メール配信「ブラストメール」への不正アクセス（2026年10月）｜配信元の事業者とメルマガ読者がやること【随時更新】

最終更新：11 月 2 日 12:44（日本時間） 続報が出たら追記します。
すぐ見る：よくある疑問 ／ メルマガを受け取っていた人 ／ 配信していた会社 ／ 技術的な詳細 ／ 経緯

この記事では、ブラストメールの情報漏洩（不正アクセスによる情報の持ち出し）について、親会社のラクスの第 1 報・第 2 報と、ブラストメールを提供するラクスライトクラウドのお知らせ、利用していた会社の公表だけをもとに、何が起きたのかと、配信元の事業者とメルマガ読者（メルマガを受け取っていた人）がやることを整理します。

何が起きたか

ブラストメールは、株式会社ラクスの子会社で、メール配信のサービスを提供する株式会社ラクスライトクラウドのメール配信システムです。会社やお店が、メルマガやお知らせを大勢に送るときに使います。

2026 年 10 月 21 日の午前 0 時 30 分、システムへの不審なアクセスが見つかり、サービスが緊急停止しました。同じ日の第 2 報で、外部の第三者による不正アクセスがあり、お客さまの個人情報を含むデータが外に持ち出されたことを確かめたと公表しています。

持ち出されたのは、契約しているすべての会社の連絡先などと、一部の契約の配信先のリストです。配信先のリストの漏えいが確認された契約は、10 月 26 日 17:00 の更新で 345 件です。この 345 件すべてに、個別の連絡を終えたとしています。

なお、ラクスは 10 月 21 日、念のため、楽楽販売などほかの 7 つのサービスも一時止めました。翌 22 日に安全を確かめて再開し、これらのサービスへの不正アクセスや情報漏えいは確認されていないとしています。

止まっているもの

ブラストメールは 10 月 21 日の午前 0 時 30 分から止まったままで、再開の日時は決まっていません（10 月 26 日 17:00 の更新の時点）。

• 管理画面と API 配信の設定や配信先のリストの管理、ほかのシステムからの連携ができない
• メールの配信 10 月 21 日の午前 1 時ごろから止まっている。ブラストメールで送っていたメルマガやお知らせは届かない
• 製品サイト 安全を確かめるため、ブラストメールのサイトの公開も一時止めている。最新の状況はお知らせのページで案内されている

メルマガを受け取っていた人がやること

自分の情報（配信先のリストに入っていた情報）が漏れたかどうかは、メルマガを送っていた会社の契約ごとに違います。ラクスライトクラウドの案内では、読者への通知は、メルマガを送っていた会社が行うとされています。

1. メルマガが届かなくなったら、送っていた会社の公式サイトのお知らせを確かめる。新潟日報社のように、配信を止めている間の最新の情報をサイトで案内している例もある
2. 送っていた会社や関係先を名乗る不審なメール、心当たりのない案内のメールは、リンクや添付ファイルを開かずに消す（新潟日報社の案内）
3. 自分の情報について知りたいことは、メルマガを送っていた会社の問い合わせ窓口へ

次に読む：個人情報が漏れたと連絡が来たときにやること ／ 最近の偽メール・偽 SMS の傾向と見分け方

ブラストメールで配信していた事業者がやること

ラクスライトクラウドの案内に沿って並べます。会社名や担当者の連絡先などは、すべての契約者の分が持ち出されています。配信先のリストなどの漏えいが確認された契約者には、個別に連絡しているとしています。

1. ラクスライトクラウドからの個別の連絡を確かめる。分からないことは、ブラストメールのサポート（support@blastmail.jp・03-6862-7337・平日 10 時〜17 時）へ
2. 個人情報保護委員会への報告をどうするか決める。ラクスライトクラウドがまとめて、契約者との連名で報告できる。連名にすれば、自社から委員会へ個別に報告しなくてよい。申し込みは 2026 年 10 月 29 日まで。自社で個別に報告するなら、申し込みは要らない
3. 配信先のリストなどの漏えいが確認された場合は、連名報告を選んでも、読者など本人への通知は自社で行う。連名報告は委員会への報告だけ
4. プライバシーマークを持っている会社は、JIPDEC への報告を自社で個別に行う

ラクスライトクラウドは、この案内を自社の個人情報保護の担当部署にも伝えてほしいとしています。あわせて、メルマガが届かないことへの問い合わせや、自社を名乗るメールに備えて、自社のサイトのお知らせで事実と問い合わせ先を伝えておくと、読者が確かめやすくなります（この記事での整理）。

次に読む：メール配信など外部のサービスで続いた事故の比較と初動 ／ 別のメール配信サービス「Cuenote FC」の件

利用していた会社の公表の例

ブラストメールでメルマガを送っていた会社も、自社の会員への影響を公表しています。ここでは、自社の公式サイトで公表している例を紹介します。

• メディアナビ（10 月 30 日） IT 関連の書籍やセミナーを手がけるメディアナビは、メールマガジンの配信にブラストメールを使っていて、配信先のメールアドレスと名前が漏えいしたと公表しました。メディアナビによると、件数は約 11 万件で、配信を止めた人や登録を解除した人も含まれます。カード情報・パスワード・住所・購入の履歴は含まれていません。配信の仕組みが止まっているため個別の連絡ができず、配信を再開したあと、ふだんのメールマガジンより先に対象の人へ知らせるとしています。
• INAC神戸 レオネッサ（第二報・10 月 30 日） 女子サッカーの INAC神戸 レオネッサは、会員の希望者へ送るメールマガジンにブラストメールを使っていました。10 月 30 日の第二報で、委託先を通じた調査の結果、会員の配信先の情報の漏えいは 0 件だったと公表しました。INAC神戸によると、メールマガジンを送るたびに、送った情報をシステムの上から消す手順を入れていたためとしています。メールマガジンの配信は止めていて、より安全な送り方を決めてから会員ページで知らせるとしています。
• 石油資源開発（JAPEX・10 月 21 日） 石油資源開発（JAPEX）は、ウェブサイトの更新を知らせるメールマガジンと、機関投資家・証券アナリスト向けのイベントの案内の配信にブラストメールを使っていて、個人情報が漏えいした可能性があると公表しました。石油資源開発によると、メールマガジンはメールアドレス、イベントの案内は氏名・会社名・所属部署・役職・メールアドレス・郵便番号・住所・電話番号が対象で、どちらも件数は調査中です。ブラストメールは自社のシステムとは別の外部のサービスで、自社のネットワークやシステムへの影響はないとしています。
• 松竹（シネマ歌舞伎・MET ライブビューイング・10 月 22 日・29 日） 松竹は、「シネマ歌舞伎」と「MET ライブビューイング」のメールマガジンの配信にブラストメールを使っていました。10 月 29 日の中間報告で、松竹によると、29 日 17 時の時点で、登録者のメールアドレスなどは漏えいが確認された情報に含まれていないとラクスライトクラウドから報告を受けたとしています。ただし、調査が進めば変わる可能性があるとしています。メールマガジンの配信と登録・解除は止めたままで、解除の希望は窓口で受け付け、サービスが再開してから手続きするとしています。
• ブロードリーフ「ものづくりドットコム」（第 1 報 10 月 23 日・第 2 報 10 月 29 日） ブロードリーフは、製造業向けの情報サイト「ものづくりドットコム」のメールの配信にブラストメールを使っていて、メールの送付先のリストが持ち出されたと公表しました。ブロードリーフによると、持ち出されたのはメールアドレスと氏名で、登録した人だけ会社名・職種・役職・都道府県・生まれ年・業種・従業員数・購読しているメールマガジンの種類も含まれます。カード情報やログインのパスワードなどは含まれていません。件数は書かれていません。対象の人への個別の案内は、ブラストメールとは別の配信の仕組みで順に送っているとしています。
• ベターホーム協会（10 月 28 日） 料理教室や通信販売を手がけるベターホーム協会は、通信販売のメールマガジンを 10 月 17 日に送った 7,015 件のメールアドレスが漏えいしたと公表しました。ベターホーム協会によると、漏えいしたのはメールアドレスだけで、名前・住所・電話番号・クレジットカード情報・パスワードはブラストメールに登録していません。料理教室や取引先向けのメールマガジンも同じシステムを使っていますが、28 日 12 時の時点で漏えいの報告は受けていないとしています。対象の人には個別に連絡するとしています。
• 北海道千歳市（10 月 27 日） 市の「緊急・防災情報」などのメール配信サービスにブラストメールを使っていて、登録していた人のメールアドレス 1,141 件が漏えいしたと公表しました。漏れたのはメールアドレスだけとしています。市は配信を止め、同じような情報を公式の LINE と X で出しています。
  → 千歳市の件の詳しい記事
• オカムラ（第 2 報・10 月 27 日） オカムラは、23 日の第 1 報でスマートロジテック事業のメールマガジンの配信先が対象になったと公表したのに続き、27 日の第 2 報で、ほかの事業での利用を確かめた結果、コマースソリューション事業でもブラストメールを使っていて、個人情報が漏えいした可能性があると公表しました。オカムラによると、対象は名刺交換をした人のうち、コマースソリューション事業本部からメールを受け取っている人で、項目は氏名・会社名・所属部署・役職・メールアドレス・電話番号・会社所在地です。クレジットカード情報や口座の情報は登録していませんでした。漏えいが確認できた人には個別に連絡するとしています。
• ダイハツ工業（10 月 27 日） ダイハツ工業は、メディア・報道関係者向けの「ダイハツメディアサイト」と、プレスリリースを配信する「ダイハツプレスインフォメーション」でブラストメールを使っていました。ダイハツ工業によると、メディアサイトの登録者の氏名・会社名・役職・メールアドレスが対象です。不正に使われた事実や二次被害は確認されていませんが、メディアサイトは使えない状態で、再開の時期は分かっていないとしています。
• 名古屋銀行・損保ジャパンDC証券（10 月 27 日） 顧客の情報の漏えいは確認されていない、という公表です。損保ジャパンDC証券によると、同社が使っていたブラストメールの件で、配信先リストなどの漏えいが確認された契約先（10 月 27 日時点で累計 345 件）に同社の契約は含まれず、顧客の情報の外部への漏えいは確認されていません。共同で運営する名古屋銀行も、顧客の情報の漏えいは確認されていないと公表しました。
• じげん（ミナオシ・10 月 27 日） じげんは、運営する「ミナオシ」のメールマガジンの配信に使っていたブラストメールへの不正アクセスで、登録していた人の情報 40,026 件（過去に配信を止めた人を含む）が漏えいしたと公表しました。ミナオシの資料請求や、ミナオシが主催・共催・協賛するウェビナー・カンファレンスなどの申込みで預かった情報で、氏名・メールアドレス・会社名と、申込みのときに受け取っていれば電話番号・所属部署・役職・業種・従業員数・申し込んだウェビナー名です。クレジットカードなどの決済の情報は含まれていません。じげんによると、悪用は確認されていないとの報告を受けていて、個人情報保護委員会にはラクスライトクラウドと連名で報告する予定です。じげんのほかのサービスへの影響はないとしています。
• 東京都農林水産振興財団（東京広域援農ボランティア事業・10 月 23 日） 東京都の政策連携団体の東京都農林水産振興財団が行う「東京広域援農ボランティア事業」で、財団が委託している事業者が、メール配信による情報発信にブラストメールを使っていました。東京都によると、生産者とボランティア参加者の氏名・メールアドレス・属性が漏えいし、対象者は最大約 16,000 件です。ラクスライトクラウドから、一部の契約者の配信先リスト等の漏えいが確認されたとの報告を受けたもので、漏えいの範囲や影響は同社が調査中です。財団はブラストメールの利用とメール配信を止め、同社に漏えいの範囲・原因・再発防止策の詳しい報告を求めています。不審なメール等に十分注意するよう呼びかけていて、問い合わせ先は東京都産業労働局農林水産部農業振興課（電話 03-5320-4831）です。
• アルク（ALC News +・10 月 23 日） アルクは、メールマガジン「ALC News +（アルクニュースプラス）」の配信先のメールアドレスが漏えいしたと公表しました。アルクによると、対象は約 31 万件で、漏えいしたのはメールアドレスと、一部の人については社内の管理用の番号です。この番号だけで個人を特定したり、ログインしたりすることはできないとしています。氏名・住所・電話番号・パスワード・クレジットカード情報は、ブラストメールに登録していませんでした。ほかのメールマガジンでは漏えいは確認されておらず、ブラストメールを使ったメールの配信は止めています。
• 新潟日報社（第 2 報・10 月 22 日） 新潟日報社によると、ラクスライトクラウドから「新潟日報パスポート」の会員すべての個人情報が漏えいしたと報告を受け、対象は最大約 25 万 3000 人とみられます。漏れたのは、氏名（カタカナ）・都道府県名・市町村名・メールアドレス・性別・年代・購読している商品名・購読しているメルマガの名前です。クレジットカード情報・電話番号・生年月日・口座番号・パスワードは含まれていません。
• 新潟日報社（第 3 報・10 月 23 日） 漏えいの可能性を調べていた別の会員の約 7000 人は、ラクスライトクラウドが個別の連絡を終えた 288 件には入っていなかったと公表しました。ニュースレターなどのメールは止めたままです。会員登録や退会のときに自動で送るメールは、この件の影響がない別のシステムから、ふだんどおり送っています。
• エックスサーバー（10 月 23 日・29 日） レンタルサーバーのエックスサーバーは、ニュースやキャンペーンの配信に使っていたブラストメールの配信先リスト（読者データ）の全件が漏えいしたと、サービス提供元から報告を受けたと公表しました。10 月 29 日 20:30 の追記で、件数が分かりました。エックスサーバーによると、メールアドレスは 459,679 件で、ほかに氏名・氏名のフリガナが 380,384 件、会社名・会社名のフリガナが 115,702 件、利用サービス名・アカウントの登録日なども漏れました。漏れた情報は人によって違うとしています。ログインパスワード・住所・電話番号・クレジットカード情報などの決済情報はリストに含まれていません。自社のサーバーや管理画面への不正アクセスは確認されていません。ブラストメールとのデータ連携を止め、利用を終えて自社で作るメール配信の仕組みへ移るとしています。人ごとの漏れた情報は、メールで個別に知らせるとしています。
• ジーイエット（マックハウス・10 月 23 日） 衣料品店「マックハウス」を運営するジーイエットは、メールマガジンに使っていたブラストメールについて、配信先リストなどの一部が外に持ち出された可能性があるとして、情報漏えいの可能性を適時開示で公表しました。ジーイエットの開示では、漏えいの可能性がある情報は氏名・メールアドレス・生年月日・性別・地域で、仮会員登録の人はメールアドレスだけです。件数は精査中で、ブラストメールを通じたメールの配信は止めています。ジーイエットや関係先を名乗る不審なメールが届く可能性があるとして、注意を呼びかけています。
• クリーマ（Creema・10 月 23 日） ハンドメイド作品の通販サイト「Creema」を運営するクリーマは、ブラストメールの停止の連絡を受けて、メールマガジンを止めていると公表しました。クリーマの発表では、10 月 23 日 10:00 時点のラクスライトクラウドからの連絡で、登録していたメールアドレスが流出したという報告は受けていません。PHP の件で 21〜22 日に行った緊急メンテナンスとは別の件で、自社のシステムによるものではないとしています。再開の時期は未定です。
• 東京メトロ（10 月 23 日） 東京メトロは、イベントの情報を送るメールマガジンに使っていたブラストメールへの不正アクセスで、登録者のメールアドレス約 8 万件が第三者に取得されたと公表しました。それ以外の登録情報が取得された可能性はないとしています。イベント情報のサイトと、メールマガジンの登録・解除・配信は止めています。 東京メトロの件の記事を読む
• カカオピッコマ（ピッコマ・10 月 24 日） 電子書籍・マンガのアプリ「ピッコマ」を運営するカカオピッコマは、メールマガジンに使っていたブラストメールへの不正アクセスで、ピッコマのメールマガジンの 1 回分の配信の宛先になっていたメールアドレス（1,002,404 件）が外に流出したと公表しました。10 月 24 日のラクスライトクラウドからの報告で分かったもので、件数はその時点で報告を受けているものです。 カカオピッコマの発表では、流出したのはメールアドレス（メールマガジンの受信先として登録したもの）だけで、利用者を識別するための管理番号や最終課金日などの情報は含まれていないことを確認しています。パスワードはブラストメールに預けておらず、流出の可能性はありません。氏名とクレジットカード情報は、カカオピッコマでは持っていません。ピッコマノベルズのメールマガジンは、今のところ流出は確認されていません。アプリ・Web サービスや自社のシステムへの不正アクセスではなく、アカウント・パスワード・購入情報への影響はないとしています。 メールマガジンは止め、ブラストメールから送られるメールがピッコマの正規のメールとして扱われないよう設定を変え、個人情報保護委員会へ報告しました。対象の人には個別に連絡するとしています。ピッコマや出版社を名乗る不審なメールや SMS に注意し、心当たりのないメッセージのリンクを開いたり、個人情報やパスワードを入れたりしないよう呼びかけています。ピッコマがメールでパスワードやクレジットカード情報の入力を求めることはないとしています。
• 南日本新聞社（第 1 報・10 月 22 日〜第 3 報・10 月 27 日） 新聞社の南日本新聞社は、デジタル会員サービス「みなみパス」のメールの配信を任せていたブラストメールへの不正アクセスで、会員の情報の一部が外に持ち出されたと公表しました。南日本新聞社によると、対象は最大で約 6 万 6,500 人になるとみられ、流出した可能性がある情報は、氏名・メールアドレス・生年月日・居住市町村・郡などです。電話番号・詳しい住所・パスワード・クレジットカード情報は委託先に預けていないため、流出はないとしています。 10 月 26 日の第 2 報では、漏えいした情報の内容や原因をラクスライトクラウドに問い合わせているものの、26 日の時点ではまだ詳しいことは分かっていないとしています。ブラストメールが止まっているため、会員への知らせは紙面とホームページで行っています。南日本新聞社やみなみパスを名乗る不審なメールや心当たりのない添付ファイルは、開かずに消すよう呼びかけています。桜島の降灰を知らせるメールも止まっていて、再開のめどは立っていません。 10 月 27 日の第 3 報で、ラクスライトクラウドから流出したデータの報告があったと公表しました。南日本新聞社によると、漏えいしたのは 66,596 件の氏名・メールアドレス・性別・生年月日・居住自治体・新聞の購読の有無・興味のあるジャンルです。登録のときに任意で入力した、子どもの有無（性別・年齢を含む）、役職、居住形態、婚姻の有無も含まれます。電話番号・住所・パスワード・クレジットカード情報は流出していません。原因は引き続き問い合わせているとしています。

経緯

技術的な詳細（システム担当者向け）

ここからは、メール配信の仕組みや、ブラストメールとの API 連携を担当しているエンジニア向けです。ラクスとラクスライトクラウドの発表に書かれた、持ち出された情報の範囲と侵入の流れを並べます。

侵入の流れについての発表です。ラクスライトクラウドによると、外部の第三者が同社の API 用のサーバー 2 台に侵入してコマンドを実行し、そこから販売管理システムとサービスのデータベースに接続して、データを持ち出しました。侵入の経路の詳細は調査中です。同社の内部の調査は 10 月 24 日の午前 10 時ごろに終わる予定で、専門機関による外部の調査も並行して進めています。

10 月 26 日 17:00 の更新では、外部の調査の中で、配信先のリストなどの漏えいが新たに 1 件分かりました。対象の契約者には、26 日のうちにメールで個別に知らせたとしています。外部の調査がいつ終わるかは、分かり次第知らせるとしています。次の報告は 10 月 27 日（火）12:00 ごろの予定です。

• API 連携をしていた場合 管理画面と API は止まっていて、ほかのシステムからの連携はできません。エックスサーバーは、ブラストメールとのデータ連携を止め、自社で作るメール配信の仕組みへ移るとしています。
• 送信元の設定 カカオピッコマは、ブラストメールから送られるメールがピッコマの正規のメールとして扱われないよう、設定を変えたとしています。

この記事での整理です。ブラストメールを自社のドメインの送信元として登録していた場合は、利用をやめるか再開まで待つかに合わせて、送信ドメイン認証などの送信元の設定と、連携に使っていた API キーなどの扱いを見直しておくと、自社を名乗るメールへの備えになります。

自社で見直すこと

メール配信のように、お客さまのメールアドレスを外部のサービスに預ける仕事は、多くの会社にあります。預けた先で事故が起きても、読者への通知や説明は自社にも求められます（この記事での整理）。

• 預けているお客さまの情報を一覧にする メール配信・フォーム・予約・ネットショップ・決済など、お客さまの情報を預けているサービスと、それぞれの事故のお知らせを見る場所を控えておく。
• 配信先のリストに入れる項目を、要るものだけにする メルマガを送るのに使わない項目まで、配信のサービスに入れていないかを見直す。預けていない情報は、漏れることもない。
• メールが止まったときの連絡の手段を決めておく 配信のサービスが止まってもお客さまに伝えられるよう、自社のサイトにお知らせを載せる手順と、どのアドレスから送るかを公式サイトに書いておく。

ほかの最近の出来事は 「最近のサイバー攻撃と対策」、続けて備える体制の考え方は 「ホームページの保守」 にまとめています。

作り方は 3 つ｜完成済み・自作・オーダーメイド

作り方はどれでも選べます。優劣ではなく、向いているケースが違います。

• オーダーメイドで作る（制作会社に依頼） 要件を渡せば設計から任せられます。自社に合わせて一から作りたい場合や、撮影・原稿まで任せたい場合に向きます。SITE PICK でもオーダーメイド制作の相談を受け付けています。

  オーダーメイド制作を相談する オーダーメイド制作との違い

• 自分で作る（自作） 費用は抑えられます。そのかわり、使っているサービスの事故の情報を追い、お知らせの掲載や安全対策を公開後もずっと自分で続けることになります。
• 完成済みのサイトから選ぶ（完成済み） 構成・更新の仕組み・入口が組まれた状態を実物で確かめ、社名・写真・文章を差し替えて公開します。完成形を先に確認してから決めたい場合に向きます。この記事の集計は、その実際のサイトのデータです。

  完成済みのサイトを実物で見る