最終更新：10 月 27 日 13:23（日本時間）
続報が出たら追記します。
すぐ見る：よくある疑問 ／ 登録していた人がやること ／ 技術的な詳細 ／ 配信を外部に任せるときの点検表 ／ 経緯
ひとことで言うと
市の防災メールなどに登録していた人のメールアドレスが漏れた（10 月 27 日の発表まで）
- 千歳市は、地震やヒグマの目撃などを知らせるメールを、外部のメール配信サービス「ブラストメール」で送っていた。そのサービスの会社が外から入り込まれ（不正アクセス）、データを持ち出された
- 千歳市の分では、登録していた人のメールアドレスが漏れた。対象は 1,141 件で、漏れたのはメールアドレスのみと発表されている
- 市はメールの配信を止めていて、同じような情報は市の公式 LINE と X で出している。登録していた人には、市からメールでお詫びの連絡が届く予定
どうすればいい？
よくある疑問と答え
-
自分のメールアドレスは漏れた？
千歳市のメール配信サービスに登録していた人が対象です。市は、対象の人にメールでお詫びの連絡をするとしています。
→ 登録していた人がやること - 名前や住所も漏れた？ 市の発表では、漏れたのは「メールアドレスのみ」です。
-
防災情報やヒグマの情報は、今どこで見られる？
メールの配信は止まっています。同じような情報は、市の公式 LINE と X で出しています。再開の時期は、分かりしだい市のホームページなどで知らせるとしています。
→ 配信が止まっている間の情報の受け取り方 -
気をつけることは？
市を名乗るメールや、防災・ヒグマの情報を装ったメールのリンクを、すぐに開かないでください。市も、不審なメールに注意するよう呼びかけています。
→ 不審なメールの見分け方の早見表 -
市のシステムが攻撃されたの？
攻撃されたのは、配信サービスを提供する会社のサーバーです。千歳市によると、その会社の API 用のサーバー 2 台に入り込まれ、そこからデータを持ち出されました。
→ 技術的な詳細 -
防災メールを外部に任せている自治体や団体は？
配信が止まったときの代わりの手段と、預ける情報の範囲を見直してください。点検表を下に載せています。
→ 配信を外部に任せるときの点検表
詳しくは：登録していた人がやること ／ 不審なメールの見分け方 ／ 自治体・団体の担当者向けの点検表
この記事では、千歳市のメール配信サービス（防災メールなど）の情報漏洩について、千歳市の 10 月 27 日のお知らせと、配信サービス「ブラストメール」の提供元のお知らせだけをもとに、何が起きたのかと、登録していた人・配信を外部に任せている自治体や団体がやることを整理します。
何が起きたか
10 月 27 日の市のお知らせで分かっていることです。千歳市は、市のホームページのメール配信サービスとして、株式会社ラクスライトクラウドの「ブラストメール」を使っていました。ラクスライトクラウドは、株式会社ラクスの子会社で、メール配信サービス「ブラストメール」を提供する会社です。
千歳市によると、同社から、一部の契約者の配信先のリストなどが漏れたことが分かり、千歳市もその対象だと報告を受けました。
| こと | 発表の内容 |
|---|---|
| 対象の人 | 千歳市メール配信サービスの登録者 |
| 送っていた情報 | 緊急・防災情報 ／ 不審者情報 ／ 未帰宅者情報 ／ ヒグマ目撃情報 |
| 対象の数 | 1,141 件 |
| 漏れた情報 | メールアドレスのみ |
| サービス | 止まっている。ラクスライトクラウドが再開に向けた作業をしている |
| 市の対応 | サービスの利用とメールの配信を止めた。同じような情報は市の公式 LINE と X で出す。対象の人にメールでお詫びの連絡をする。再開の時期が分かったら、ホームページなどで知らせる |
市の案内では、このメール配信サービスは、地震や樽前山の噴火の情報、不審者の情報、帰ってこない人（未帰宅者）の情報、ヒグマの目撃情報などを、登録した人のメールに届ける仕組みです。誰でも無料で登録できます。
まだ発表されていないこと
- 市が報告を受けた日 市のお知らせには、ラクスライトクラウドから報告を受けた日付は書かれていません。
- 漏れたアドレスが悪用されたか 市のお知らせには書かれていません。市は、不審なメールに注意するよう呼びかけています。
- 配信の再開の時期 決まっていません。ラクスライトクラウドも、サービスの再開の日時は「未定」としています。
経緯
| 日付 | できごと |
|---|---|
| 2026 年 10 月 27 日 | 千歳市が公表。メール配信サービスの登録者のメールアドレス（1,141 件）が漏れたと説明し、配信を止めて、公式 LINE と X で情報を出すとした |
| 10 月 27 日 | ラクスライトクラウドがお知らせを更新（12 時 30 分）。前の報告のあとに新しく漏えいが分かった契約者はいないとした。次の報告は 10 月 28 日 12 時ごろの予定 |
| 10 月 21 日 | 午前 0 時 30 分からブラストメールが止まり、午前 1 時ごろからメールの配信も止まった |
ブラストメールの件の全体（ほかに利用していた会社の公表の例を含む）は、「ブラストメールの不正アクセス」にまとめています。
千歳市の防災メールに登録していた人がやること
市のメール配信サービスに登録していた人に向けた整理です。漏れたのはメールアドレスだけと発表されています。それでも、そのアドレスに、市を名乗るメールや迷惑メールが届くことはありえます。次のことをしておくと安心です（この記事での整理）。
- 市からお詫びのメールが届いたら、リンクを開く前に、自分で開いた市の公式サイトのお知らせと内容が合っているかを見る
- 市や防災・ヒグマの情報を名乗って、パスワード・カードの番号・口座・住所などを入れさせようとするメールには答えない
- 配信が止まっている間は、市の公式 LINE や X、市のホームページで情報を確かめる
- サービス全般について聞きたいことは、市の広報広聴課へ（市の注意事項では、配信されたメールに返信して問い合わせることはできないとされている）
不審なメールの見分け方の早見表（この記事での整理）
漏れたのが防災メールの宛先だと分かると、「緊急」「至急」をうたう偽のメールに使われやすくなります。迷ったときは、次の表で判断してください。
| 届いたメール | どうするか |
|---|---|
| 市からのお詫びのメール | 市の公式サイトのお知らせ（メール配信サービスへの不正アクセスによる情報の漏えいについて）と、内容が合っているかを見る。合わないときはリンクを開かない |
| 「再登録してください」「登録を確認してください」 | リンクを開かない。配信の再開は市のホームページなどで知らせると発表されているので、そちらで確かめる |
| 防災・ヒグマ・不審者の「緊急」をうたい、入力を求める | 名前・住所・パスワード・カードの番号などは入れない。本当に急ぐ情報かは、市の公式 LINE・X やテレビ・ラジオで確かめる |
| 「返信してください」と求める | 返信しない。市の注意事項では、配信されたメールへの返信による問い合わせはできないとされている |
| 見覚えのない通販・当選・請求のメールが増えた | 開かずに消す。迷惑メールとして報告できるメールソフトなら、報告しておく |
配信が止まっている間の情報の受け取り方
市は、メール配信サービスと同じような情報を、市の公式 LINE と X で出しています。地震や噴火、ヒグマの目撃のように急いで知りたい情報は、メールだけに頼らず、公式 LINE・X・市のホームページ・テレビやラジオなど、いくつかの手段で受け取れるようにしておくと安心です（この記事での整理）。
登録の内容を変えたい・登録をやめたい人は、市の案内では「登録内容の変更・削除」のページから手続きします。サービスが止まっている間は、再開の案内を待つか、広報広聴課（メディア推進係：0123-24-3140）に問い合わせてください。
技術的な詳細（システム担当者向け）
ここからは、メール配信の仕組みを担当している自治体・団体・会社のシステム担当者向けです。市のお知らせと、ラクスライトクラウドの 10 月 27 日 12 時 30 分の更新に書かれた内容を、発表の言葉に沿って並べます。
| 観点 | 発表の内容 |
|---|---|
| 侵入の流れ | 外部の第三者が、ラクスライトクラウドの API 用のサーバー 2 台に侵入してコマンドを実行し、そこから販売管理システムとサービスのデータベースに接続して、データを持ち出した。侵入経路の詳細は調査中 |
| 持ち出された契約者の情報 | 販売管理システムから、すべての契約者の会社名・担当者名・電話番号・メールアドレス・請求先のメールアドレス・契約と支払いの履歴など。クレジットカード番号は同社では持っていない |
| 配信先のリストなど | 一部の契約者で漏えいを確認。契約者情報以外の漏えいが確認された契約は 345 件で、すべてに個別の連絡を終えた。いずれも今の時点の数で、外部の調査が進むと変わる可能性がある |
| 止まっているもの | 10 月 21 日 0 時 30 分から管理画面と API が使えない。メールの配信も 1 時ごろから止まっている。再開の日時は未定 |
| 千歳市の分 | 登録者のメールアドレスのみ（1,141 件）。市は利用と配信を止めている |
| 発表に無いこと | 侵入に使われた脆弱性や手口・CVE 番号・侵入が始まった時期・千歳市の配信先のリストが持ち出された日時 |
ラクスライトクラウドは、個人情報保護委員会への報告を考えている契約者に向けて、同社との連名での報告に対応できると案内しています。
この記事での整理です。今回のように、配信サービスの会社の側で事故が起きると、利用していた側の仕組みに問題がなくても、配信先のリストと契約者の担当者の連絡先の両方が外に出ることがあります。担当者の名前や連絡先が持ち出された契約者は、自分たち宛ての不審なメール（配信サービスや取引先を名乗るもの）にも気をつける必要があります。また、市の案内では、登録者に「@city.chitose.lg.jp」からのメールを受け取れるよう設定するよう求めています。一般に、自分の組織のドメインを送信元にして配信サービスから送っている場合は、利用をやめるか再開まで待つかに合わせて、送信ドメイン認証（SPF・DKIM など）に入れている配信サービスの設定と、連携に使っていた API キーの扱いを見直しておくと、組織を名乗る偽のメールへの備えになります。
次に読む：自治体の防災メールの配信システムが狙われた「SpeeCAN RAIDEN」の件 ／ メール配信など委託先から漏れたときの比較と初動
防災メールの配信を外部に任せるときの点検表
防災メールやお知らせのメールを、外部の配信サービスで送っている自治体・団体・会社は少なくありません。防災の情報は、止まると困る人が出る情報です。千歳市は、配信を止めたうえで、公式 LINE と X で同じような情報を出しています。次の点を前もって決めておくと、同じような事故が起きたときに慌てずにすみます（この記事での整理）。
| 点検すること | 中身 |
|---|---|
| 配信が止まったときの代わりの手段 | 公式 LINE・X・ホームページなど、メールが止まっても情報を出せる手段を決め、ふだんから登録者に知らせておく。誰がどの手段で出すかも書いておく |
| 預ける情報の範囲 | 配信に使わない項目（名前・住所・年齢など）を配信サービスに入れていないかを見直す。預けていない情報は漏れない |
| 委託先と事故のお知らせを見る場所 | 使っている配信サービスの名前・提供元・事故のお知らせのページ・緊急の連絡先を控える。千歳市のお知らせのように、自分のお知らせから提供元の最新の情報へつなげられるようにする |
| 報告と連絡の決めごと | 事故のとき、委託先がいつまでに、何を、誰に知らせるかを契約や仕様書で決めておく。漏えいの有無と件数、調べた結果の共有も含める |
| 登録者へのお知らせの出し方 | 配信サービスが止まっていても登録者に知らせられるよう、ホームページに載せる手順と、お詫びのメールをどこから送るかを決めておく |
| 送信元の設定と連携の鍵 | 自分の組織のドメインで送らせている場合は、送信ドメイン認証の設定に入れている配信サービスと、連携に使う API キーを一覧にする。使わなくなったら外す・止める |
| 担当者の連絡先も漏れうる | ブラストメールの件では、すべての契約者の担当者名や電話番号なども持ち出された。担当者宛ての不審なメールに注意するよう、組織の中で伝える |
ほかの最近の出来事は 「最近のサイバー攻撃と対策」、外部のサービスも含めて続けて備える体制の考え方は 「ホームページの保守」 にまとめています。
作り方は 3 つ｜完成済み・自作・オーダーメイド
作り方はどれでも選べます。優劣ではなく、向いているケースが違います。
- オーダーメイドで作る（制作会社に依頼） 要件を渡せば設計から任せられます。自社に合わせて一から作りたい場合や、撮影・原稿まで任せたい場合に向きます。SITE PICK でもオーダーメイド制作の相談を受け付けています。
- 自分で作る（自作） 費用は抑えられます。そのかわり、使っている配信サービスの事故の情報を追い、送信元の設定や安全対策の見直しを公開後もずっと自分で続けることになります。
- 完成済みのサイトから選ぶ（完成済み） 構成・更新の仕組み・入口が組まれた状態を実物で確かめ、社名・写真・文章を差し替えて公開します。完成形を先に確認してから決めたい場合に向きます。この記事の集計は、その実際のサイトのデータです。
