドのブラストメールへの不正アクセス

タグ
国内
目次
  1. 経緯
  2. 時系列
  3. 影響範囲
  4. 対応と現状
    1. 利用組織の報告と措置
  5. 未公表の事項
  6. 注
  7. 出典
  8. 更新記録
  9. 関連記事

ラクスの2026年10月21日の第2報によると、子会社のラクスライトクラウドのメール配信システム「ブラストメール」が不正アクセスを受け、すべての契約者の情報が販売管理システムから持ち出された⁠[2]。一部の顧客については、配信先リストなどメール配信に関する情報の漏えいも確認した⁠[2]。サービスの停止は続いており、再開の日時は未定である⁠[2]。

経緯

ラクスは第2報で、外部の第三者がラクスライトクラウドのAPI用サーバー2台に侵入してコマンドを実行し、販売管理システムとサービスのデータベースに接続してデータを持ち出したと説明した⁠[2]。持ち出された契約者の情報は、会社名、担当者名、電話番号、メールアドレス、請求先のメールアドレス、契約と支払いの履歴などである⁠[2]。クレジットカード番号は、ラクスライトクラウドでは保持していない⁠[2]。

目次へ

時系列

時系列
日付主体内容資料
2026年10月21日0時30分ラクスライトクラウド不審なアクセスを検知し、ブラストメールを緊急停止した〔注1〕⁠[1、48]
2026年10月21日1時ごろラクスライトクラウド管理画面とAPIに続いて、メール配信も止めた⁠[26]
2026年10月21日ラクス第1報と第2報を出した⁠[1、2]
2026年10月21日ラクスライトクラウド自社のサイトで公表した⁠[37]
2026年10月22日14時ごろラクスライトクラウド配信情報の漏えいが確認された契約者への個別連絡を順次始めた⁠[19]
2026年10月23日14時ラクスライトクラウド配信先情報等の漏えいを288件〔注2〕確認し、全件に個別連絡を終えたと公表した⁠[12]
2026年10月24日ラクスライトクラウド漏えいを新たに56件確認し、累計344件になったと公表した⁠[12]
2026年10月26日18時タミヤラクスライトクラウドの最新の報告として、漏えいを確認した対象者が1件増えて計345件になったと追記した⁠[29]
2026年10月28日ラクス第2報に、ラクスグループの他のサービスへの影響についての節を追記した⁠[2]

目次へ

影響範囲

表1:漏えい・漏えいのおそれを告知した組織
組織件数・人数含まれる情報公表日資料
石油資源開発調査中JAPEXメールマガジン登録者のメールアドレス、イベント案内配信対象者の氏名・会社名・所属部署・役職・メールアドレス・郵便番号・住所・電話番号(可能性)10月21日⁠[6]
クラシコム-「北欧、暮らしの道具店」のメルマガに10月21日0時30分までに登録した人(仮登録を含む)のメールアドレス(可能性)10月21日・10月22日⁠[7、8]
東北電力フロンティア(委託先のADDIXが利用)最大約10万件(実際の件数は調査中)eポイントモール会員のメールアドレス・内部管理ID(可能性)10月22日⁠[13]
JR四国約3万件JR四国ツアーWebメールマガジン登録者の氏名・生年月日・住所・電子メールアドレス(可能性)10月22日⁠[14]
横浜市6,334人横浜グリーンエクスポ市出展エリアのボランティア応募者の氏名・メールアドレス(可能性)10月22日⁠[15]
2027年国際園芸博覧会協会-(登録者が漏えい対象かは確認されていない)GREEN×EXPO 2027ボランティアのボランティア受付番号・活動番号・メールアドレス(可能性)10月22日⁠[15]
新潟日報社最大約25万3000人「新潟日報パスポート」全会員の氏名・居住する市町村名・メールアドレス・性別・年代・購読商品名など(確認)10月22日⁠[71]
H.I.S.ホテルホールディングス約14万人ホテル会員の氏名・メールアドレス(可能性。契約情報の漏洩は確定)10月22日⁠[16、71]
じむき-(配信先リストが対象かは提供元が精査中)契約者としての自社の情報(確認)、配信先リストの名前・メールアドレス・一部の会社名・住所10月22日⁠[18]
紀宝町-紀宝町移住定住サポートデスクで利用するブラストメールの氏名・メールアドレス(可能性)10月22日⁠[19]
周南市302件(現状把握可能な件数)周南市ファンクラブメールマガジンの登録情報の氏名・住所・電話番号・メールアドレス(その他の項目は確認中。可能性)10月22日⁠[20]
町田商工会議所-(漏洩したかは確認されていない)メールマガジン配信先の企業名・事業所名・担当者名・メールアドレス(可能性)10月22日⁠[23]
サンライトヒューマンTDMC調査中取引のある顧客のメールアドレス・氏名・会社名・業種・サービス利用履歴(可能性)10月22日⁠[24]
仙台こども財団-(漏えいの有無は確認されていない)氏名・所属(団体名・企業名等)(可能性)10月22日⁠[66]
ACC-(実際の漏えいは確認されていない)配信先として登録・管理しているメールアドレス(可能性)10月22日⁠[67]
東京都(東京都農林水産振興財団)最大約16,000件東京広域援農ボランティア事業の生産者・ボランティア参加者の氏名・メールアドレス・属性(確認)10月23日⁠[25]
環境省(GEOC・地域循環共生圏・東北EPO・福島環境再生プラザ・関東ESDセンター・きんき環境館のメールマガジン)-(漏えいは確認されていない)配信先のメールアドレス・氏名・属性・所属・都道府県市区町村・備考(登録動機)。項目はメールマガジンごとに異なる(可能性)10月23日⁠[26]
エックスサーバー459,679件(メールアドレス)メール配信先リスト(読者データ)の全件と付随する情報〔注3〕(確認)10月23日・10月29日⁠[27]
国連広報センター-(漏洩の有無は確認中)メール配信登録情報のメールアドレス(可能性)10月23日⁠[30]
先端教育機構-出版部が登録していた配信先リストのメールアドレスのみ(確認)10月23日⁠[33]
リバスタ12万件e-reverse.comのメール配信先として登録していたメールアドレス(確認)10月23日・10月28日⁠[34、35]
WEBX約2万件10月21日までに会員登録を行っていた会員のメールアドレスの全件(確認)10月23日⁠[36]
長野県(受託事業者が運営する3サイト)ハピネスナビ信州約1,200件・シューカツNAGANO約2,900件・デジタル農活信州約200件各メールマガジンの情報(可能性)10月23日⁠[37]
下関市(委託先の学校法人YIC学院が利用)-登録者の氏名・メールアドレスなど(可能性)10月23日⁠[38]
広島市登録件数3,372件・1,052件広島市産業振興センターNEWSと産学官連携ネットワークニュースの登録者情報(可能性。漏洩の有無は確認中)10月23日⁠[39]
埼玉大学-大学名・担当課名・郵便番号・住所・電話番号・メールアドレス・支払履歴の契約者情報(確認。配信に関する情報の漏えいは確認されていない)10月23日⁠[40]
日本赤十字社東京都支部-メールマガジン「NT(NissekiTokyo)NEWS」の登録情報(可能性)10月23日⁠[42]
経済同友会-会社名・所属部門・役職名・担当者名・電話番号・メールアドレス(可能性)10月23日⁠[43]
笹川スポーツ財団約1万2千件メールマガジン登録者のメールアドレス・氏名・所属先に関する情報(可能性)10月23日⁠[45]
アークライト最大約6,000件(流出の対象となった範囲は調査中)ゲームマーケット2026秋の出展者の会社名(団体名)・担当者名・メールアドレス(可能性)10月23日⁠[46]
山梨日日新聞社4,433人分山日YBS企業ガイダンスの会員の氏名・メールアドレス(確認)10月23日⁠[63]
ボーダレス・ジャパン-For Goodのメールマガジンのメールアドレス・ユーザー名、広報のメールマガジンのメールアドレス(一部は会社名・名前)(確認)10月23日⁠[64]
カカオピッコマ1,002,404件10月14日18時に配信したメールマガジンの宛先のメールアドレス(確認。件数はこれ以上増えないとの報告)10月24日・10月28日⁠[48]
中部電力(委託先の中電クラビスの再委託先が利用)324名(具体的な漏えいの事実は確認されていない)「みんなの美尻フェスタin掛川」メールマガジンの配信を希望した人の氏名・メールアドレス(可能性)10月26日⁠[49]
MMD研究所-会社名・氏名・都道府県・メールアドレス(確認)10月26日・10月27日⁠[50]
21あおもり産業総合支援センター1,869件(うち、145件が氏名を含む個人情報)メールアドレス・氏名・会社名(確認)10月27日⁠[53]
千歳市1,141件配信先リスト等(確認)10月27日⁠[54]
十日町市-(漏洩の有無は確認中)農業情報メールの登録情報の氏名など(可能性)10月27日更新⁠[55]
武蔵野商工会議所-企業名(事業所名)・メールアドレス・その他調査中(可能性)10月27日⁠[56]
ベターホーム協会7015件10月17日に配信した通信販売のメールマガジンの対象者のメールアドレスのみ(確認)10月28日⁠[57]
2りんかんイエローハット最大489,564名分メールマガジンの配信を希望した顧客のメールアドレス(確認)-⁠[58]
アドバンスソフト-登録していたメール送信先リストの全件の会社名・氏名・メールアドレス(確認)-⁠[59]
サナテックシード-メールアドレス(可能性)-⁠[60]
広島経済大学-(漏えいの有無は判明していない)登録しているメールマガジン等の配信先情報の氏名・メールアドレス-⁠[61]
多様な働き方マッチング支援ナビ-メール送付先リスト(読者データ)(10月23日に確認)-⁠[62]
アグリツリー-(配信先の情報の漏えいは確認されておらず、提供元からの個別の連絡も届いていない)契約者として登録した担当者名・連絡先(確認)-⁠[69]

新潟日報社は会員の個人情報漏えいについての告知(第2報)を、東京地下鉄はイベントメールマガジン配信サービスへの不正アクセスについての告知を、それぞれ自社のサイトに掲載した⁠[17、47]。

表2:エックスサーバーが示した付随する情報の件数
項目件数資料
XServerアカウントID692件⁠[27]
氏名・氏名フリガナ380,384件⁠[27]
会社名・会社名フリガナ115,702件⁠[27]
利用サービス名316,453件⁠[27]
XServerアカウントの登録日431,076件⁠[27]
個人・法人の区分431,076件⁠[27]
ニュース・キャンペーン情報の配信希望状況429,382件⁠[27]
表3:対象外・確認なし・連絡なしなどを告知した組織
区分組織公表日公表内容資料
対象外との報告焼津市10月24日内部調査の結果、焼津おとな倶楽部メールマガジンの登録者の情報漏えいはなかったと運営会社から報告を受けた⁠[9]
対象外との報告ヌーラボ10月22日・10月23日登録情報が対象かを確認中としたのち、流出対象に含まれていない旨の報告をラクスライトクラウドから受けたとした⁠[10、11]
対象外の確認ギフティ10月22日・10月26日旅先納税IDなどの登録情報で漏えいのおそれを告知したのち、漏えいを確認した契約に自社の契約は含まれないと確認した⁠[12]
対象外との報告タミヤ10月23日イベント参加者へのメールのメールアドレス・氏名・年齢(メールに掲載があった場合のみ)の漏えいのおそれを告知したのち、漏えい対象者に含まれていなかったとした⁠[29]
対象外との報告NASEF JAPAN10月23日学校名・担当者名の漏洩のおそれを告知し、漏洩対象者に含まれていなかったとした⁠[32]
対象外との認識日本室内楽振興財団10月23日「奏メール」の配信先リストは対象に含まれていないと認識しているとした⁠[65]
漏えいの確認なしラプラス・システム10月22日氏名・メールアドレス等の漏えいは確認されていないとブラストメールから報告を受けた⁠[22]
漏えいの確認なし熊本大学10月23日メールマガジンの配信を止め、10月23日10時現在で登録者情報の漏えいは確認されていないとした⁠[41]
漏えいの確認なし首都圏産業活性化協会10月26日メルマガ配信を止め、登録している個人情報の漏洩は確認していないとした⁠[51]
連絡なしクラウドサービス推進機構10月22日登録者の個人情報が外部へ漏洩したかどうかの特定連絡は受けていないとした⁠[21]
連絡なしひろしま国際センター10月23日10月23日12時30分までに運営会社からの個別の連絡は無いとした⁠[44]
連絡なしオーディオブレインズ10月26日メール配信先リストが漏洩したとの連絡は受けておらず、メールマガジンの配信を休止しているとした⁠[68]
連絡なし静岡市こどもクリエイティブタウンま・あ・る11月1日11月1日12時現在で運営会社から漏えいの報告は無いが、対象者の調査が続いており漏えいの可能性は否定できないとした⁠[70]
不正アクセスの告知アイ・エム・アイ10月23日メールマガジンの配信に使うブラストメールで不正アクセスが確認されたと告知した⁠[31]
表4:利用組織が告知した運営会社などからの連絡
日時組織内容資料
10月21日1時ごろ横浜市受託事業者を通じて、サービスを停止する旨と、配信先リスト等の一部で漏えいが確認されているとの連絡⁠[15]
10月21日石油資源開発・サンライトヒューマンTDMC・笹川スポーツ財団クラウド環境への不正アクセスで、登録された個人情報が外部に漏えいした可能性があるとの報告⁠[6、24、45]
10月21日東北電力フロンティア委託先のADDIXから、ブラストメールで不正アクセスが発生し情報が外部に漏洩した旨の連絡⁠[13]
10月21日17時33分クラシコム調査の状況についての報告⁠[8]
10月21日17時45分焼津市サーバーに保管されている個人情報が外部に持ち出されたことを確認したとの報告⁠[9]
10月22日リバスタ配信先情報が外部に漏えいしたとの報告⁠[34]
10月22日日本室内楽振興財団配信リストなどの情報漏洩が多数判明したとの報告⁠[65]
10月22日16時43分クラシコム提供したメールアドレスの漏えいについての報告⁠[8]
10月22日・10月23日ボーダレス・ジャパンFor Good、続いて広報のメールマガジンの配信先の情報が漏えいしたとの連絡⁠[64]
10月23日9時12分アドバンスソフト登録されていたメール送信先リストが全件漏えいしたとの報告⁠[59]
10月23日先端教育機構・WEBX・山梨日日新聞社登録していた情報の漏えいについての連絡⁠[33、36、63]
10月27日エックスサーバー漏洩対象となった顧客の情報の受領⁠[28]
10月27日12時40分クラシコム漏えいの対象となったメールアドレスの一覧の受領⁠[8]

目次へ

対応と現状

ラクスは第1報で、個人情報保護委員会と日本情報経済社会推進協会(JIPDEC)を報告済みの機関に挙げた⁠[1]。ラクスとラクスライトクラウドが提供する他のサービスに影響は無いとした⁠[1]。

ラクスの10月28日の追記によると、ラクスグループの他のクラウドサービスへの影響と、それらのサービスの利用者の情報漏えいは確認されていない⁠[2]。挙げたサービスは、楽楽精算・楽楽明細・楽楽請求・楽楽電子保存・楽楽債権管理・楽楽販売・楽楽勤怠(OM版・Light版含む)・楽楽給与明細・楽楽人事労務・楽楽自動応対・楽楽メールマーケティング・楽楽従業員ポータル・楽楽ビジネスカード・ChatDealer・クルメル・楽テル・勤之助・与之助・Blastengine(ブラストエンジン)である⁠[2]。

ラクスライトクラウドは、緊急停止と個人情報漏えいについての報告を自社のサイトに掲載した⁠[3]。個人情報保護委員会への連名報告についての案内と、ブラストメールのウェブサイトの一時停止のお知らせも掲載している⁠[4、5]。ギフティとタミヤは、ラクスライトクラウドが専門機関による外部調査を実施していると告知した⁠[12、29]。

利用組織の報告と措置

  • エックスサーバーは、ブラストメールと自社システムとのデータ連携を止め、ブラストメールの利用を終えて自社開発のメール配信システムへの移行を進めるとした⁠[27]。
  • エックスサーバーは、対象の顧客に10月29日から30日にかけて順次、個別にメールで案内した⁠[28]。
  • カカオピッコマは、なりすましメールを防ぐため、ブラストメールから送られるメールがピッコマの正規のメールとして扱われないよう設定を変えた⁠[48]。
  • 東北電力フロンティアは、メールマガジンの配信停止を指示し、eポイントモールのWebサイトの利用も一時停止した⁠[13]。
  • 東京都の政策連携団体は、ブラストメールの利用とメール配信を止め、ラクスライトクラウドに漏えい範囲・原因・再発防止策の詳細な報告を求めた⁠[25]。
表5:利用組織が告知した報告と相談
組織報告・相談の先資料
クラシコム個人情報保護委員会(10月22日18時1分)、JIPDEC(10月23日9時22分)⁠[8]
じむき個人情報保護委員会とKPJC(九州プライバシーマーク審査センター)に報告するとした⁠[18]
エックスサーバーラクスライトクラウドと連名で個人情報保護委員会への報告手続きを進めている⁠[28]
カカオピッコマ個人情報保護委員会に報告した⁠[48]
21あおもり産業総合支援センターラクスライトクラウドと委託先事業者の連名で個人情報保護委員会へ報告が行われる⁠[53]
ベターホーム協会メールマガジン委託会社を通して個人情報保護委員会へ報告した⁠[57]
2りんかんイエローハット個人情報保護委員会に報告し、所轄警察署に相談した⁠[58]

目次へ

未公表の事項

  • 侵入の経路と時期(ラクスは侵入経路の詳細を引き続き調査しているとした⁠[2])
  • 悪用された脆弱性の有無と種別
  • 攻撃者
  • すべての契約者の数と、配信先の情報が漏えいした人数の合計
  • 漏えいした情報の詳細と顧客ごとの影響(ラクスは精査を続け、該当する顧客に個別に連絡するとした⁠[2])

注

  • 〔注1〕停止の対象を、ラクスの第1報は「同サービス」、ピッコマは「全サービス」と書いた⁠[1、48]。クラシコムは停止の時刻を「未明」と書いた⁠[8]。
  • 〔注2〕日米会話学院の告知は、344件を「対象となる契約件数」と書いた⁠[52]。
  • 〔注3〕エックスサーバーは、解約・配信停止から削除までの間に情報が残っていた期間があり、その間の情報が漏洩対象に含まれたと説明した⁠[28]。

出典

当事者

関係組織

報道機関

更新記録

  • 2026年11月1日17時26分:公開した。
  • 2026年11月1日18時35分:出典⁠[16]の公開日を、ページの題の行の掲載日に合わせて2026年10月22日に直した。

目次へ