本文适合哪些人：接收企业和组织的新闻邮件或通知邮件的人，以及使用 RAKUS Lite Cloud Co., Ltd. 的邮件发送服务 blastmail 的组织。本文基于 RAKUS Lite Cloud、其母公司 RAKUS Co., Ltd. 以及披露受影响情况的客户组织的官方公告，不涉及攻击是如何实施的。
进展中：随着该组织发布更多信息，本文将持续更新
截至 2026 年 10 月 24 日 13:20 的更新尚不清楚
- 入侵途径的详情
- 344 份合同分别是哪些客户组织（公司只是单独联系了他们）
- 每份合同中泄露了哪些收件人数据项目，数量是多少
- 服务何时恢复
- 是否已发生次生危害（数据被滥用）
RAKUS Lite Cloud 表示，专业机构的外部调查仍在继续，下一次报告计划在 10 月 25 日（星期日）10:00 左右发布。公司表示周末也会持续报告。公司称 344 这一数字是“当前”数字，可能随着外部调查的推进而变化。
新闻邮件收件人今天应该做什么
即使是带有发件人真实名称的邮件，也不要打开链接或附件
blastmail 发送的目标地址存放在发送组织登记的收件人列表中。因此，如果数据被滥用，可能的形式是使用真实发件人名称的假冒邮件。
即使是“请确认会员信息”“您的积分即将到期”“发送已恢复”之类的邮件，也不要打开邮件中的链接、附件或二维码。要确认时，请打开官方应用或您已收藏的官方网站（识别假冒邮件的方法：什么是网络钓鱼？）。
查看您接收新闻邮件的组织的公告
请在下方“披露受影响情况的客户组织”表中，打开您接收新闻邮件的组织的公告。不在表中的组织，请查看其官方网站的新闻栏目。JR 四国表示，准备就绪后将向可能受影响的人发送致歉邮件。
被要求输入密码、验证码或卡号时不要输入
RAKUS Lite Cloud 表示不持有信用卡号。即便如此，知道您姓名和邮箱地址的人也可以写出要求您输入这些信息的邮件。JR 四国呼吁不要打开可疑邮件或短信中的 URL，也不要输入密码、验证码等。
在其新闻邮件停发期间，对“发件人”的邮件要格外小心
新潟日报、环境省、JR 四国等表示，其通过 blastmail 发送邮件已停止。如果在此期间您收到以其名义发来的“发送已恢复”或“请更新您的登记信息”的邮件，请先在官方网站的新闻中确认是否已恢复。新潟日报表示，会员注册或退会时发送的自动邮件，仍由不受本次事件影响的另一系统照常发送，因此并非其所有邮件都已停止。
披露受影响情况的客户组织
使用 blastmail 的组织已发布各自的公告。下表仅涵盖本站在各组织官方页面上打开并核实过、且提到 blastmail 或 RAKUS Lite Cloud 的公告（截至 2026 年 10 月 24 日）。
各项状态和数量均按组织自己的表述给出。统计单位不同（人数、累计记录数、登记数），因此数字不能相加。表中也包含 giftee 等宣布自身合同不在受影响之列的组织。
| 组织 | 使用该服务的用途（据该组织） | 涉及的数据（据该组织） | 数量（据该组织） | 状态 |
|---|---|---|---|---|
| 新潟日报 | 面向 Niigata Nippo Passport 会员的新闻邮件、突发新闻邮件等 | 姓名（片假名）、都道府县、市区町村、邮箱地址、性别、年龄段、订阅的商品、订阅的新闻邮件服务。不包含信用卡信息、电话号码、出生日期、银行账号和密码 | 最多约 25.3 万人（全部会员） | 已确认泄露（公司） |
| JR 四国 | JR Shikoku Tour Web 新闻邮件 | 注册时填写的姓名、出生日期、地址和邮箱地址 | 约 3 万条记录（最大值） | 可能（公司） |
| 横滨市（市 GREEN×EXPO 2027 展区志愿者报名者） | 发给报名者的群发邮件 | 姓名、邮箱地址 | 6,334 人 | 可能（市） |
| 横滨市（Yokohama Women's Association for Communication and Networking） | 该协会总部及三个男女平等中心的新闻邮件 | 邮箱地址 | 累计 3,932 条记录（2026 年 3 月底的登记数；可能有重复） | 可能（市和协会） |
| 横滨市（白幡地区中心） | 指定管理者发行的信息邮件 | 邮箱地址 | 约 200 条记录 | 可能（区） |
| 环境省 | 六种新闻邮件，包括全球环境宣传中心（GEOC）、地域循环共生圈和福岛环境再生广场的新闻邮件 | 邮箱地址；视新闻邮件而定，另有姓名、属性、所属单位、都道府县和市区町村、备注（登记理由） | 未说明 | 可能（该省；未确认泄露） |
| giftee | Tabisaki Nouzei、e-machi 平台和 giftee Benefit 的邮件发送 | Tabisaki Nouzei ID 和邮箱地址 / 地方政府或公司名称、联系人姓名、部门和邮箱地址 / 邮箱地址、giftee Benefit ID 和公司登录 URL | 未说明 | 未确认（公司；截至 10 月 23 日其合同不在 288 份之中） |
表中的“可能”并不表示已确认泄露
JR 四国和横滨市的三项内容于 10 月 22 日发布，属于数据“可能已泄露”的情形。横滨市关于白幡地区中心和男女平等协会的文件称，“目前无法确认”泄露。环境省也表示，目前尚未确认收件人数据泄露。新潟日报表示，10 月 22 日下午 RAKUS Lite Cloud 向其报告了全部会员的数据已泄露。请确认您接收新闻邮件的组织是否在表中，并留意该组织后续的公告。
横滨市的 GREEN×EXPO 文件还包含 Japan Association for the International Horticultural Expo 2027 的通知。向其志愿者发送群发邮件的承包商也使用 blastmail，可能泄露的数据为志愿者报名编号、活动编号和邮箱地址（该协会表示未提供姓名等可识别数据）。已登记的志愿者是否受到影响，尚未确认。
新潟日报在第二次公告中曾表示，约 7,000 名 Niigata Salmon Project 会员可能受到影响；其第三次公告称他们不在 288 份之中，第五次公告称他们不在新确认的 56 份之中。
发生了什么（来自 RAKUS 和 RAKUS Lite Cloud 的公告）
以下内容基于 RAKUS Co., Ltd. 10 月 21 日的第一报和第二报，以及 RAKUS Lite Cloud 的公告（10 月 24 日 13:20 更新的版本）。RAKUS Lite Cloud 是 RAKUS Co., Ltd. 的全资子公司。blastmail 产品网站因安全检查已暂时下线。
2026 年 10 月 21 日（星期三）凌晨 0:30
检测到对系统的可疑访问，blastmail 被紧急停止（管理控制台和 API 无法使用）。邮件发送也从凌晨 1:00 左右停止。10 月 21 日
RAKUS 发布第一报（影响和原因调查中；已向个人信息保护委员会和 Japan Institute for Promotion of Digital Economy and Community（JIPDEC）报告）。随后的第二报称，已确认外部第三方未经授权访问系统，并将包括个人信息在内的数据带出。同日，RAKUS 还作为预防措施暂停了另外七项服务。10 月 21 日傍晚
据横滨市的文件，邮件发送服务运营方报告称，已确认其全部客户的部分收件人列表等数据发生泄露（白幡地区中心约在下午 5:32，男女平等协会约在下午 5:00）。10 月 22 日
RAKUS 的另外七项服务已恢复（公司称未确认这些服务存在未授权访问或数据泄露）。客户组织开始发布公告。10 月 23 日
发布了向个人信息保护委员会联合报告的指南（申请截止于 10 月 29 日）。据 giftee 和新潟日报的公告，公司当天宣布，已完成对已确认发送数据泄露的全部 288 份合同的联系。10 月 24 日 13:20
更新为已完成对全部 344 份合同（包括新确认的 56 份）的单独联系。恢复日期未定。
邮件收件人
在发送组织处登记的邮箱地址等数据。已确认 344 份合同的收件人列表等发送数据泄露
应对：不要打开自称发件人的邮件中的链接
客户组织（客户）
每位客户的公司名称、联系人姓名、电话号码、邮箱、账单地址以及合同和付款记录被带出
应对：决定报告和通知事宜；注意假冒账单邮件
RAKUS Lite Cloud
两台 API 服务器被入侵，销售管理系统和服务数据库被连接
入侵途径调查中
- 服务
- 邮件发送系统 blastmail（由 RAKUS Co., Ltd. 的子公司 RAKUS Lite Cloud Co., Ltd. 提供）
- 已确认的内容
- 外部第三方未经授权访问系统，并将包括个人信息在内的数据带出
- 客户数据
- 从销售管理系统中带出每位客户的公司名称、联系人姓名、电话号码、邮箱地址、账单邮箱地址、合同和付款记录等。公司不持有信用卡号
- 发送数据
- 对于部分客户，还确认了收件人列表等的泄露：截至 10 月 24 日 13:20 为 344 份合同（可能变化），均已单独联系
- 公司所述原因
- 外部第三方入侵两台 API 服务器并执行命令，连接销售管理系统和服务数据库，将数据带出。入侵途径的详情调查中
- 应对措施
- 紧急停止服务、向个人信息保护委员会和 JIPDEC 报告、专业机构的外部调查，以及与客户组织的联合报告
- 联系方式
- blastmail 支持中心（support@blastmail.jp，电话 03-6862-7337，工作日 10:00 至 17:00）
已知与未知
状态截至 2026 年 10 月 24 日 13:20 的更新。出现后续报告时，本表的状态栏将随之更新。
| 项目 | 公告的内容 | 状态 |
|---|---|---|
| 被带出的数据 | 外部第三方未经授权访问系统，并将包括个人信息在内的数据带出 | 已确认泄露（公司） |
| 客户数据 | 每位客户的公司名称、联系人姓名、电话号码、邮箱地址、账单邮箱地址、合同和付款记录等 | 已确认泄露（公司） |
| 收件人列表等 | 已确认客户账户数据以外的数据（如收件人列表）泄露的合同：344 份（当前数字） | 已确认泄露（公司） |
| 这 344 份合同是哪些组织 | 未公布；已单独联系受影响的客户 | 调查中 |
| 收件人数量 | RAKUS Lite Cloud 的公告中未说明 | 未说明 |
| 信用卡号 | 公司不持有 | 不包含（公司） |
| 原因 | 入侵两台 API 服务器、执行命令，并连接销售管理系统和数据库 | 已确认（公司）；进入途径调查中 |
| 入侵途径 | 详情调查中 | 调查中 |
| 服务恢复 | 未定 | 调查中 |
| RAKUS 的其他服务 | 七项服务作为预防措施暂停，并于 10 月 22 日恢复；未确认未授权访问或泄露 | 未确认（RAKUS） |
| 次生危害（数据被滥用） | RAKUS Lite Cloud 未说明。新潟日报在 10 月 22 日的第二次公告中表示，未确认滥用 | 未确认（新潟日报） |
泄露的数据可能被用来做什么
一般来说，当具备以下组合时，可能发生以下滥用。这并不表示本次已经发生。
- 邮箱地址加发件人名称：以该组织名义的假冒邮件会发到与真实新闻邮件相同的地址，收件人很容易认为这是“一直给我发新闻邮件的组织”
- 姓名、年龄段、地址等（因发送方而异）：假冒邮件可以包含您的真实姓名或所在地区，比群发垃圾邮件更可信
- 客户公司名称、联系人姓名、电话号码、账单邮箱和付款记录：可成为假冒 blastmail 或 RAKUS 的假发票、付款信息变更请求，或“为恢复服务请重新登录”的邮件或电话的素材
本月还有其他由一个发送服务导致多个客户组织的收件人暴露的案例，包括Ymirlink 的 Cuenote FC 邮件发送服务遭未授权访问和SpeeCAN RAIDEN 灾害警报邮件服务遭未授权访问。在这两起事件中，收件人都是通过自己接收邮件的组织的公告来确认是否受影响。此次另外还有每个客户组织的联系信息和付款记录被带出。
使用 blastmail 的组织应该做什么
RAKUS Lite Cloud 表示，已单独联系了被确认收件人列表等数据泄露的客户。以下步骤基于公司的指引和个人信息保护委员会的指引。
确认是否已被单独联系
RAKUS Lite Cloud 表示，已完成对已确认客户账户数据以外的数据（如收件人列表）泄露的全部 344 份合同的联系。请检查合同中登记的联系人和账单地址是否收到了消息。公司表示该数字可能变化，因此即使没有收到，也请持续关注其更新。请联系公司公告页面上列出的支持中心。
列出您在收件人列表中登记的内容
涉及的数据取决于您在收件人列表中放入了什么。新潟日报列出了包括姓名（片假名）、性别和年龄段在内的八个项目，而 GREEN×EXPO 志愿者群发邮件列出的是志愿者报名编号、活动编号和邮箱地址，并表示未提供姓名。能够说明哪些项目您并未持有，可以让您对收件人的说明更简短。
决定是否向个人信息保护委员会报告以及是否通知本人
收件人列表中的个人数据，是发送邮件的组织所管理的个人数据。据个人信息保护委员会称，可能出于不正当目的的泄露（包括疑似情形）以及涉及超过 1,000 人的泄露（行政机关和地方公共团体为超过 100 人）必须报告（泄露等的应对和有用资料，日文）。
RAKUS Lite Cloud 为客户组织提供与公司一同向委员会联合报告的流程（联合报告指南，申请截止于 2026 年 10 月 29 日）。据公司称，即使进行联合报告，已确认收件人列表泄露的客户组织仍须自行通知本人，持有 PrivacyMark 的组织须自行向 JIPDEC 报告。如有疑问，请咨询委员会的咨询窗口或律师等专业人士。
向您的收件人发出警示
大多数披露受影响情况的组织都在呼吁人们注意冒充其本身的可疑邮件，并且不要打开其中的 URL。请在官方网站的新闻中发布警示，如果通过邮件发送，请让它容易与假冒邮件区分：不放链接，并注明发件地址。
提醒本组织员工注意假冒账单和重新登录邮件
每位客户的联系人姓名、电话号码、邮箱地址、账单邮箱地址和付款记录已被带出。请告知您的财务和邮件负责人：如果收到自称来自 blastmail 或 RAKUS 的发票、付款信息变更或为恢复服务而重新登录的指示，应通过公司的官方公告或支持中心确认，而不是通过邮件中的链接（发件人确认方法：SPF、DKIM 和 DMARC 基础）。
本站的看法：发送服务的客户既是发送方，也是数据泄露的当事方
在邮件发送服务事件中，关注点通常集中在收件人的地址上。这次，另外还有每个客户组织的联系信息和付款记录被带出。客户组织既要向其收件人说明事件，同时自己的员工也可能成为攻击目标。
检查在发送服务登记的联系人
检查注册时登记的联系人或账单邮箱，是否仍是已离职者的个人地址。这会表现为漏掉单独通知，或没人注意到假发票。使用部门共用地址，可以在人员变动时保持联系畅通。
恢复后按公司指引检查 API 密钥和管理员密码
据公告，第三方入侵了 API 服务器并连接了服务数据库。公告没有说明 API 密钥或管理控制台密码是否泄露。服务恢复后，请查看公司的指引，尽可能重新生成 API 密钥，并确保管理员密码没有在其他服务上重复使用（密钥处理基础：.env 和 API 密钥基础）。
决定发送停止时如何联系对方
自 10 月 21 日起发送一直处于停止状态，恢复日期未定。新潟日报和 GREEN×EXPO 协会在停发期间已将联络转到其官方网站。请事先决定发送停止时使用什么方式（关于供应商管理，另见托管服务商遭入侵时）。
来源（公开记录）
本文的事实基于以下公开信息。对于尚未公布的入侵途径，本文不作推测。
- RAKUS Co., Ltd.，“【第一报】关于我公司子公司提供的 blastmail 检测到可疑访问及服务暂停”（2026 年 10 月 21 日，日文）— rakus.co.jp
- RAKUS Co., Ltd.，“【第二报】关于我公司子公司提供的 blastmail 因未授权访问导致数据泄露及服务暂停”（2026 年 10 月 21 日，日文）— rakus.co.jp
- RAKUS Lite Cloud Co., Ltd.，“【重要】关于 blastmail 紧急暂停及个人数据泄露的致歉与报告（2026 年 10 月 24 日 13:20 更新）”（日文）— info.blastmail.jp
- RAKUS Lite Cloud Co., Ltd.，“blastmail 网站暂时停止”（日文）— info.blastmail.jp
- RAKUS Lite Cloud Co., Ltd.，“向个人信息保护委员会联合报告的指南”（2026 年 10 月 23 日，日文）— info.blastmail.jp
- RAKUS Co., Ltd.，七项服务的暂时停止（10 月 21 日）和恢复（10 月 22 日）公告（日文）— 暂停 / 恢复
- 新潟日报，关于 RAKUS Lite Cloud 未授权访问导致会员数据泄露的公告（第二次 10 月 22 日、第三次 10 月 23 日、第五次 10 月 24 日，日文）— 第二次 / 第三次 / 第五次
- 四国旅客铁道株式会社（JR 四国），“关于 RAKUS Lite Cloud 未授权访问可能导致个人数据泄露”（2026 年 10 月 22 日，日文）— jr-shikoku.co.jp
- 横滨市关于 GREEN×EXPO 志愿者报名者邮件、Yokohama Women's Association for Communication and Networking 新闻邮件和白幡地区中心新闻邮件可能泄露的新闻发布（均为 2026 年 10 月 22 日，日文）— GREEN×EXPO / 男女平等协会 / 白幡地区中心
- 环境省，“关于与环境省相关的新闻邮件收件人数据可能泄露”（2026 年 10 月 23 日，日文）— env.go.jp
- giftee, Inc.，“【后续报告】关于 RAKUS Lite Cloud 未授权访问可能导致个人数据泄露”（10 月 22 日发布，2026 年 10 月 23 日更新，日文）— giftee.co.jp
- 个人信息保护委员会，“泄露等的应对和有用资料”（日文）— ppc.go.jp
更新记录
2026-10-24：初版，基于 RAKUS 10 月 21 日的第一报和第二报、RAKUS Lite Cloud 10 月 24 日 13:20 更新的公告及其联合报告指南，以及客户组织的公告。当入侵途径、受影响的客户组织或服务恢复情况公布时将更新。
延伸阅读
- Studio 网站构建工具遭未授权访问：全部用户数据和表单提交内容可能泄露——表单提交者和网站所有者应该怎么做
- 类似事件：Ymirlink 的 Cuenote FC 遭未授权访问 / SpeeCAN RAIDEN 遭未授权访问
- 识别假冒邮件：什么是网络钓鱼？ / 垃圾邮件从您自己的地址发来时
- 确认发件人（面向网站运营者）：SPF、DKIM 和 DMARC 基础
- 2026 年的其他事件：数据泄露和网络攻击一览