対象：マンガアプリ「ピッコマ」のメールマガジンを受け取っていた人と、メール配信を外部のサービスに任せている運営者。本記事は株式会社カカオピッコマの公式発表と、配信サービス側の公式のお知らせにもとづく解説で、攻撃や詐欺の手順は扱いません。
続報待ち：この記事は公式発表に合わせて更新します
2026年10月26日朝の時点まだ分かっていないこと
- 対象者への個別連絡の方法と、済んだかどうか
- 流出したのがいつのメールマガジンの配信か
- 件数が変わるかどうか（現時点で配信サービス側から報告を受けている数）
- 配信サービスへの侵入経路
同社は10月24日のお知らせ（第1報）で、「新たな事実が判明した場合は、このページで速やかにお知らせいたします」としています。10月26日朝にピッコマのお知らせ一覧を確認した時点で、続報は出ていません。配信サービス側は10月25日10時の更新で「新たにご報告できる確定情報や進展はございません」とし、次の報告を10月26日10時ごろとしています。
メールマガジンを受け取っていた人が今日やること
ピッコマや出版社を名乗るメール・SMSのリンクを開かない
同社は、ピッコマや出版社を装った不審なメールやSMSに注意し、心当たりのないメッセージのリンクを開いたり、個人情報やパスワードを入力したりしないよう呼びかけています。
無料で読める作品、コインやポイントの配布、アカウントの確認といった案内は、利用者にとって不自然でないため気づきにくくなります。中身を確かめたいときは、ピッコマのアプリか、自分で開いたピッコマのWebサイトを使ってください（見分け方は フィッシングとは）。
パスワードやカード番号を、メールの案内から入力しない
同社は、メールでパスワードやクレジットカード情報の入力をお願いすることはないとしています。ログインや支払いの画面に進ませるメールが届いたら、それだけで偽物を疑ってください。
個別の連絡が届いても、内容はアプリのお知らせで確かめる
同社は、対象のお客様に個別に連絡するとしていますが、方法（メール・アプリ内のお知らせなど）は書いていません。同じ時期に、ピッコマを名乗る偽の「お詫び」が届くことも一般にありえます。連絡が届いたら、リンクを開く前に、アプリやWebサイトの「お知らせ」に同じ内容が出ているかを確かめてください。
パスワードの変更は、同社の発表では求められていない
同社によれば、パスワードはブラストメールに預けておらず、流出の可能性はありません。アカウントや購入情報への影響もないとしています。そのため、今回の件だけを理由に急いでパスワードを変える必要は、発表からは読み取れません。ほかのサービスと同じパスワードを使い回している人は、この機会に見直すと、今後の偽メール対策にもなります。
何が起きたのか（カカオピッコマの発表より）
株式会社カカオピッコマは2026年10月24日、ピッコマのお知らせ欄に「メールアドレス流出に関するお知らせとお詫び（第1報）」を出しました。以下はすべて同社の発表内容です。上流の配信サービスで何が起きたかは、メール配信「ブラストメール」への不正アクセス で整理しています。
2026年10月21日（水）0時30分ごろ
ブラストメールの運営会社が不審なアクセスを検知し、全サービスを停止。10月24日（土）
運営会社から、ピッコマのメールマガジンの宛先メールアドレスが流出したとの報告を受け、判明。10月24日
ピッコマのお知らせ欄で公表（第1報）。メールマガジンの配信を停止し、個人情報保護委員会に報告。
ピッコマのアプリ・Web・同社のシステム
アカウント、パスワード、購入情報
不正アクセスなし・影響なし（同社）
メール配信サービス（ブラストメール）
メールマガジンの宛先メールアドレス（1回分の配信、1,002,404件）
第三者の不正アクセスで流出
↓ 起こりうること（一般に）
ピッコマや出版社を名乗る偽のメール・SMS
リンクを開かず、アプリで確かめる
- 対象
- ピッコマのメールマガジンの1回分の配信で宛先となっていたお客様（1,002,404件）。件数は現時点で配信サービス側から報告を受けているもの
- 流出した項目
- メールアドレス（メールマガジンの受信先として登録されたもの）
- 含まれないもの
- お客様を識別するための管理番号や最終課金日などの情報（含まれないことを確認）。パスワードはブラストメールに預けておらず、流出の可能性はない
- もともと持っていない情報
- 氏名とクレジットカード情報（同社では保有していない）
- ピッコマ本体
- アプリ・Webサービスと同社のシステムは不正アクセスを受けていない。アカウント、パスワード、購入情報への影響はなく、サービスは通常どおり利用できる
- ピッコマノベルズ
- メールマガジンについて、現時点で流出は確認されていない
- 同社の対応
- メールマガジンの配信停止。ブラストメールから送られるメールがピッコマの正規のメールとして扱われないよう設定を変更。個人情報保護委員会への報告。配信サービス側と連携して詳細と対象者を確認中
- 問い合わせ
- ピッコマのアプリまたはWebの「ヘルプ」からお問い合わせフォーム
分かっていること・分かっていないこと
2026年10月26日朝の時点の、同社の10月24日のお知らせと、配信サービス側の10月25日10時の更新をもとに整理しました。続報が出たら、状態の欄を書き換えます。
| 項目 | 発表の内容 | 状態 |
|---|---|---|
| メールアドレス | メールマガジンの受信先として登録されたもの | 漏えいを確認（同社） |
| 件数 | 1,002,404件（メールマガジン1回分の宛先）。現時点で配信サービス側から報告を受けている数 | 同社発表（変わる可能性あり） |
| 管理番号・最終課金日など | 含まれていないことを確認 | 含まれない（同社） |
| パスワード | ブラストメールに預けておらず、流出の可能性はない | 含まれない（同社） |
| 氏名・クレジットカード情報 | 同社では保有していない | 含まれない（同社） |
| アカウント・購入情報 | 影響はない | 含まれない（同社） |
| ピッコマのアプリ・Webと同社のシステム | 不正アクセスを受けていない | 侵入なし（同社） |
| ピッコマノベルズのメールマガジン | 現時点で流出は確認されていない | 確認されていない（同社） |
| どの日の配信か | 書かれていない | 記載なし |
| 対象者への個別連絡 | 個別に連絡するとしている。方法と時期は書かれていない | 方法・時期は未公表 |
| 配信サービスへの侵入経路 | 配信サービス側によれば調査中 | 調査中 |
| 偽メールなどの悪用 | 書かれていない | 記載なし |
「件」と「人」
同社は1,002,404を「件」で示しています。同じ人が複数のアドレスを登録している場合などを考えると、人数と同じとは限りません。本記事も「件」で書きます。
メールアドレスだけの流出で何が起きうるか
一般に、メールアドレスに「どのサービスの利用者か」が結びついて知られると、次のことが起きえます（この事件で起きたという発表はありません）。
一般に起こりうること
- ピッコマを名乗る偽のキャンペーンや「アカウントの確認」メール
- 出版社や作品名を名乗り、ログイン画面やカード入力画面に誘うメール
- 「流出のお詫び」を装い、補償の受け取りなどで個人情報を入力させるメール
自分でできること
- 案内の中身はピッコマのアプリで確かめる
- メールのリンクからログインしない
- パスワード・カード番号は、メールの案内から入力しない
流出したのはメールアドレスのみで、氏名は含まれていません。そのため、本名で呼びかけてくるメールは、今回の件だけでは作れません。ただし、ほかの経路で氏名を知られていることもあるので、名前が合っていることを本物の根拠にはしないでください。メールアドレスの流出を受けて偽メールに備える方法は、えきねっと・ビューカード・JR九州のメール漏えいの可能性 でも整理しています。
メール配信を外部に任せている運営者へ
原因の詳しい経路は配信サービス側で調査中です。ここでは、ピッコマの発表から言えることに絞ります。配信サービス側の対応と、利用企業が行う報告・通知の判断は、ブラストメールの記事 にまとめています。
配信サービスに渡す項目を、配信に要るものだけにする
同社によれば、流出したのはメールアドレスのみで、お客様を識別する管理番号や最終課金日などは含まれていませんでした。配信サービスに渡す配信先リストに、配信に使わない項目（会員番号・課金履歴・氏名など）を入れていなければ、配信サービスで事故が起きても漏れる範囲はそこで止まります。自社の配信先リストに何の列が入っているかを、一度書き出して確かめます。
侵害された配信サービスが、自社の名前でメールを送れないようにする
同社は、ブラストメールから送られるメールがピッコマの正規のメールとして扱われないよう、設定を変更したとしています（具体的な設定は書かれていません）。一般に、配信サービスに自社ドメインでの送信を許す設定は、SPF・DKIM・DMARC（送信元が本物かを受信側が確かめるための仕組み）で行っています。配信サービスの侵害が分かったら、その許可を外す手順と担当者を、あらかじめ決めておきます（基本は SPF・DKIM・DMARCの基本）。
配信サービスが止まったときの、利用者への連絡手段を持っておく
同社は、お知らせ欄で公表し、問い合わせをアプリとWebのヘルプに集めています。メールマガジンが止まっていても、アプリのお知らせのような自社の経路で利用者に伝えられます。メール以外で利用者に届く経路があるかを確かめておきます。
出典（公開記録）
本記事の事実関係は、以下の公開情報にもとづきます。公表されていない侵入経路や原因は推測していません。
- 株式会社カカオピッコマ「株式会社ラクスライトクラウドのメール配信システム「ブラストメール」への不正アクセスによるお客様のメールアドレス流出に関するお知らせとお詫び（第1報）」（2026年10月24日、10月26日に確認） — piccoma.com
- 株式会社ラクスライトクラウド「【重要】ブラストメールの緊急停止および個人情報漏えいに関するお詫びとご報告」（2026年10月25日10時00分更新） — info.blastmail.jp
更新履歴
2026-10-26：初版。カカオピッコマの10月24日のお知らせ（第1報）と、配信サービス側の10月25日10時の更新にもとづく。個別連絡や件数の続報が出たら更新します。
次に読む
- 上流の配信サービスの事案と、影響を公表した利用組織：メール配信「ブラストメール」への不正アクセス
- 同じ型の事案：ユミルリンクのメール配信「Cuenote FC」への不正アクセス
- 偽メールの見分け方：フィッシングとは
- 送信元の確かめ方（運営者向け）：SPF・DKIM・DMARCの基本
- 2026年の他の事案：情報漏えい・サイバー攻撃の一覧（国内・海外）