適用對象：收到企業或組織電子報、通知郵件的人，以及使用 RAKUS Lite Cloud Co., Ltd. 電子郵件發送服務 blastmail 的組織。本文依據 RAKUS Lite Cloud、其母公司 RAKUS Co., Ltd. 以及已公布受影響情形之委託組織的官方公告撰寫，不涉及攻擊手法。
持續發展中：該組織有新公告時，本文將隨之更新
截至 2026 年 10 月 24 日 13:20 的更新尚不明
- 入侵途徑的詳情
- 344 份契約是哪些委託組織（該公司僅個別聯絡）
- 各契約外洩了哪些收件人資料項目、有多少筆
- 服務何時恢復
- 是否已發生二次損害（資料遭濫用）
RAKUS Lite Cloud 表示專業機構的外部調查仍在進行，下一次報告預定在 10 月 25 日（週日）上午 10:00 左右。該公司表示週末也會持續報告。該公司說明 344 這個數字是「目前」的數字，可能隨外部調查的進展而變動。
電子報收件人今天該做的事
即使是掛著寄件人真實名稱的郵件，也不要開啟連結或附件
blastmail 寄送的目標地址，存在於寄件組織登錄的收件人名單中。因此，若資料遭濫用，可能的形式是冒用真實寄件人名稱的假郵件。
即使是「請確認會員資料」「您的點數即將到期」「已恢復寄送」這類郵件，也不要開啟郵件中的連結、附件或 QR Code。要確認時，請開啟官方應用程式或已加入書籤的官方網站（辨識假郵件的方法：什麼是網路釣魚？）。
查看您收到電子報之組織的公告
請在下方「已公布受影響情形的委託組織」表格中，開啟您收到電子報之組織的公告。不在表格中的組織，請查看其官方網站的最新消息。JR 四國表示，準備完成後將寄送道歉郵件給可能受影響的人。
被要求輸入密碼、驗證碼或卡號時，不要輸入
RAKUS Lite Cloud 表示未持有信用卡號。即便如此，知道您姓名與電子郵件地址的人，仍可寫出要求您輸入這些資料的郵件。JR 四國請民眾不要開啟可疑郵件或簡訊中的網址，也不要輸入密碼、驗證碼等。
電子報停止期間，要特別留意「寄件人」郵件
新潟日報、環境省、JR 四國等表示，其透過 blastmail 的郵件發送已停止。若在此期間收到以其名義寄來、寫著「已恢復寄送」或「請更新登錄資料」的郵件，請先到官方網站的最新消息確認是否已恢復。新潟日報表示，會員登錄或退會時的自動郵件，仍由不受此事件影響的另一套系統照常寄出，因此並非所有郵件都已停止。
已公布受影響情形的委託組織
使用 blastmail 的組織已各自發布公告。以下清單僅涵蓋本站在各組織官方頁面開啟並確認過、且提及 blastmail 或 RAKUS Lite Cloud 的公告（截至 2026 年 10 月 24 日）。
各狀態與數量均採用該組織自己的說法。計算單位不同（人數、累計筆數、登錄數），因此數字不能加總。表格中也包含 giftee 這類宣布自家契約不在受影響之列的組織。
| 組織 | 使用該服務的項目（依該組織說明） | 範圍內的資料（依該組織說明） | 數量（依該組織說明） | 狀態 |
|---|---|---|---|---|
| 新潟日報 | 新潟日報 Passport 會員的電子報、快訊郵件等 | 姓名（片假名）、都道府縣、市區町村、電子郵件地址、性別、年齡層、訂閱商品、訂閱的電子報服務。不含信用卡資料、電話號碼、出生日期、銀行帳號與密碼 | 最多約 253,000 人（全體會員） | 已確認外洩（該公司） |
| JR 四國 | JR 四國 Tour Web 電子報 | 登錄時輸入的姓名、出生日期、地址與電子郵件地址 | 約 30,000 筆（最大值） | 可能（該公司） |
| 橫濱市（市 GREEN×EXPO 2027 展區志工報名者） | 寄給報名者的群發郵件 | 姓名、電子郵件地址 | 6,334 人 | 可能（該市） |
| 橫濱市（橫濱女性交流網絡協會） | 該協會總部與三個性別平等中心的電子報 | 電子郵件地址 | 累計 3,932 筆（2026 年 3 月底的登錄數；可能含重複） | 可能（該市與該協會） |
| 橫濱市（白幡地區中心） | 指定管理者發行的資訊電子報 | 電子郵件地址 | 約 200 筆 | 可能（該區） |
| 環境省 | 六份電子報，包括全球環境宣導中心（GEOC）、地域循環共生圈與福島環境再生廣場的電子報 | 電子郵件地址；依電子報而異，另含姓名、屬性、所屬單位、都道府縣與市町村，以及備註（登錄理由） | 未說明 | 可能（該省；未確認外洩） |
| giftee | 旅先納稅（Tabisaki Nouzei）、e-machi 平台與 giftee Benefit 的郵件發送 | 旅先納稅 ID 與電子郵件地址／地方政府或公司名稱、聯絡人姓名、部門與電子郵件地址／電子郵件地址、giftee Benefit ID 與公司登入網址 | 未說明 | 未確認（該公司；其契約不在截至 10 月 23 日的 288 份之內） |
表格中的「可能」並不表示已確認外洩
JR 四國與橫濱市的三項案件，是在 10 月 22 日以資料「可能外洩」的形式公布。橫濱市關於白幡地區中心與性別平等協會的文件寫明，「目前無法確認」外洩。環境省也表示，目前尚未確認收件人資料外洩。新潟日報表示，10 月 22 日下午 RAKUS Lite Cloud 向其報告全體會員的資料已外洩。請確認您收到電子報的組織是否在表格中，並留意該組織後續的公告。
橫濱市 GREEN×EXPO 的文件也包含 2027 年國際園藝博覽會協會的公告。向其志工發送群發郵件的承包商同樣使用 blastmail，可能外洩的資料是志工報名編號、活動編號與電子郵件地址（該協會表示未提供姓名等可識別資料）。已登錄的志工是否受影響，尚未確認。
新潟日報在第二次公告中曾表示，約 7,000 名新潟鮭魚計畫（Niigata Salmon Project）會員可能受影響；第三次公告表示他們不在 288 份之內，第五次公告表示他們不在新增確認的 56 份之內。
發生了什麼事（依 RAKUS 與 RAKUS Lite Cloud 的公告）
以下依據 RAKUS Co., Ltd. 於 10 月 21 日發布的第一報與第二報，以及 RAKUS Lite Cloud 的公告（10 月 24 日 13:20 更新版）。RAKUS Lite Cloud 是 RAKUS Co., Ltd. 的全資子公司。blastmail 的產品網站已為進行安全檢查而暫時下線。
2026 年 10 月 21 日（週三）上午 0:30
偵測到對系統的可疑存取，blastmail 緊急停止（管理後台與 API 無法使用）。郵件發送也自約凌晨 1:00 起停止。10 月 21 日
RAKUS 發布第一報（影響與原因調查中；已向個人資訊保護委員會及一般財團法人日本情報經濟社會推進協會（JIPDEC）報告）。第二報則表示已確認外部第三方未經授權存取系統，並取出包含個人資訊的資料。同日，RAKUS 也為預防起見暫停另外七項服務。10 月 21 日傍晚
依橫濱市的文件，發送服務業者報告已確認其全部客戶的部分收件人名單等資料外洩（白幡地區中心約為下午 5:32，性別平等協會約為下午 5:00）。10 月 22 日
RAKUS 的另外七項服務恢復（該公司表示這些服務未確認有未經授權存取或資料外洩）。委託組織開始發布公告。10 月 23 日
發布向個人資訊保護委員會聯合報告的說明（申請截止日為 10 月 29 日）。依 giftee 與新潟日報的公告，該公司於當日宣布，已完成對已確認寄送資料外洩之全部 288 份契約的聯絡。10 月 24 日 13:20
更新為已完成對全部 344 份契約（含新增確認的 56 份）的個別聯絡。尚未決定恢復日期。
郵件收件人
在寄件組織登錄的電子郵件地址等資料。已確認 344 份契約的收件人名單等寄送資料外洩
該做的事：不要開啟自稱寄件人的郵件中的連結
委託組織（客戶）
全部客戶的公司名稱、聯絡人姓名、電話號碼、電子郵件、帳單地址與契約及付款紀錄被取出
該做的事：決定是否報告與通知；留意假請款郵件
RAKUS Lite Cloud
兩台 API 伺服器遭入侵，業務管理系統與服務資料庫被連線
入侵途徑調查中
- 服務
- 電子郵件發送系統 blastmail（由 RAKUS Co., Ltd. 子公司 RAKUS Lite Cloud Co., Ltd. 提供）
- 已確認的事項
- 外部第三方未經授權存取系統，取出包含個人資訊的資料
- 客戶資料
- 從業務管理系統取出全部客戶的公司名稱、聯絡人姓名、電話號碼、電子郵件地址、帳單用電子郵件地址、契約與付款紀錄等。該公司未持有信用卡號
- 寄送資料
- 另已確認部分客戶的收件人名單等外洩：截至 10 月 24 日 13:20 為 344 份契約（可能變動），均已個別聯絡
- 該公司所述原因
- 外部第三方入侵兩台 API 伺服器並執行指令，連線至業務管理系統與服務資料庫，取出資料。入侵途徑的詳情調查中
- 因應
- 服務緊急停止、向個人資訊保護委員會與 JIPDEC 報告、由專業機構進行外部調查，以及與委託組織聯合報告
- 聯絡方式
- blastmail 支援中心（support@blastmail.jp，電話 03-6862-7337，平日 10:00 至 17:00）
已知與未知
截至 2026 年 10 月 24 日 13:20 更新時的狀況。有後續報告時，本表的狀態欄將會更新。
| 項目 | 公告內容 | 狀態 |
|---|---|---|
| 被取出的資料 | 外部第三方未經授權存取系統，取出包含個人資訊的資料 | 已確認外洩（該公司） |
| 客戶資料 | 全部客戶的公司名稱、聯絡人姓名、電話號碼、電子郵件地址、帳單用電子郵件地址、契約與付款紀錄等 | 已確認外洩（該公司） |
| 收件人名單等 | 已確認客戶帳號資料以外的資料（如收件人名單）外洩的契約：344 份（目前數字） | 已確認外洩（該公司） |
| 344 份契約是哪些組織 | 未公布；已個別聯絡受影響的客戶 | 調查中 |
| 收件人人數 | RAKUS Lite Cloud 的公告中未說明 | 未說明 |
| 信用卡號 | 該公司未持有 | 不在其中（該公司） |
| 原因 | 入侵兩台 API 伺服器、執行指令，並連線至業務管理系統與資料庫 | 已確認（該公司）；進入途徑調查中 |
| 入侵途徑 | 詳情調查中 | 調查中 |
| 服務恢復 | 未定 | 調查中 |
| RAKUS 其他服務 | 七項服務為預防起見暫停，並於 10 月 22 日恢復；未確認有未經授權存取或外洩 | 未確認（RAKUS） |
| 二次損害（資料遭濫用） | RAKUS Lite Cloud 未說明。新潟日報在 10 月 22 日的第二次公告中表示尚未確認有濫用 | 未確認（新潟日報） |
外洩的資料可能被用來做什麼
一般而言，當具備下列組合的資料時，可能發生下列濫用。這並不表示本事件中已發生。
- 電子郵件地址加上寄件人名稱：冒用該組織名義的假郵件會寄到與真實電子報相同的地址，收件人容易誤以為是「一直寄電子報給我的組織」
- 姓名、年齡層、地址等（依寄件單位而異）：假郵件可以寫入您的真實姓名或所在地區，比大量發送的垃圾郵件更可信
- 客戶的公司名稱、聯絡人姓名、電話號碼、帳單用電子郵件與付款紀錄：可能成為假發票、變更匯款資料的要求，或自稱來自 blastmail 或 RAKUS 的「為恢復服務請重新登入」郵件或電話的素材
本月同樣有一個發送服務使多個委託組織的收件人曝光的案例，包括 Ymirlink 的 Cuenote FC 電子郵件發送服務遭未經授權存取，以及 SpeeCAN RAIDEN 災害通報郵件服務遭未經授權存取。這兩起事件中，收件人都是透過所收郵件之組織的公告來確認是否受影響。這次則另外加上，全部客戶組織的聯絡資料與付款紀錄也被取出。
使用 blastmail 的組織該做的事
RAKUS Lite Cloud 表示，已個別聯絡已確認收件人名單等資料外洩的客戶。以下步驟依據該公司與個人資訊保護委員會的說明。
確認是否已收到個別聯絡
RAKUS Lite Cloud 表示，已完成對已確認客戶帳號資料以外的資料（如收件人名單）外洩之全部 344 份契約的聯絡。請確認契約中登錄的聯絡人與帳單地址是否收到訊息。該公司表示數字可能變動，因此即使沒有收到任何聯絡，也請持續留意其更新。請聯絡該公司公告頁面所列的支援中心。
列出您在收件人名單中登錄了什麼
範圍內的資料取決於您在收件人名單中放了什麼。新潟日報列出八個項目，包括姓名（片假名）、性別與年齡層；GREEN×EXPO 志工群發郵件則列出志工報名編號、活動編號與電子郵件地址，並表示未提供姓名。能說明哪些項目您並未持有，可讓您向收件人的說明更簡短。
決定是否向個人資訊保護委員會報告及通知本人
收件人名單中的個人資料，是寄送郵件的組織所管理的個人資料。依個人資訊保護委員會，可能出於不正當目的而發生的外洩（包含疑似案件），以及涉及超過 1,000 人的外洩（行政機關與地方政府機構為超過 100 人），必須報告（外洩等的因應與參考資料，日文）。
RAKUS Lite Cloud 為委託組織提供與該公司聯合向該委員會報告的程序（聯合報告說明，申請截止日為 2026 年 10 月 29 日）。依該公司說明，即使是聯合報告，已確認收件人名單外洩的委託組織仍須自行通知本人，持有 PrivacyMark 的組織也須自行向 JIPDEC 報告。若不確定，請洽詢該委員會的諮詢窗口，或律師等專業人士。
提醒您的收件人
大多數已公布受影響情形的組織，都呼籲民眾留意冒用其名義的可疑郵件，並且不要開啟網址。請在官方網站的最新消息中發布提醒；若以郵件寄送，請讓它容易與假郵件區分：不放連結，並寫明寄件地址。
提醒您自己的員工留意假請款與重新登入郵件
全部客戶的聯絡人姓名、電話號碼、電子郵件地址、帳單用電子郵件地址與付款紀錄都已被取出。請告知會計與郵件負責人員，若收到自稱來自 blastmail 或 RAKUS 的發票、匯款資料變更，或為恢復服務而要求重新登入的指示，應透過該公司的官方公告或支援中心確認，而非透過郵件中的連結（確認寄件人的方法：SPF、DKIM 與 DMARC 基礎）。
本站觀點：發送服務的客戶既是寄件人，也是外洩資料的對象
在電子郵件發送服務的事件中，關注點通常放在收件人的地址。這次另外加上，全部客戶組織的聯絡資料與付款紀錄也被取出。委託組織必須向其收件人說明事件，同時自己的員工也可能成為攻擊目標。
檢查在發送服務登錄的聯絡資料
請檢查註冊時登錄的聯絡人或帳單電子郵件，是否仍是已離職者的個人地址。這會表現為漏收個別通知，或沒人注意到的假發票。使用部門共用地址，可在人員異動時維持聯絡。
恢復服務後，依該公司說明檢視 API 金鑰與管理員密碼
依公告，第三方入侵了 API 伺服器並連線至服務資料庫。公告並未說明 API 金鑰或管理後台密碼是否外洩。服務恢復時，請查看該公司的說明，可以的話重新產生 API 金鑰，並確認管理員密碼沒有在其他服務重複使用（金鑰處理基礎：.env 與 API 金鑰基礎）。
事先決定發送停止時如何聯絡對方
自 10 月 21 日起發送已停止，且尚未決定恢復日期。新潟日報與 GREEN×EXPO 協會已在停止期間將聯絡方式改到官方網站。請事先決定發送停止時要用什麼方式（關於供應商管理，另請參閱主機代管供應商遭入侵時）。
資料來源（公開紀錄）
本文中的事實依據以下公開資訊。對於未公開的入侵途徑，不做推測。
- RAKUS Co., Ltd.，「【第一報】本公司子公司提供的 blastmail 偵測到可疑存取及服務停止」（2026 年 10 月 21 日，日文）— rakus.co.jp
- RAKUS Co., Ltd.，「【第二報】本公司子公司提供的 blastmail 因未經授權存取導致資料外洩及服務停止」（2026 年 10 月 21 日，日文）— rakus.co.jp
- RAKUS Lite Cloud Co., Ltd.，「【重要】blastmail 緊急停止及個人資料外洩的道歉與報告（2026 年 10 月 24 日 13:20 更新）」（日文）— info.blastmail.jp
- RAKUS Lite Cloud Co., Ltd.，「blastmail 網站暫時停止」（日文）— info.blastmail.jp
- RAKUS Lite Cloud Co., Ltd.，「向個人資訊保護委員會聯合報告的說明」（2026 年 10 月 23 日，日文）— info.blastmail.jp
- RAKUS Co., Ltd.，七項服務暫時停止（10 月 21 日）與恢復（10 月 22 日）的公告（日文）— 暫停 / 恢復
- 新潟日報，關於 RAKUS Lite Cloud 遭未經授權存取致會員資料外洩的公告（第二次 10 月 22 日、第三次 10 月 23 日、第五次 10 月 24 日，日文）— 第二次 / 第三次 / 第五次
- 四國旅客鐵道株式會社（JR 四國），「RAKUS Lite Cloud 遭未經授權存取致個人資料可能外洩」（2026 年 10 月 22 日，日文）— jr-shikoku.co.jp
- 橫濱市關於 GREEN×EXPO 志工報名者郵件、橫濱女性交流網絡協會電子報與白幡地區中心電子報可能外洩的新聞稿（均為 2026 年 10 月 22 日，日文）— GREEN×EXPO / 性別平等協會 / 白幡地區中心
- 環境省，「涉及環境省的電子報收件人資料可能外洩」（2026 年 10 月 23 日，日文）— env.go.jp
- giftee, Inc.，「【後續】RAKUS Lite Cloud 遭未經授權存取致個人資料可能外洩」（2026 年 10 月 22 日發布，10 月 23 日更新，日文）— giftee.co.jp
- 個人資訊保護委員會，「外洩等的因應與參考資料」（日文）— ppc.go.jp
更新紀錄
2026-10-24：第一版，依據 RAKUS 於 10 月 21 日發布的第一報與第二報、RAKUS Lite Cloud 於 10 月 24 日 13:20 更新的公告及其聯合報告說明，以及委託組織的公告。入侵途徑、受影響的委託組織或服務恢復公布時，將會更新。
延伸閱讀
- 網站建置服務 Studio 遭未經授權存取:全體使用者資料與表單送出內容可能外洩——表單填寫者與網站管理者該怎麼做
- 類似事件：Ymirlink 的 Cuenote FC 遭未經授權存取 / SpeeCAN RAIDEN 遭未經授權存取
- 辨識假郵件：什麼是網路釣魚？ / 垃圾郵件從您自己的地址寄來時
- 確認寄件人（給網站經營者）：SPF、DKIM 與 DMARC 基礎
- 2026 年其他事件：資料外洩與網路攻擊一覽