対象：企業や団体からメールマガジン・お知らせメールを受け取っている人と、株式会社ラクスライトクラウドのメール配信サービス「ブラストメール」を使っている企業・団体。本記事は、ラクスライトクラウドと親会社の株式会社ラクス、影響を公表した利用組織の公式発表にもとづく解説で、攻撃の手順は扱いません。
続報待ち：この記事は公式発表に合わせて更新します
2026年10月24日13時20分の更新時点まだ分かっていないこと
- 侵入経路の詳細
- 344契約がどの利用企業か（同社は個別連絡のみ）
- 契約ごとに漏えいした配信先情報の項目と件数
- サービスの再開日時
- 二次被害（情報の悪用）の有無
ラクスライトクラウドは、専門機関による外部調査を続けており、次の報告を10月25日（日）10時ごろの予定としています。土日も報告を続けるとしています。344件という数は「現時点の数値」で、外部機関の調査の進み具合で変わる可能性があると書いています。
メールマガジンを受け取っている人が今日やること
配信元の名前のメールでも、リンクや添付ファイルを開かない
ブラストメールで配信されるメールの宛先は、配信元の企業・団体が登録した配信先リストに入っています。そのため、悪用されるとすれば、本物の配信元の名前を使った偽のメールの形が考えられます。
「会員情報の確認」「ポイントの失効」「配信再開のお知らせ」のようなメールでも、本文のリンクや添付ファイル、QRコードは開かないでください。確かめるときは、公式アプリか、ブックマークした公式サイトから開きます（見分け方は フィッシングとは）。
受け取っているメルマガの組織のお知らせを確かめる
下の「影響を公表した利用組織」の表で、メールマガジンを受け取っている組織のお知らせを開いてください。表にない組織は、その公式サイトのお知らせ欄を確認します。JR四国は、対象となる可能性のある人に、お詫びの電子メールを準備が整い次第送るとしています。
パスワードや認証コード、カード番号を求められても入力しない
ラクスライトクラウドは、クレジットカード番号は同社では持っていないとしています。それでも、名前とメールアドレスを知っている相手は、それらを入力させるメールを作れます。JR四国は、不審なメールやSMSに書かれたURLを開かず、パスワード・認証コード等を入力しないよう呼びかけています。
メルマガが止まっている間に届く「配信元」のメールは、特に慎重に
新潟日報社や環境省、JR四国などは、ブラストメールでのメール配信が止まっていると公表しています。止まっている間に、その名前で「配信を再開しました」「登録内容を更新してください」というメールが届いたら、公式サイトのお知らせで再開を確かめてから扱います。新潟日報社は、会員登録や退会に伴う自動送信メールは本件の影響が及ばない別のシステムから通常どおり送るとしているので、すべてのメールが止まっているわけではありません。
影響を公表した利用組織
ブラストメールを使う組織が、それぞれお知らせを出しています。以下は、当サイトが各組織の公式ページを開いて内容を確認したもので、お知らせの中でブラストメールまたはラクスライトクラウドの名前を挙げているものだけです（2026年10月24日時点）。
各組織の状態と件数は、各組織の言葉どおりに書いています。件数の数え方（人数・延べ件数・登録件数）がそれぞれ違うので、足し合わせられません。ギフティのように、自社の契約は対象に含まれていないと公表した組織も載せています。
| 組織 | 配信に使っていたもの（各組織の発表） | 対象の情報（各組織の発表） | 件数（各組織の発表） | 状態 |
|---|---|---|---|---|
| 新潟日報社 | 「新潟日報パスポート」会員向けのニュースレター・速報メールなど | 氏名（カタカナ）、都道府県名、市町村名、メールアドレス、性別、年代、購読商品名、購読するメルマガサービス名。クレジットカード情報、電話番号、生年月日、口座番号、パスワード等は含まれない | 最大約25万3000人（全会員分） | 漏えいを確認（同社） |
| JR四国 | 「ＪＲ四国ツアーWeb」メールマガジン | 登録時に入力された氏名、生年月日、住所、電子メールアドレス | 約3万件（最大） | 可能性（同社） |
| 横浜市（GREEN×EXPO 2027 市出展エリアのボランティア応募者） | 応募者への一斉メール | 氏名、メールアドレス | 6,334人 | 可能性（市） |
| 横浜市（横浜市男女共同参画推進協会） | 協会本部と男女共同参画センター3館のメールマガジン | メールアドレス | 延べ3,932件（2026年3月末の登録件数。重複を含む可能性） | 可能性（市・協会） |
| 横浜市（白幡地区センター） | 指定管理者が発行する情報メールマガジン | メールアドレス | 約200件 | 可能性（区） |
| 環境省 | 地球環境パートナーシッププラザ（GEOC）、地域循環共生圏、福島環境再生プラザなど6つのメールマガジン | メールアドレス。メールマガジンにより氏名、属性、所属、都道府県市区町村、備考（登録動機） | 記載なし | 可能性（同省。漏えいがあったとは確認されていない） |
| ギフティ | 「旅先納税」「e街プラットフォーム」「giftee Benefit」のメール配信 | 旅先納税ID、メールアドレス／自治体名・企業名、担当者名、所属部署、メールアドレス／メールアドレス、giftee Benefit ID、企業ログインURL | 記載なし | 確認されていない（同社。10月23日時点の288件に自社の契約は含まれない） |
表の「可能性」は、漏えいが確定したという意味ではない
JR四国と横浜市の3件は、10月22日の時点で「漏えいした可能性」として公表しています。横浜市の資料では、白幡地区センターと男女共同参画推進協会について「漏えいの事実は現在確認できておりません」としています。環境省も、現時点で配信先情報の漏えいがあったとは確認されていないとしています。新潟日報社は、10月22日午後にラクスライトクラウドから全会員分が漏えいしたとの報告を受けたとしています。受け取っているメルマガの組織が表にあるかを見たうえで、その組織の続報を待ってください。
横浜市のGREEN×EXPOの資料には、公益社団法人２０２７年国際園芸博覧会協会の発表も添えられています。同協会のボランティア向け一斉メールの受託事業者もブラストメールを使っており、ボランティア受付番号、活動番号、メールアドレスが漏えいの可能性がある情報とされています（個人名などは提供していないとしています）。登録者が対象かは確認されていません。
新潟日報社は、第2報で漏えいの可能性があるとしていた「にいがた鮭プロジェクト会員」約7000人について、第3報で288件に、第5報で新たに判明した56件に、それぞれ含まれていなかったとしています。
何が起きたのか（ラクスとラクスライトクラウドの発表より）
以下は、株式会社ラクスの10月21日の第1報・第2報と、ラクスライトクラウドのお知らせ（10月24日13時20分の更新版）にもとづきます。ラクスライトクラウドは株式会社ラクスの100％子会社です。ブラストメールの製品サイトは、セキュリティの確認作業のため公開を一時停止しています。
2026年10月21日（水）0時30分
システムへの不審なアクセスを検知し、ブラストメールを緊急停止（管理画面とAPIが使えない状態）。メールの配信も1時ごろから停止。10月21日
ラクスが第1報を公表（影響範囲・原因は調査中。個人情報保護委員会と日本情報経済社会推進協会（JIPDEC）に報告済み）。続いて第2報で、外部の第三者による不正アクセスで、個人情報を含むデータが持ち出されたことを確認したと公表。同日、ラクスは予防的な措置として他の7サービスも一時停止した。10月21日夕方
横浜市の資料によれば、配信サービス事業者から、全顧客の配信先リスト等のうち一部について漏えいが確認されているとの報告があった（白幡地区センターは17時32分ごろ、男女共同参画推進協会は17時ごろ）。10月22日
ラクスの7サービスが再開（不正アクセスや情報漏えいは確認されていないとした）。利用組織がお知らせを出し始める。10月23日
個人情報保護委員会への連名報告の案内を公開（申し込み期限10月29日）。ギフティと新潟日報社のお知らせによれば、同日、配信先情報等の漏えいが確認された288件への個別連絡が完了したと公表された。10月24日13時20分
新たに判明した56件を含む344件すべてへの個別連絡が完了したと更新。サービス再開は未定。
メールの受信者
配信元の組織にメールアドレスなどを登録。344契約で配信先リストなど配信に関する情報の漏えいを確認
やること：配信元を名乗るメールのリンクを開かない
利用企業・団体（契約者）
全契約者の会社名・担当者名・電話番号・メールアドレス・請求先・契約と支払いの履歴などが持ち出された
やること：報告・通知の判断と、請求を装うメールへの注意
ラクスライトクラウド
API用のサーバー2台に侵入され、販売管理システムとサービスのデータベースに接続された
侵入経路は調査中
- サービス
- メール配信システム「ブラストメール」（株式会社ラクスの子会社、株式会社ラクスライトクラウドが提供）
- 確認したこと
- 外部の第三者による不正アクセスで、個人情報を含むデータが外部に持ち出された
- 契約者の情報
- 販売管理システムから、すべての契約者の会社名、担当者名、電話番号、メールアドレス、請求先のメールアドレス、契約と支払いの履歴など。クレジットカード番号は同社では持っていない
- 配信に関する情報
- 一部の契約者について、配信先リストなどの漏えいも確認。その契約件数は344件（10月24日13時20分時点。変わる可能性あり）で、すべてに個別連絡済み
- 原因として説明されたこと
- 外部の第三者がAPI用のサーバー2台に侵入してコマンドを実行し、販売管理システムとサービスのデータベースに接続してデータを持ち出した。侵入経路の詳細は調査中
- 対応
- サービスの緊急停止、個人情報保護委員会とJIPDECへの報告、専門機関による外部調査、利用企業との連名報告の受付
- 問い合わせ
- ブラストメールサポートセンター（support@blastmail.jp、電話 03-6862-7337、平日10時〜17時）
分かっていること・分かっていないこと
2026年10月24日13時20分の更新時点の状態です。続報が出たら、この表の状態欄を書き換えます。
| 項目 | 発表の内容 | 状態 |
|---|---|---|
| データの持ち出し | 外部の第三者による不正アクセスで、個人情報を含むデータが外部に持ち出された | 漏えいを確認（同社） |
| 契約者の情報 | すべての契約者の会社名、担当者名、電話番号、メールアドレス、請求先のメールアドレス、契約と支払いの履歴など | 漏えいを確認（同社） |
| 配信先リストなど | 契約者情報以外の情報（配信先リストなど）の漏えいが確認された契約：344件（現時点の数値） | 漏えいを確認（同社） |
| 344契約がどの企業か | 公表されていない。対象の契約者には個別連絡済み | 調査中 |
| 受信者の人数 | ラクスライトクラウドの発表に記載なし | 記載なし |
| クレジットカード番号 | 同社では持っていない | 含まれない（同社） |
| 原因 | API用のサーバー2台への侵入、コマンドの実行、販売管理システムとデータベースへの接続 | 確認（同社）。侵入経路は調査中 |
| 侵入経路 | 詳細は調査中 | 調査中 |
| サービスの再開 | 未定 | 調査中 |
| ラクスの他サービス | 予防的に7サービスを一時停止し、10月22日に再開。不正アクセスや情報漏えいは確認されていない | 確認されていない（ラクス） |
| 二次被害（情報の悪用） | ラクスライトクラウドの発表に記載なし。新潟日報社は、10月22日の第2報で不正利用は確認されていないとしている | 確認されていない（新潟日報社） |
漏れた項目で何が起きうるか
一般に、次の組み合わせがそろうと、次のような悪用が起きえます。今回それが起きたという意味ではありません。
- メールアドレス＋配信元の組織名：その組織を名乗る偽のメールが、本物のメルマガと同じ宛先に届く。受け取る人は「いつもメルマガが来る組織」と思い込みやすい
- 氏名・年代・住所など（配信元によって違う）：本文に本名や地域を入れた偽メールが作れ、一斉送信の迷惑メールより信じやすくなる
- 契約者の会社名・担当者名・電話番号・請求先メールアドレス・支払いの履歴：ブラストメールやラクスを名乗る請求書、支払先の変更、「再開のための再ログイン」を装うメールや電話の材料になる
1つの配信サービスから多数の利用組織の宛先が漏れた事案は、2026年10月の ユミルリンクのメール配信「Cuenote FC」への不正アクセス や 防災メール配信「SpeeCAN RAIDEN」への不正アクセス もあります。どちらも、受信者が対象かは、メールを受け取っている組織のお知らせで確かめる形でした。今回はそれに加えて、サービスを契約している企業側の担当者情報と支払いの履歴が、全契約者分持ち出されています。
ブラストメールを使っている企業・団体がやること
ラクスライトクラウドは、配信先リストなどの漏えいを確認した契約者に個別に連絡したとしています。以下は、同社の案内と、個人情報保護委員会の案内にもとづく順番です。
個別連絡が届いているかを確かめる
ラクスライトクラウドは、配信先リストなど契約者情報以外の情報の漏えいを確認した344契約すべてに個別連絡を終えたとしています。届いているかを、契約時の担当者・請求先のメールアドレスで確認します。数は変わる可能性があると同社は書いているので、届いていなくても、続報を確かめてください。問い合わせ先は、同社の お知らせページ に載っているサポートセンターです。
配信先リストに何を登録していたかを洗い出す
対象になりうる情報は、配信先リストに何を登録していたかで決まります。新潟日報社は氏名（カタカナ）・性別・年代など8項目を、GREEN×EXPOのボランティア向け一斉メールではボランティア受付番号・活動番号・メールアドレスを挙げ、個人名などは提供していないとしています。入れていない項目を言えることは、受信者への説明を短くします。
個人情報保護委員会への報告と、本人への通知を判断する
配信先リストの個人データは、配信している企業・団体が管理する個人データです。個人情報保護委員会の案内によれば、不正の目的で行われたおそれがある漏えい等（そのおそれを含む）や、本人の数が1,000人を超える漏えい等（行政機関・地方公共団体の機関などは100人超）は報告の対象です（漏えい等の対応とお役立ち資料）。
ラクスライトクラウドは、利用企業と同社の連名で同委員会に報告する手続きを用意しています（連名報告の案内、申し込み期限は2026年10月29日）。同社によれば、連名報告を選んだ場合でも、配信先リスト等の漏えいが確認された利用企業は本人への通知を自社で行う必要があり、プライバシーマークを持つ事業者はJIPDECへの報告を自社で行う必要があります。判断に迷う場合は、同委員会の窓口や弁護士などの専門家に相談してください。
受信者に注意を呼びかける
影響を公表した組織の多くは、自分たちを装った不審なメールに注意し、URLを開かないよう呼びかけています。呼びかけは公式サイトのお知らせに出し、メールで送るならリンクを入れない、送信元のアドレスを明記するなど、偽物と区別しやすい形にします。
自社の担当者にも、請求や再ログインを装うメールへの注意を伝える
全契約者の担当者名・電話番号・メールアドレス・請求先メールアドレス・支払いの履歴が持ち出されています。ブラストメールやラクスを名乗る請求、支払先の変更、サービス再開に伴う再ログインの案内が届いたら、メールのリンクからではなく、同社の公式のお知らせやサポートセンターで確かめるよう、経理と配信の担当者に伝えておきます（偽の送信元の見分け方は SPF・DKIM・DMARCの基本）。
当サイトの視点：配信サービスの契約者は「配信元」であり「漏れた本人」でもある
メール配信サービスの事案では、ふつう受信者の宛先が注目されます。今回は、それに加えて、サービスを契約している企業・団体の担当者情報と支払いの履歴が全契約者分持ち出されています。利用企業は、受信者に説明する立場であると同時に、自社の担当者が狙われうる立場でもあります。
配信サービスに登録している連絡先を確かめる
契約時の担当者や請求先のメールアドレスが、退職した人の個人アドレスのままになっていないかを確かめます。個別連絡が届かない、偽の請求に気づけない、という形で効いてきます。部署の共有アドレスにしておくと、担当が変わっても連絡が途切れません。
APIキーや管理画面のパスワードは、再開後の案内に従って見直す
今回の発表では、第三者がAPI用のサーバーに侵入し、サービスのデータベースに接続したとされています。APIキーや管理画面のパスワードが漏れたかどうかは、発表に書かれていません。サービスが再開したら、同社の案内を確かめ、APIキーを作り直せる場合は作り直し、管理画面のパスワードを他のサービスと使い回していないかも確かめます（キーの扱いの基本は .env とAPIキーの基本）。
配信が止まったときの連絡手段を決めておく
今回、配信は10月21日から止まったままで、再開日時は未定です。新潟日報社やGREEN×EXPO協会は、停止中の発信を公式サイトに切り替えています。止まったときに何で知らせるかを、事前に決めておきます（委託先の管理の考え方は レンタルサーバーが不正アクセスされたとき も参照）。
出典（公開記録）
本記事の事実関係は以下の公開情報にもとづきます。公表されていない侵入経路は推測していません。
- 株式会社ラクス「【第1報】当社子会社が提供する「ブラストメール」における不審なアクセスの検知およびサービス停止について」（2026年10月21日） — rakus.co.jp
- 株式会社ラクス「【第2報】当社子会社が提供する「ブラストメール」における不正アクセスによる情報漏えいおよびサービス停止について」（2026年10月21日） — rakus.co.jp
- 株式会社ラクスライトクラウド「【重要】ブラストメールの緊急停止および個人情報漏えいに関するお詫びとご報告（2026年10月24日13時20分更新）」 — info.blastmail.jp
- 株式会社ラクスライトクラウド「ブラストメール ウェブサイト一時停止のお知らせ」 — info.blastmail.jp
- 株式会社ラクスライトクラウド「個人情報保護委員会への連名報告に関するご案内」（2026年10月23日） — info.blastmail.jp
- 株式会社ラクス「「楽楽販売」「楽楽勤怠」…「楽テル」の一時停止およびメンテナンスのお知らせ」（2026年10月21日）、「…サービス再開のお知らせ」（10月22日） — 一時停止 ／ 再開
- 新潟日報社「株式会社ラクスライトクラウドへの不正アクセスに伴う当社会員の個人情報漏えいについて」（第2報 10月22日、第3報 10月23日、第5報 10月24日） — 第2報 ／ 第3報 ／ 第5報
- 四国旅客鉄道株式会社「株式会社ラクスライトクラウドで発生した不正アクセスに伴う個人情報漏えいの可能性について」（2026年10月22日） — jr-shikoku.co.jp
- 横浜市 記者発表「横浜グリーンエクスポ市出展エリアのボランティア応募者に係るメール配信システムにおける個人情報の漏えいの可能性について」「公益財団法人横浜市男女共同参画推進協会が使用するメールマガジン配信サービスにおける個人情報の漏えいの可能性について」「横浜市白幡地区センター指定管理者が使用するメールマガジン配信サービスにおける個人情報の漏えいの可能性について」（いずれも2026年10月22日） — GREEN×EXPO ／ 男女共同参画推進協会 ／ 白幡地区センター
- 環境省「環境省が関わるメールマガジンにおける配信先情報の漏えいの可能性について」（2026年10月23日） — env.go.jp
- 株式会社ギフティ「【続報】株式会社ラクスライトクラウドで発生した不正アクセスに伴う個人情報漏えいの可能性について」（2026年10月22日公開、23日追記） — giftee.co.jp
- 個人情報保護委員会「漏えい等の対応とお役立ち資料」 — ppc.go.jp
更新履歴
2026-10-24：初版。ラクスの10月21日の第1報・第2報、ラクスライトクラウドの10月24日13時20分の更新版と連名報告の案内、利用組織のお知らせにもとづく。侵入経路、対象の利用企業、サービス再開が公表され次第更新します。
次に読む
- 同じ型の事案：ユミルリンクのメール配信「Cuenote FC」への不正アクセス ／ 防災メール配信「SpeeCAN RAIDEN」への不正アクセス
- 偽メールの見分け方：フィッシングとは ／ 自分のアドレスから迷惑メールが届いたとき
- 送信元の確かめ方（運営者向け）：SPF・DKIM・DMARCの基本
- 2026年の他の事案：情報漏えい・サイバー攻撃の一覧（国内・海外）