ブラストメールで情報漏えいを確認｜配信先メールアドレスは対象？サービス停止と復旧状況

HORIMEMOアイコン03 話題のニュース・SNS
https://x.com/horie_magazine/status/2112810397833294232?s=20

メール配信サービス「ブラストメール（blastmail）」で、第三者による不正アクセスと個人情報の流出が確認されました。

運営会社の親会社である株式会社ラクスは、2026年10月21日の第二報で、すべての契約者の会社名や担当者情報、契約・支払い履歴などが外部に持ち出されたことを明らかにしました。

さらに、一部の契約者については、メールマガジンなどの配信先リストも流出しています。

そのため、ブラストメールを直接契約している企業だけでなく、ブラストメールを通じて企業や媒体からメールマガジンを受け取っていた人にも影響する可能性があります。

実際に、石油資源開発（JAPEX）や先端教育オンライン、プラジャーナルなどが配信先情報の漏えいの可能性を公表しています。

ブラストメールは10月21日午前0時30分からサービスを停止しており、同日時点で復旧時期は未定です。

この記事では、外部に持ち出された情報、配信先メールアドレスへの影響、不正アクセスの原因、利用企業への影響、サービスの復旧状況と利用者が確認すべきことを整理します。

ブラストメールの情報漏えいで分かっていること

ブラストメールは、企業や自治体、各種団体などがメールマガジンやお知らせを一斉配信するためのサービスです。

運営するのは株式会社ラクスの子会社、株式会社ラクスライトクラウドです。

メールアドレスのリストを登録して一斉配信したり、配信日時を予約したり、受信者の氏名や会社名をメール本文に差し込んだりする機能があります。

2026年10月21日、このブラストメールで不審なアクセスが検知され、サービスが緊急停止されました。

その後の調査によって、不正アクセスだけでなく、実際に個人情報を含むデータが外部に持ち出されていたことが判明しています。

10月21日の第二報までに公表された内容は、以下のとおりです。

項目2026年10月21日時点の状況
対象サービスブラストメール（blastmail）
運営会社株式会社ラクスライトクラウド
親会社株式会社ラクス
不正アクセス確認済み
情報の外部持ち出し確認済み
契約者情報全契約者分の持ち出しを確認
メール配信先リスト一部契約者分の流出を確認
対象件数・人数調査中・未公表
クレジットカード番号運営会社では保持していない
不正アクセスの状況API用サーバー2台への侵入とコマンド実行を確認
詳しい侵入経路調査中
サービス停止10月21日午前0時30分から
サービス再開未定
契約者への連絡個別の影響を精査し、該当者へ連絡予定

ここで重要なのは、契約者の管理情報については全契約者分の流出が確認されている一方、メール配信先のリストについては一部契約者分の流出が確認されているという違いです。

ブラストメールを利用していたすべての企業の配信先リストが流出したと発表されたわけではありません。

また、具体的な流出件数や対象となる受信者の人数は、現時点では明らかになっていません。

出典：ラクス「ブラストメールにおける不正アクセスによる情報漏えいおよびサービス停止について（第2報）」

ブラストメールで何が起きた？10月21日の第一報から第二報まで

2026年10月21日、ブラストメールのシステムで不審なアクセスが検知され、午前0時30分からサービスが緊急停止されました。

同日に公表された第一報では、原因や影響範囲は調査中とされていましたが、その後の第二報で、不正アクセスと情報の持ち出しが確認されたことが明らかになりました。

現時点で判明している経緯を時系列で整理します。

日時判明した内容
10月21日午前0時30分不審なアクセスを受け、ブラストメールを緊急停止
10月21日・第一報不審なアクセスの検知、サービス停止、影響範囲の調査を公表
10月21日・第二報第三者による不正アクセスとデータの外部持ち出しを確認
同日・第二報全契約者の管理情報と一部契約者の配信先リストなどの流出を公表
同日・第二報API用サーバー2台への侵入を確認。復旧日時は未定

現時点では、攻撃者が最初に侵入した正確な日時は公表されていません。

そのため、サービスが停止された10月21日午前0時30分を、不正アクセスそのものが始まった時刻として扱うことはできません。

また、今回の発表は単に外部からデータを閲覧できる可能性があったというものではなく、個人情報を含むデータが実際に外部へ持ち出されたことまで確認されている事案です。

ただし、持ち出された情報がその後どのように使用されたのか、すべての情報が悪用されたのかについては、確認できる公式発表がありません。

全契約者の情報が流出｜会社名・担当者・契約履歴などが対象

10月21日の第二報では、株式会社ラクスライトクラウドの販売管理システムに保存されていた、すべてのブラストメール契約者に関する情報が外部に持ち出されたことが公表されました。

対象となる主な項目は、次のとおりです。

・契約者の会社名
・担当者名
・電話番号
・メールアドレス
・請求先のメールアドレス
・契約履歴
・支払い履歴

販売管理システムとは、サービスの契約内容や請求先、利用料金に関する情報などを管理するシステムです。

今回の不正アクセスでは、メールの配信先だけでなく、ブラストメールを契約している企業側の情報も対象となりました。

ここでいう全契約者とは、ブラストメールを直接契約して利用している企業や団体などのことであり、メールマガジンを受信しているすべての一般利用者を意味するものではありません。

契約者情報の流出は確認されていますが、メールの配信先リストについては、一部の契約者で確認された段階です。

また、契約者情報の具体的な総件数については、10月21日の第二報では公表されていません。

配信先メールアドレスも流出した？一部契約者のリストが対象

今回の情報漏えいで、メールマガジンの読者などに特に関係するのが、配信先リストへの影響です。

ラクスの第二報では、一部の契約者について、配信先リストなどメール配信に関する情報が外部に流出したことを確認したと説明されています。

配信先リストには、一般にメールアドレスのほか、契約者が登録した氏名や会社名などの情報が保存される場合があります。

ただし、今回どの契約者のリストが流出したのか、具体的にどの項目が含まれていたのかについては、運営会社が引き続き調査を進めています。

そのため、ブラストメールで配信されたメールマガジンを受信したことがある人すべての情報が流出したとは断定できません。

一方、配信先リストの流出が一部契約者で確認されている以上、メールの受信者にも影響が及ぶ可能性はあります。

例えば、ある企業のメールマガジンに登録したメールアドレスが、ブラストメール上の配信先リストに保存されていた場合、その企業が今回の影響対象になっていれば、メールアドレスなどが流出した可能性があります。

ただし、同じ企業からメールを受信していても、ブラストメール以外の配信システムを使用していた場合には、今回の対象とは限りません。

また、同じサービスを利用していた企業でも、流出したリストや項目が異なる可能性があります。

正確な対象範囲は、ブラストメールの運営会社と、実際にメールを配信していた企業・団体それぞれの調査結果を確認する必要があります。

メールを受信していただけでも対象になるのか？

ブラストメールに直接登録した覚えがなくても、企業や団体から届くメールマガジンの配信先として情報が保存されていた場合、今回の事案に関係する可能性があります。

ブラストメールは、企業や団体が契約してメールを送るためのサービスです。

メールを受信する側は、通常、ブラストメールのアカウントを自分で作成する必要はありません。

そのため、自分がブラストメールを利用したことがあるかどうかだけでは、対象者かどうかを判断できません。

ただし、ブラストメールを使っていた企業のメールを受信したことがあるだけで、必ず情報が流出したという意味でもありません。

対象となるかどうかは、その企業が管理していた配信先リストが今回持ち出されたデータに含まれているかによって異なります。

利用している企業や媒体から情報漏えいに関する通知が出ている場合は、対象となるメールマガジンや登録情報の種類を確認してください。

また、通知が届いていない場合も、すべての調査や個別連絡が終了したとは限りません。

ブラストメールの運営会社は、契約者ごとの影響を精査したうえで、該当する契約者に個別に連絡する方針を示しています。

JAPEX・先端教育オンラインなども配信先情報への影響を公表

ブラストメールへの不正アクセスを受け、同サービスを利用していた企業や媒体からも、メール配信先情報の漏えいの可能性に関する発表が相次いでいます。

10月21日時点で確認できた主な事例は以下のとおりです。

企業・媒体対象となる可能性のある情報
石油資源開発（JAPEX）メールマガジン登録者のメールアドレス、投資家・アナリスト向け案内の連絡先など
先端教育オンラインメールマガジン登録者のメールアドレス
事業構想オンラインメールマガジン登録者のメールアドレス
プラジャーナル登録者の企業名・担当者名・メールアドレス

※各社が公表した漏えいの可能性がある情報です。すべてについて実際の持ち出しが個別に確認されたという意味ではありません。具体的な件数は調査中、または未公表です。

石油資源開発（JAPEX）
石油資源開発は、JAPEXメールマガジンと、機関投資家・証券アナリスト向けのイベント案内にブラストメールを利用していました。

JAPEXメールマガジンの登録者については、メールアドレスが対象となる可能性があります。

一方、投資家・証券アナリスト向けイベント案内の配信対象者については、氏名、会社名、所属部署、役職、メールアドレス、郵便番号、住所、電話番号なども対象となる可能性があると説明されています。

対象件数は調査中で、10月21日時点では、これらの情報が不正利用された事実は確認されていないとしています。

また、ブラストメールはJAPEXの社内システムとは独立した外部サービスであり、同社のネットワークや事業への影響はないと説明しています。

出典：石油資源開発の公式発表

先端教育オンライン・事業構想オンライン
両媒体は、メールマガジンの配信にブラストメールを利用していたことを公表しました。

対象となる可能性がある情報は、メールマガジン登録者のメールアドレスです。

いずれも10月21日時点でサービス停止や影響範囲の調査について説明し、不審なメールへの注意を呼びかけています。

出典：先端教育オンラインの公式案内、事業構想オンラインの公式案内

プラジャーナル
業界情報サイトのプラジャーナルも、メールマガジン配信にブラストメールを使用していたことを明らかにしました。

配信先として登録されていた企業名、担当者名、メールアドレスについて、漏えいした可能性があるとしています。

出典：プラジャーナルの公式案内

このように、同じブラストメールを利用していても、各企業が配信先として保存していた情報の種類は異なります。

そのため、メールアドレスだけが対象の媒体もあれば、氏名や住所、勤務先情報などが含まれる企業もあります。

今後も、ブラストメールを利用する企業・団体から、新たな影響情報が公表される可能性があります。

クレジットカード情報やパスワードも流出したのか？

今回の情報漏えいでは、ブラストメールの契約者に関する契約履歴や支払い履歴が外部へ持ち出されています。

ただし、契約や支払いの履歴と、クレジットカード番号などの決済情報は同じではありません。

ラクスの第二報では、クレジットカード番号については、ラクスライトクラウドで保持していないと明記されています。

そのため、今回持ち出された契約・支払い履歴に、クレジットカード番号そのものが含まれていたとする情報はありません。

一方、ブラストメールの管理画面にログインするためのパスワードや、メール配信システムに関連する認証情報については、今回の第二報で具体的な流出項目として挙げられていません。

ただし、パスワードなどの認証情報が一切影響を受けていないと断定できる段階でもありません。

運営会社は現在、詳しい流出項目や契約者ごとの影響を調査しており、必要な対応については該当する契約者へ個別に連絡するとしています。

ブラストメールを契約している企業は、運営会社から認証情報の変更などに関する案内が届いた場合、その内容に従って対応してください。

なお、メールマガジンの一般受信者については、今回の発表だけを理由に、利用しているすべてのメールサービスのパスワードが流出したと判断する必要はありません。

ただし、情報漏えいに便乗した不審なメールを受け取る可能性があるため、ログイン情報の入力を求める偽サイトなどには注意が必要です。

不正アクセスの原因は？API用サーバー2台に侵入

10月21日の第二報では、情報が外部に持ち出された経緯についても、新たな事実が公表されました。

ラクスによると、攻撃者はラクスライトクラウドのAPI用サーバー2台に侵入し、サーバー上でコマンドを実行していました。

その後、販売管理システムとブラストメールのサービス用データベースに接続し、保存されていたデータを外部へ持ち出していたことが確認されています。

API用サーバーとは、システム同士が情報をやり取りするための機能を提供するサーバーです。

今回の事案では、このサーバーへの侵入を足がかりとして、契約者情報やメール配信に関するデータが保存されたデータベースへアクセスされていました。

ただし、具体的にどのような方法でAPI用サーバーへ侵入したのかについては、現在も調査中です。

脆弱性の悪用、認証情報の不正利用など、考えられる侵入方法はいくつもありますが、運営会社は現時点で詳しい侵入経路を確定していません。

そのため、特定のソフトウェアの脆弱性が原因だった、パスワードが盗まれたことが原因だった、といった断定はできません。

また、今回の不正アクセスと、同時期に国内で相次いでいる別のサイバー攻撃との関連性も確認されていません。

原因の詳しい調査と再発防止策については、今後の続報を確認する必要があります。

ブラストメールはいつ復旧する？サービス再開日は未定

ブラストメールは、2026年10月21日午前0時30分からサービスを緊急停止しています。

10月21日の第二報では、詳しい調査とシステムの安全確認を進めている段階で、サービス再開の日時は未定と説明されています。

単なる一時的な通信障害ではなく、不正アクセスによる情報漏えいが確認されたことを受けた停止であるため、安全性の確認が重要になります。

ブラストメールの停止に伴い、同サービスを使ったメールの新規配信や、管理画面を通じた配信業務などに影響が生じます。

一方、停止前に予約されていたメールが今後どのように処理されるのか、停止期間中に送れなかったメールが再開後に自動配信されるのかについては、現時点で詳しい公式案内が確認できません。

そのため、配信予約がある企業は、サービス再開後に予約状況や送信履歴を確認する必要があります。

また、同じメールが重複して送信されることを避けるため、代替手段で送ったメールについても記録を残しておくことが重要です。

復旧時期については、ラクスの公式発表などで最新情報を確認してください。

なお、10月22日朝の再開が予定されているラクスのほかのサービスもありますが、これはブラストメールの復旧予定を示したものではありません。

楽楽販売・楽楽メールマーケティングなども停止｜情報漏えいとの関係は？

10月21日には、ブラストメールとは別に、親会社のラクスが提供する複数のサービスについても緊急メンテナンスが発表されました。

対象となったのは、次の7サービスです。

・楽楽販売
・楽楽勤怠
・楽楽自動応対
・楽楽メールマーケティング
・ChatDealer
・クルメル
・楽テル

ラクスは、これらのサービスについて、お客さまの情報とシステムの安全を確保するため、予防的な措置として一時停止すると説明しています。

また、この7サービスについては、今回のブラストメールの事案に起因する不正アクセスや情報漏えいは確認されていないと公表しています。

したがって、複数のサービスが停止したという事実だけをもって、すべてのサービスで個人情報が流出したと判断することはできません。

7サービスの再開については、10月22日朝を予定し、ChatDealerのみ同日中の再開を予定すると案内しています。

ただし、こちらも具体的な再開時刻は確定しておらず、実際の復旧状況は各サービスの案内を確認する必要があります。

ブラストメールについては、これらのサービスとは別に、情報の外部持ち出しが確認されており、再開日時も未定となっています。

出典：ラクス「7サービスの一時停止およびメンテナンスのお知らせ」

ブラストメールを利用する企業が確認しておきたいこと

ブラストメールを契約してメール配信に利用している企業や団体は、今回の情報漏えいとサービス停止について、両方の対応が必要になります。

まず、ラクスの第二報では、すべての契約者の会社名や担当者情報、契約・支払い履歴などの持ち出しが確認されています。

そのため、自社が直接契約していた場合には、今回の管理情報の流出対象と考えて対応する必要があります。

一方、メールマガジンの配信先リストなどについては、運営会社が契約者ごとの影響範囲を調査しています。

対象となるリストや項目が特定された場合には、運営会社から個別の連絡が行われる予定です。

また、メール配信業務が停止しているため、配信予定だったお知らせやメールマガジンについても確認が必要です。

特に重要な通知がある場合は、公式サイトやほかの連絡手段を使う必要があるか検討してください。

サービスが復旧した場合も、停止中に送信できなかったメールが自動で配信されるのかは未公表です。予約内容や送信履歴を確認し、重複配信や配信漏れを防ぐことが重要になります。

また、配信先の個人情報が対象に含まれていた場合には、個人情報保護法などに基づく報告や本人への通知が必要になることがあります。

具体的な報告義務や通知の要否は、漏えいした情報の種類や状況によって異なるため、運営会社からの案内とあわせて確認してください。

なお、契約者向けの問い合わせ窓口として、ラクスはsupport@blastmail.jpを案内しています。

公式サイトがメンテナンス中で閲覧できない場合でも、復旧後の最新案内や運営会社からの直接連絡を確認することが重要です。

メールマガジンの受信者が注意したいこと

ブラストメールを通じて企業や団体からメールを受け取っていた人は、配信元の企業が今回の情報漏えいについて発表していないか確認してください。

今回の第二報では、一部契約者の配信先リストが流出したことが確認されていますが、対象となる受信者の全体像は明らかになっていません。

そのため、現時点では自分の情報が含まれているかどうかを一律に判断することはできません。

また、メールアドレスが流出した場合、企業やサービスを装ったフィッシングメールなどに悪用される可能性があります。

特に、今回の情報漏えいに関する謝罪や本人確認、配信登録の再設定などを装ったメールには注意が必要です。

不審なメールが届いた場合は、メール本文にあるリンクへ安易にアクセスせず、公式サイトから情報を確認してください。

添付ファイルを開いたり、身に覚えのないサイトでパスワードやクレジットカード番号を入力したりすることも避けてください。

なお、今回の発表だけを根拠に、すべてのメールマガジンを解約したり、普段使っているメールアドレスを変更したりする必要があるとはいえません。

まずは配信元の企業・団体の公式発表を確認し、必要な対応が案内された場合にはその内容に従ってください。

また、メールマガジンが届かなくなった場合も、今回のサービス停止が原因の可能性があります。ただし、すべての配信遅延がブラストメールの停止によるものとは限りません。

今回の情報漏えいでは、情報を受信していた人すべてが対象とは限らない一方、ブラストメールを直接利用したことがない人にも影響が及ぶ可能性があるという点に注意が必要です。

流出件数と復旧時期はいつ分かる？今後の続報

2026年10月21日の第二報では、ブラストメールで実際に情報が外部へ持ち出されたことが確認されました。

一方で、調査が続いている項目もあります。

主な未確定情報は、配信先リストの具体的な流出件数、影響を受けた契約者の範囲、実際に持ち出された配信関連データの詳細、不正アクセスの詳しい侵入経路、サービスの再開日時などです。

ラクスは、契約者ごとの影響範囲を引き続き精査し、該当する契約者には個別に連絡するとしています。

また、新たに公表すべき事実が明らかになった場合には、速やかに案内する方針です。

特に、配信先リストの影響範囲が明らかになれば、これまでブラストメールを使っていた企業や団体から、対象となる受信者への追加通知が行われる可能性があります。

現時点では、配信先情報がどこまで持ち出されたのかを過不足なく判断できる情報はそろっていません。

そのため、今後公表される件数についても、契約者数、配信先レコード数、実際の対象人数など、何を数えた数字なのかを区別して確認することが重要です。

また、10月22日朝の再開予定が案内されているラクスのほかの7サービスと、ブラストメールの復旧状況を混同しないようにしてください。

ブラストメールは、安全性の確認を進めながら、再開日時を今後案内することになっています。

ブラストメールの情報漏えいとサービス停止まとめ

2026年10月21日、株式会社ラクスは、子会社のラクスライトクラウドが運営するブラストメールについて、不正アクセスによる情報漏えいを公表しました。

調査の結果、すべての契約者の会社名や担当者情報、契約・支払い履歴などが外部に持ち出されたことが確認されています。

また、一部の契約者については、メールマガジンなどの配信先リストも流出していました。

そのため、ブラストメールを直接契約している企業だけでなく、メールマガジンを受信していた一般の利用者にも影響する可能性があります。

ただし、配信先リストの対象件数や、すべてのメール受信者のうち何人が対象になるのかは、現時点では公表されていません。

不正アクセスの原因については、API用サーバー2台への侵入と、販売管理システム・サービス用データベースからの情報持ち出しが確認されていますが、詳しい侵入経路は調査中です。

また、ブラストメールは10月21日午前0時30分から停止しており、同日の第二報では復旧日時は未定とされています。

今後は、流出件数や配信先への影響、サービスの再開時期について追加発表が行われる可能性があります。

契約している企業は運営会社からの案内を確認し、メールマガジンの受信者は、配信元の企業・団体の公式発表や不審なメールへの注意喚起を確認してください。

なお、2026年9月末から10月にかけて公表されたほかの情報漏えい・不正アクセスについては、関連記事「2026年9月末～10月の情報漏えいまとめ」でも整理しています。

主な参考資料と確認日

情報確認日：2026年10月22日未明。株式会社ラクスが10月21日に公表した第一報・第二報、同日付の関連7サービスのメンテナンス案内、ブラストメールを利用する各企業・媒体の公式発表を確認しました。ブラストメールについて、全契約者の管理情報と一部契約者の配信先リストの外部持ち出しが確認されていますが、配信先の対象件数・人数、詳しい侵入経路、サービス再開日時は未公表です。ラクスの一部公式サイトは緊急メンテナンスにより一時的に閲覧できない場合があります。今後の続報によって、影響範囲や復旧状況などが変更される可能性があります。

コメント

タイトルとURLをコピーしました