ブラストメールへの不正アクセスは、なぜ委託元の情報漏えいに広がったのか

1はじめに

2026年10月21日、株式会社ラクスは、子会社の株式会社ラクスライトクラウドが提供するメール配信サービス「ブラストメール」で不審なアクセスを検知し、同日0時30分からサービスを止めたと発表しました。同じ日の第2報で、外部の第三者がサーバーに侵入し、個人情報を含むデータを持ち出したことを確認したと公表しています。

ブラストメールは、企業や自治体、団体がメールマガジンや案内のメールを一斉に送るためのサービスです。利用する側は、送り先のメールアドレスをブラストメールに登録して配信します。そのため、ブラストメールへの不正アクセスは、利用する側（委託元）が集めた会員や読者のメールアドレスの漏えいにつながりました。

10月23日以降、東京メトロ、兵庫県、下関市、経済同友会、Creema、日経サイエンスなどが、自らの会員や読者への影響について発表を出しました。10月24日には、電子コミックの「ピッコマ」を運営する株式会社カカオピッコマが、メールアドレス100万2404件の流出を公表しています。KEYRINGでは、ラクスライトクラウドの事案を速報 No.0267、ピッコマの事案を速報 No.0275で取り上げました。

このレポートは、当事者の発表と公的機関の資料、報道をもとに、次の問いに答えます。

• いつ何が起き、各社はどの順番で発表したのか
• 何が、どこまで持ち出されたのか
• 委託先1社への不正アクセスが、なぜ多くの委託元の漏えいになったのか
• 侵入経路について、何が分かっていて、何が分かっていないのか
• 個人情報保護法の上で、委託元と委託先はそれぞれ何をするのか
• メールを受け取る人と、委託している企業は、いま何を確かめればよいのか

2検知から各社の公表までの経緯

ブラストメールの停止は、10月21日の未明（0時30分）に始まりました。運営会社の発表は、第1報と第2報が同じ日に出たあと、契約者向けのお知らせページで数時間おきに更新されています。委託元への連絡は22日から届き始め、委託元の発表は、委託先から自社のデータについて報告を受けた順に、23日から25日にかけて出ました。

検知から委託元の公表までに、2日から4日かかっています。委託元は、ブラストメールに何を登録していたかは把握していても、それが持ち出されたかどうかは、運営会社の調査結果を待たないと分かりません。ピッコマの発表の「経緯」の欄も、運営会社による停止（21日）と、運営会社からの報告（24日）の2つで構成されており、その間、委託元は運営会社の報告を待つ形になっていました。

3何が、どこまで持ち出されたのか

運営会社の発表では、持ち出された情報は2つの層に分かれます。1つめは、ラクスライトクラウドが契約者を管理する販売管理システムの情報で、すべての契約者が対象です。2つめは、契約者がメール配信のために預けていた情報（配信先のリストなど）で、こちらは一部の契約者に限られます。

2つめの層の項目は、委託元がブラストメールに何を登録していたかで決まります。メールアドレスだけを登録していた委託元もあれば、差し込み用に氏名や会社名を登録していた委託元もあります。経済同友会が漏えいの可能性を挙げた項目には、会社名、所属部門、役職名、氏名、電話番号まで含まれています。

ピッコマで流出した情報

カカオピッコマの発表によると、流出したのはメールマガジンの1回分の配信で宛先になっていた100万2404件のメールアドレスです。利用者を識別する管理番号や最終課金日などの情報は含まれていないことを確認したとしています。パスワードはブラストメールに預けておらず、氏名とクレジットカード情報はもともと保有していないとしています。「ピッコマノベルズ」のメールマガジンでは、発表時点で流出は確認されていません。

同社は、ピッコマのアプリやWebサービス、自社のシステムが不正アクセスを受けたものではないと説明しています。対応として、メールマガジンの配信を止め、ブラストメールから送られるメールがピッコマの正規のメールとして扱われないよう設定を変えました。漏れたアドレスを使って、ピッコマを名乗るメールが送られるのを防ぐための措置です。

東京メトロで取得された情報

東京地下鉄は10月23日、「東京メトロイベントメールマガジン」の登録者のメールアドレス約8万件が第三者に取得されたと発表しました。メールアドレス以外の登録情報が取得された可能性はないとしています。イベント情報サイトとメールマガジンの新規登録、登録解除、配信を、安全の確認と復旧が終わるまで止めています。

4委託先1社から、影響はどう広がったか

今回の事案の構図は、1つの委託先に多くの委託元のデータが集まり、その委託先が破られたことで、委託元の側で一斉に漏えいが起きたというものです。委託元は、自社のシステムに何の異常もなくても、会員のメールアドレスの漏えいを公表することになりました。

図の右側にある委託元は、それぞれ別々の目的でブラストメールを使っていました。電子コミックのメールマガジン、鉄道会社のイベント案内、県の情報発信や介護保険サービス事業所への連絡、市の就職支援事業、ハンドメイドマーケットプレイスのメールマガジン、経済団体の政策提言の案内です。業種も規模も違う組織が、同じ1つの配信サービスの上に、それぞれの宛先のリストを置いていました。

ブラストメールの件について発表を出した委託元

次の表は、当事者の発表、または当事者の発表を伝えた報道で、編集部が内容を確かめた委託元です。影響の有無や件数は、各委託元が運営会社から報告を受けた時点のもので、その後に変わることがあります。

この表から読み取れるのは、委託元ごとに分かる時期がずれていることです。日経サイエンスは23日15時の時点で「含まれていない」との報告を受け、Creemaも23日10時時点では流出の報告を受けていませんでした。しかしCreemaは25日、第三者の専門機関が調査の範囲を広げた結果として、過去の配信履歴に含まれるメールアドレスの流出を追記しています。「含まれていない」という報告も、調査が進めば変わりうるということです。

5侵入経路について分かっていること、いないこと

運営会社が公表している攻撃の流れは、第2報から10月26日の最新の報告まで変わっていません。第三者がAPI用のサーバー2台に侵入し、そこでコマンドを実行し、販売管理システムとサービスのデータベースに接続して、データを持ち出した、というものです。最初にどうやってサーバーに入ったかは「調査中」とされています。

API用のサーバーがどこに置かれ、どんな役割を持っていたかは公表されていません。公表されているのは、そのサーバーから販売管理システムとサービスのデータベースに接続されたという事実までで、サーバーどうしの接続がどう設計されていたかも公表されていません。

同じ時期に出ていた注意喚起とPHPの脆弱性

JPCERT/CCは10月8日から、国内で相次ぐ不正アクセスについて注意喚起を出し、確認された手口として、ソフトウェアの既知の脆弱性を探して悪用するもの、アプリの管理用APIへの不正なリクエスト、ほかのシステムの侵害で盗んだAPIキーの使用などを挙げています。ただし、JPCERT/CCは、すべての事案で同じ手口が使われたことを示すものではないと断っています。ブラストメールの事案がどれかに当たるかは、公表されていません。

また、ラクスは10月22日、PHPの脆弱性（CVE-2026-109618、CVE-2026-109619）について、自社のクラウドサービスの対応状況を公表しました。対象の一覧にはラクスの13サービスが並び、ブラストメールは含まれていません。Creemaは、PHPの問題を受けた自社の緊急メンテナンスと、ブラストメールの件は別の事案だと説明しています。ブラストメールへの侵入とPHPの脆弱性との関係は、どこからも公表されていません。PHPの脆弱性については、原因調査レポート No.001で詳しく取り上げています。

6同じ月に続いた、メール配信の委託先での事案

2026年10月は、メールを一斉に届けるサービスでの不正アクセスが、ブラストメールのほかにも続きました。どれも、多くの企業や自治体が宛先のデータを預ける委託先で起きています。

香川県の例は、漏れたメールアドレスが実際に悪用されうることを示しています。県は、防災情報メールの登録者のアドレスに、実在のクレジットカード会社を装う不審なメールが届いたことを確認したと公表しました。メールアドレスだけの漏えいでも、受信者はフィッシングの宛先として使われます。

KEYRINGが記録している国内の事故でも、委託先が原因となった事故は10月に増えています。8月1日から10月24日までに第一報が出た国内の事故120件を、月ごとに数えました。

過去の例：クラウドの委託先から、3000件を超える報告が出た

委託先1社の被害が多くの委託元の漏えいになった例として、個人情報保護委員会が2024年3月に指導を行ったエムケイシステムの事案があります。2023年6月、社会保険労務士事務所などが使うクラウドサービスのサーバーがランサムウェアに感染し、利用者の顧客の従業員の個人データが暗号化されました。委員会への漏えい等報告は、2024年3月8日時点で3067件、本人の数は計749万6080人にのぼりました（重複の可能性あり）。

委員会はこの事案で、クラウドサービスの提供事業者が、利用者から個人データの取扱いの委託を受けていたと判断しました。あわせて、クラウドサービスの利用が個人データの取扱いの委託にあたる場合があり、その場合は委託元に委託先を監督する義務がある、という注意喚起を行っています。メール配信サービスに宛先を預けることも、この考え方の延長で整理されます（次の節）。

IPAの「情報セキュリティ10大脅威 2026」でも、組織向けの脅威の2位は「サプライチェーンや委託先を狙った攻撃」です。2019年に初めて選ばれ、8年続けて選ばれています。

7漏えい等の報告と、委託先の監督

個人データの漏えいが起き、または起きたおそれがある場合、一定の条件にあたれば、事業者は個人情報保護委員会に報告し、本人に通知しなければなりません（個人情報保護法第26条）。不正アクセスのように不正の目的で行われたおそれがある漏えいは、件数にかかわらず報告の対象です。

今回、ラクスライトクラウドは10月23日に、委託元と連名で委員会に報告する手続きを案内しました。申し込みの期限は10月29日です。同社によると、連名で報告する場合、委託元が個別に報告する必要はなく、速報の目安の期間を過ぎても報告の遅れとしては扱わないことを委員会に確かめているとしています。一方、配信先のリストの漏えいが確認された委託元は、連名を選んでも、本人（読者など）への通知は自ら行う必要があります。プライバシーマークを持つ委託元は、JIPDECへの報告も個別に行います（同案内）。

委託先の監督と「クラウド例外」

個人データの取扱いを委託する場合、委託元は委託先を監督しなければなりません（第25条）。委員会は、エムケイシステムの件の資料で、委託元には、適切な委託先の選定、委託契約の締結、委託先での個人データの取扱状況の把握について、必要かつ適切な措置を講じる義務があると整理しています。

一方、委員会のQ&A（Q7-53）は、クラウドサービスの事業者がサーバーに保存された個人データを取り扱わないことになっている場合は、「提供」にも「委託」にもあたらないとしています。契約でそう定められ、アクセスが適切に制御されている場合などです。ただし、その場合でも利用する事業者は、自らの安全管理措置として適切な措置を取る必要があります（Q7-54）。

メール配信サービスは、預かった宛先に実際にメールを送るため、宛先のデータを処理しています。ブラストメールの件では、運営会社が自ら委託元と連名での報告を用意し、委託元のピッコマも委員会に報告しています。どちらの整理になるかは契約の中身によりますが、いずれにしても、委託元は「宛先を預けた先が破られた場合」の手当てを、自社の安全管理の一部として考えておく必要があります。

8影響が広がった4つの理由

理由の整理は、公開された情報をもとにKEYRING編集部が行ったものです。侵入の経路が公表されれば、見直します。

9受信者と委託元が取るべき対応

委託元の発表と公的機関の注意喚起をもとに、メールを受け取る人と、メール配信を委託している企業・団体が取るべき対応を並べます。

立場ごとに確かめること

10提言

今回の事案では、委託元の企業や自治体は、自社のシステムに異常がないまま、会員や読者の情報の漏えいを公表することになりました。宛先のデータを預けた先が破られることを、自社の事故として扱う準備が要ります。KEYRINGは次の4つを提言します。

提言は、公開された情報をもとにKEYRING編集部が考えたものです。

用語集

メール配信サービス

登録した宛先に、メールマガジンなどを一斉に送るためのクラウドサービス。宛先のリストはサービスの中に保存される

委託元・委託先

業務を外部に任せる側が委託元、任される側が委託先。個人情報保護法では、委託元に委託先を監督する義務がある

API

ほかのシステムからサービスを操作するための窓口。配信サービスでは、自社のシステムから宛先の登録や配信を指示するのに使う

販売管理システム

契約者の会社名や担当者、契約と支払いの履歴などを管理する社内のシステム

漏えい等報告

一定の漏えいが起きたとき、事業者が個人情報保護委員会に行う報告。速報と確報の2段階で行う

連名報告

委託元と委託先が連名で、1つの漏えい等報告を委員会に出すこと

クラウド例外

クラウド事業者が保存された個人データを取り扱わないことになっている場合に、「提供」「委託」にあたらないとする委員会の考え方（Q&A 7-53）

サプライチェーン攻撃

取引先や委託先を足がかりに、本来の標的の情報やシステムに到達する攻撃

参考文献

• 株式会社ラクス「【第1報】当社子会社が提供する『ブラストメール』における不審なアクセスの検知およびサービス停止について」2026.10.21
• 株式会社ラクス「【第2報】当社子会社が提供する『ブラストメール』における不正アクセスによる情報漏えいおよびサービス停止について」2026.10.21
• ラクスライトクラウド「【重要】ブラストメールの緊急停止および個人情報漏えいに関するお詫びとご報告」（10月26日10時00分更新）2026.10.26
• ラクスライトクラウド「個人情報保護委員会への連名報告に関するご案内」2026.10.23
• 株式会社ラクス「『楽楽販売』『楽楽勤怠』ほか7サービスの一時停止およびメンテナンスのお知らせ」2026.10.21
• 株式会社ラクス「コーポレートサイトおよび全サービスの製品サイトならびにサポートサイト、7サービスのサービス再開のお知らせ」2026.10.22
• 株式会社ラクス「【重要なお知らせ】特定脆弱性への対応状況」2026.10.22
• 株式会社カカオピッコマ「株式会社ラクスライトクラウドのメール配信システム『ブラストメール』への不正アクセスによるお客様のメールアドレス流出に関するお知らせとお詫び（第1報）」2026.10.24
• 東京地下鉄株式会社「東京メトロイベントメールマガジン配信サービスにおける不正アクセスについて（お詫び）」2026.10.23
• Creema「【重要】メールマガジン配信サービス『ブラストメール』の運営会社における不正アクセス、および配信先メールアドレスの漏えいに関するお詫びとお知らせ」2026.10.23（10.25追記）
• 下関市「雇用対策事業におけるメール配信システム『ブラストメール』への不正アクセスによる個人情報漏えいの可能性について」2026.10.23
• 経済同友会「メール配信サービス『ブラストメール』への不正アクセスに伴う情報漏えいの可能性について」2026.10.23
• 日経サイエンス「外部メール配信サービスへの不正アクセスに伴う個人情報漏えいの可能性について」2026.10.23
• 日本経済新聞「兵庫県、メール配信先のアドレスなど漏洩の恐れ　1万4700件程度」2026.10.23
• NHK「電子漫画『ピッコマ』 顧客のメールアドレス約100万件流出」2026.10.25
• ScanNetSecurity「メール配信システム『ブラストメール』に不正アクセス、データ持ち出しを確認」2026.10.23
• ユミルリンク「当社システムへの不正なアクセスに関するご報告（第一報 2026年10月19日 19:05更新版）」2026.10.19
• ITmedia NEWS「メール配信のユミルリンクに不正アクセス　メアドなど約900万件漏えいか」2026.10.20
• @cosme「【お知らせ】メール配信システム『Cuenote FC』への不正アクセスについて」2026.10.23
• 日本経済新聞「防災情報サービスに不正アクセス　自治体向け、メアド313万件漏洩か」2026.10.13
• 香川県「不正アクセスによる防災情報メール等登録情報の流出について」2026.10.13
• マウスコンピューター「メールアドレス漏えいの可能性およびメールマガジン配信の一時停止について」2026.10.14
• 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」2026.10.26 閲覧
• 個人情報保護委員会「『個人情報の保護に関する法律についてのガイドライン』に関するQ&A」Q7-532026.10.26 閲覧
• 個人情報保護委員会「大規模な漏えい等事案を踏まえた対応について（注意喚起）」2026.10.07
• 個人情報保護委員会「株式会社エムケイシステムに対する個人情報の保護に関する法律に基づく行政上の対応について」2024.03.25
• JPCERT/CC「直近で相次いでいる国内組織における不正アクセスに関する注意喚起」2026.10.08（10.23更新）
• IPA「不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について」2026.10.09
• IPA「情報セキュリティ10大脅威 2026」2026.10.26 閲覧
• 国家サイバー統括室「不正アクセスによる漏えい等の事案を踏まえた各機関による注意喚起等について」2026.10.14

このレポートは2026年10月26日10時時点の公開情報にもとづきます。ラクスライトクラウドの調査は続いており、侵入の経路や漏えいの範囲、影響を受けた委託元は、今後の発表で変わる可能性があります。新しい情報があれば更新します。最終閲覧日はいずれも2026年10月26日です。