ブラストメールに不正アクセス 契約者全員の情報が流出、配信も停止

メール配信サービス「ブラストメール」を運営するラクスライトクラウド(ラクスの完全子会社)は、自社のシステムへの不正アクセスを公表しました。外部の第三者がAPI用のサーバー2台に侵入し、販売管理のシステムとサービスのデータベースからデータを持ち出したとしています。全契約者の情報が持ち出され、一部の契約者は配信先のリストなども漏れました。

サービスは2026年10月21日(水)0時30分から止まっていて、再開の日時は未定です。不正アクセスは21日に確認したとしています。

ラクスライトクラウドが公表したこと(10月22日14時の更新)

ブラストメールの製品のサイトも、セキュリティの確認作業のため公開を止めています。

利用者の側でも公表が出ている

ブラストメールを使っていた会社が、自社の取引先や顧客への影響を公表し始めています。バイクの用品を扱うデイトナ(東証スタンダード)は10月22日、取引先向けのお知らせを適時開示しました。

ブラストメールの配信先のリストには、取引先や顧客のメールアドレスが入っています。漏れたリストが使われると、その相手に、本物らしく見える偽のメールが届く恐れがあります(当社の見立て)。

公表に書かれていないこと

• 侵入の経路と、APIのサーバーが狙われた理由
• 契約者の数と、配信先のリストが漏れた契約者の数
• 配信先のリストの中身(メールアドレスのほか、名前などの項目が含まれるか)
• サービスの再開の時期

影響する人・会社、しない人・会社

• 影響する: ブラストメールを契約していた会社です。契約者としての会社名、担当者名、電話番号、メールアドレスなどは、全契約者の分が持ち出されています。
• 影響する: 配信先のリストが漏れた契約者と、そのリストに入っていた顧客や取引先です。運営会社から個別の連絡が来ます。
• 影響する: メルマガやお知らせの配信をブラストメールに頼っていた会社です。再開まで配信ができず、別の手段が要ります。
• 影響しない: ブラストメールを使っていない会社と、その配信先に入っていない人です。ただし、ブラストメールの利用者を名乗る偽のメールには、誰でも注意が要ります。

会社・情シスが今日やること

1. ブラストメールを使っていたかを、部署ごとに確かめます。マーケティングや営業、イベントの担当が、情シスを通さずに契約していることがあります。
2. 運営会社からの個別の連絡を確かめます。配信先のリストが漏れていれば、そのリストに入っていた顧客や取引先への知らせと、個人情報保護委員会への報告が要るかを、法務や個人情報の担当と判断します。
3. 自社の名前を使った偽のメールに注意するよう、顧客や取引先に知らせる準備をします。配信先のリストが漏れていなくても、契約者の情報(担当者名やメールアドレス)が持ち出されているため、担当者あての偽のメールにも注意します。
4. ブラストメールの管理画面やAPIのパスワードとAPIキーを、再開したら変えます。同じパスワードをほかのサービスで使っていれば、そちらを先に変えます。
5. 配信を止められない業務(請求、会員への重要な知らせなど)は、別の配信の手段を決めます。新しい配信のサービスを入れるときは、多要素認証、APIキーの管理、配信先のリストの持ち方を確かめます。
6. 10月22日17時ごろの続報で、侵入の経路や漏えいの範囲を確かめ、社内への知らせを直します。