メール配信サービス「ブラストメール」から全契約者の情報が持ち出し、配信も停止 — メルマガを外部サービスに頼る中小企業の初動
メール配信サービス「ブラストメール」を運営するラクスライトクラウド（ラクスの100%子会社）は2026年10月21日、不正アクセスを受けてサービスを緊急停止したと公表した。続報では、第三者がAPI用のサーバー2台に侵入してコマンドを実行し、販売管理システムとサービスのデータベースから全契約者の会社名・担当者名・電話番号・メールアドレス・契約と支払いの履歴を持ち出したと説明している。一部の契約では配信先リストなども流出し、10月24日13時20分の更新で対象は344件となった。メールの配信は21日から止まったままで、再開日は決まっていない。メルマガや一斉連絡を外部サービスに任せている中小企業にとっては、「顧客のメールアドレスを預けた先」と「顧客への連絡手段」を同時に失った事案である。この記事では公表内容を整理し、利用企業が取る初動をまとめる。
背景
運営会社の発表（10月24日13時20分更新）によると、経緯と影響は次のとおりである。
- 10月21日（水）0時30分頃：管理画面とAPIを停止。メールの配信も1時頃から停止
- 原因：外部の第三者がAPI用サーバー2台に侵入してコマンドを実行し、そこから販売管理システムとサービスのデータベースに接続してデータを持ち出した。侵入経路は調査中
- 全契約者に共通する流出：会社名、担当者名、電話番号、メールアドレス、請求先のメールアドレス、契約と支払いの履歴など。クレジットカード番号は運営会社が保持していない
- 一部の契約で追加の流出：配信先リストなど配信に関する情報。10月23日14時時点で288件、24日の更新で56件が加わり344件。全件に個別連絡済み
- サービス再開：未定
運営会社は、利用企業が個人情報保護委員会へ報告する際に、運営会社との連名での報告に応じるとしている。土日も続報を出すとしており、件数は外部機関の調査に応じて変わる可能性がある。
利用企業の側でも公表が始まっている。ギフティは10月22日、自社サービスの会員向け配信に使っていた登録情報が漏えいした可能性があると公表し、23日には、運営会社に直接確かめた結果、その時点の288件に自社の契約は含まれていなかったと追記した。確定を待たずに「可能性」の段階で知らせ、確認が取れた時点で更新する進め方である。
リスクの全体像
利用企業にとっての影響は3つに分かれる。
1つ目は、自社の担当者情報の流出である。全契約者の会社名・担当者名・メールアドレスと「ブラストメールを契約している」という事実がそろって持ち出された。攻撃者はこれを使って、運営会社やサポート窓口を名乗り、「再開に伴いログイン情報の再設定が必要です」「請求先の変更をお願いします」といったフィッシングメールを、実在の担当者名あてに送れる。支払い履歴が分かれば、請求書を装った文面の信ぴょう性も上がる。
2つ目は、配信先リストの流出である。344件に該当した企業では、自社の顧客や会員のメールアドレスが外部に出たことになる。委託先で起きた漏えいでも、個人情報保護法上の報告と本人への通知の義務は、データを預けた企業に残る。顧客から見れば、流出したのは「その会社に登録したメールアドレス」である。
3つ目は、連絡手段の停止である。セール告知、会員向けのお知らせ、障害時の一斉連絡をブラストメールに頼っていた企業は、21日から顧客にまとめて連絡できない状態が続いている。皮肉なことに、顧客へ注意喚起を送りたい場面で、その配信手段が止まっている。
チェックリスト
ブラストメールを利用している、または利用していた企業は、次の点を確かめる。
- 運営会社から「契約者情報以外の漏えい」に該当するという個別連絡が届いていないか（契約時の担当者・請求先のメールアドレスの両方を見る）
- ブラストメールに登録していた配信先リストの件数、項目（メールアドレスだけか、氏名や会社名も含むか）、最終更新日を記録しているか
- ブラストメールのログインパスワードと同じものを、社内の他のシステムで使っていないか
- 運営会社や自社を名乗る、再設定・請求先変更・返金を案内する不審なメールが届いていないか
- 配信を止めている間、顧客への重要な連絡を別の手段（自社サイトのお知らせ、通常のメール、SNS）で出せるか
打ち手
最初に、自社が344件に含まれるかを確かめる。個別連絡が届いていなければ、運営会社の問い合わせ窓口に、自社の契約が対象かを直接問い合わせる。ギフティのように、問い合わせた結果を記録し、必要なら自社の顧客向けに「現時点では対象外を確認した」と公表すれば、顧客からの問い合わせに答えやすくなる。
対象に含まれていた場合は、個人情報保護委員会への報告を準備する。報告は、事態を知ってから概ね3〜5日以内の速報と、30日以内（不正な目的によるおそれがある場合は60日以内）の確報が求められる。運営会社の連名報告の手続きを使えば、原因や侵入経路の記載を運営会社の調査に合わせられる。本人への通知では、自社を名乗る不審なメールに注意するよう添える。
対象外でも、担当者情報は全契約者分が流出している。ブラストメールのパスワードを社内で使い回していれば変更し、メールに書かれたリンクからログイン情報を入力しないよう、配信担当者に伝える。
中長期では、メール配信サービスに預けているリストを見直す。退会者や長く反応のない宛先を消し、氏名などメール配信に不要な項目は登録しない。あわせて、配信サービスが止まったときに顧客へ連絡する代わりの手段を決めておく。
あわせて読みたい
- 採用管理SaaS「ApplyNow」への不正アクセスが自治体6市に波及 — 大阪市106件・入間市約1,200件など職員採用の応募者情報が漏えい
- ZARA・7-Eleven・Udemyが流出した経路 ― SaaSは「設定」で破られる
- クロネコ代金後払いに不正アクセス、購入者の氏名・住所・商品明細と加盟店名が流出の恐れ 導入しているネットショップが確認すること
- BEC（ビジネスメール詐欺）とは？ 手口・典型シナリオ・対策・被害時対応まで完全ガイド
Omamori AI の結論
- 事実: ブラストメールのAPI用サーバー2台が侵入され、全契約者の担当者情報と契約・支払いの履歴が持ち出された。一部の契約では配信先リストも流出し、10月24日時点で344件。配信は10月21日から停止し、再開は未定である。
- 判断軸: 自社の顧客リストが含まれるかどうかで、必要な対応が大きく変わる。運営会社の連絡を待つだけでなく、自社から確認を取りに行く。
- 打ち手: 対象かどうかを確かめ、該当すれば連名報告と本人通知を進める。対象外でも、担当者あてのフィッシングに備え、パスワードの使い回しをやめる。
経営者視点で考えるべきこと
メール配信のような小さな外部サービスは、情報システム部門ではなく営業や販促の担当者が契約していることが多く、委託先の一覧から漏れやすい。しかし、預けているのは顧客のメールアドレスそのものであり、漏えいすれば報告と通知の責任は自社が負う。今回を機に、顧客情報を預けている外部サービスを部署を問わず洗い出し、それぞれに何件・どの項目を預けているかを一覧にしておきたい。あわせて、ブラストメールの停止が数日で済まない場合に、販促や顧客連絡がどれだけ止まり、売上にどう響くかを見積もる。代わりのサービスを1つ決めておくことは、費用の小さい事業継続の備えである。
