ブラストメールAPIサーバーに侵入され契約者情報が流出

ラクスは2026年10月21日、子会社ラクスライトクラウドが提供するメール配信システム「ブラストメール」で不審なアクセスを検知し、サービスを停止したと発表した。同日の第2報で、外部の第三者による不正アクセスが行われ、個人情報を含むデータが外部に持ち出されたことを確認したと公表した（ラクス 第1報、第2報）。

原因は、第三者がラクスライトクラウドのAPI用サーバー2台に侵入してコマンドを実行し、販売管理システムとサービスのデータベースに接続してデータを持ち出したこと。侵入経路は調査中（第2報）。

販売管理システムからは、すべての契約者の会社名、担当者名、電話番号、メールアドレス、請求先メールアドレス、契約と支払いの履歴などが持ち出された。クレジットカード番号は同社では持っていない。一部の契約者では、配信先リストなどメール配信に関する情報の漏えいも確認した（同）。

サービスは10月21日午前0時30分から停止しており、再開日時は未定（同）。

ラクスは予防措置として、自社の「楽楽販売」「楽楽勤怠」など7サービスとコーポレートサイト等も21日に一時停止したが、22日に再開し、これらへの不正アクセスや情報漏えいは確認されなかったと発表した（ラクス）。

利用組織の公表（いずれも10月22日）：

• 新潟日報社：22日午後にラクスライトクラウドから「パスポート会員全ての個人情報が漏えいした」と報告を受け、「新潟日報パスポート」全会員、最大約25万3000人の氏名（カタカナ）、都道府県・市町村名、メールアドレス、性別、年代、購読商品名などの漏えいが判明したとした（新潟日報）。
• 名鉄観光サービス：「メディア予約センター」のメールマガジンで約13万人の氏名、電話番号、メールアドレス、生年月日、性別、都道府県名が漏えいした可能性。自社システムへの侵入の痕跡はない（名鉄観光サービス（PDF））。
• JR四国：「JR四国ツアーWeb メールマガジン」の登録者最大約3万件の氏名、生年月日、住所、メールアドレスが閲覧・取得された可能性（JR四国（PDF））。
• 岡崎市：防犯情報メールマガジンのメールアドレス約2万6000件と、市営住宅の募集情報メールの登録アドレス（件数確認中）が漏えいした可能性（岡崎市）。

【2026-10-23追記】（報道）北國新聞（10月23日）によると、金沢市消防局は事業所向けの「火災予防情報メール」の配信にブラストメールを使っており、市内の飲食店や病院など約1700事業所の登録情報が漏えいした可能性がある。10月21日未明にラクスライトクラウドから停止の連絡を受けたが、同局の登録情報が流出したかどうかは分かっていないという（北國新聞）。

【2026-10-23追記】ラクスライトクラウドは10月23日17時の更新で、契約者情報以外（配信先リストなど）の漏えいが確認された契約は現時点で288件で、288件すべてに個別の連絡を終えたと公表した。数値は今後の調査で変わる可能性があり、対象者の調査は続いている。社内調査は10月24日10時頃に終える予定で、専門機関による外部調査も並行して進めている。サービス再開は未定。個人情報保護委員会への報告は、契約者と連名で行うこともできるとしている（ブラストメール）。

【2026-10-23追記】H.I.S.ホテルホールディングスは10月22日、ホテル会員向けメールマガジンの配信委託先から、契約情報の漏えいが確定したとの連絡に続いて会員の配信先リストも漏えいした可能性があると知らされたとして、ホテル会員約14万人分の氏名とメールアドレスが不正に引き出された可能性があると公表した。クレジットカード情報は含まれない（H.I.S.ホテルホールディングス、ITmedia NEWS）。

【2026-10-24追記】ラクスライトクラウドは10月24日10時の更新で、社内調査が完了したと公表した。契約者情報以外の漏えいが確認された契約は344件で、そのうち288件には個別に連絡済み、残る56件には順次メールで連絡している。数値は外部の専門機関による調査（完了時期は未定）で変わる可能性がある。次の報告は、追加の56件への連絡を終えた10月24日（土）中を予定。サービスは10月21日0時30分から停止したままで、再開は未定（ブラストメール 10/24 10:00更新）。契約者向けに、個人情報保護委員会への共同報告の受け付けも案内している（共同報告の案内）。

【2026-10-26追記】ラクスライトクラウドは10月26日10時の更新で、契約者情報以外の漏えいが確認された344件すべてに個別の連絡を終えたと示した（件数は前の報告から変わっていない）。専門機関による外部調査は続いているが、前日10時の報告から新たに伝えられる確定情報や進展はないとしている。サービスは停止したままで再開は未定、次の報告は10月26日（月）17時頃の予定（ブラストメール 10/26 10:00更新）。

【2026-10-26追記】ラクスライトクラウドは10月26日17時の更新で、専門機関による外部調査の過程で契約者情報以外の漏えいが新たに1件見つかり、対象の契約者には同日メールで個別に連絡したと公表した。これで契約者情報以外の漏えいが確認された契約は345件となり、345件すべてに連絡済み。数値は外部調査の進み具合で変わる可能性がある。サービスは停止したままで再開は未定、次の報告は10月27日（火）12時頃の予定（ブラストメール 10/26 17:00更新）。

【2026-10-27追記】ラクスライトクラウドは10月27日12時30分の更新で、外部調査を続けているが前回報告以降に新たに漏えいが判明した契約者はなく、契約者情報以外の漏えいが確認された契約は345件（すべてに個別連絡済み）のままだとした。サービスの再開は未定で、次の報告は10月28日（水）12時頃の予定（ブラストメール 10/27 12:30更新）。

【2026-10-27追記】利用企業のHRビジョンは10月27日、「日本の人事部」のメールマガジン（毎週火曜日配信）の登録アドレスについて、ラクスライトクラウドから10月26日18時55分に報告を受け、漏えい件数が213,294件に確定したと公表した（第一報では10月20日23時55分時点の登録数212,243件を記載）。ブラストメールに渡していたのはメールアドレスだけで、氏名・勤務先・電話番号・パスワードなどは影響がないとしている。不正利用や二次被害は確認されていない（日本の人事部 第二報）。

【2026-11-03追記】利用企業側では、MIRARTHホールディングスが11月2日に第2報を出した。グループのタカラレーベンが運営するオーナーズクラブ「DLPS」のメール配信委託先Solvvyについて、10月23日にラクスライトクラウドの現時点の調査では、Solvvyがブラストメールに登録している顧客の情報（DLPS会員の情報を含む）は流出の対象に含まれていないと報告を受けたとしている。外部の専門機関の調査は続いており、新たな流出の痕跡は報告されていない。一時止めていたDLPSアプリのログインは復旧し、不正利用や二次被害の報告もない（MIRARTHホールディングス 第2報）。