要点
発表された事実
- ラクスルは2026年11月9日、「ラクスル」のデータ入稿の処理に関わるシステムが第三者の不正アクセスを受け、保管していた印刷データなどに含まれる個人情報が外部に流出したおそれがあると発表した（ラクスル）。
- 発覚は11月8日0時20分ごろ。同社システムの認証情報が不正に取得され、保管データの一部に外部からアクセスできる状態にあったことを確認した（同）。
- 対象は入稿された印刷データと、請求書・Web郵便などのデータに記載された氏名・会社名・住所・電話番号・メールアドレスなど。件数は集計中、対象期間は「調査中〜11月8日」（同）。
- 印刷データには注文者だけでなく、名刺やはがきなど印刷物に記載された人の情報が含まれる場合がある（同）。
- クレジットカード情報、ログインID、パスワードは漏えいしていないことを確認した（同）。
- 不正に使われた認証情報の無効化、使われたアカウントの停止を行った。11月8日から入稿を伴う一部サービスを止め、9日7時から順次再開したが、ラクスル パッケージ、Adobe Express連携、デザイン制作依頼、カタログサイトは停止を続けている（同）。
わかったこと
- 【2026-11-12夕追記】ラクスルは11月12日の第2報で、不正に取得された認証情報により、11月7日3時頃から11月8日1時頃まで、その権限の範囲でクラウド上の保管データにアクセスできる状態だったと公表した。11月8日1時頃に認証情報を無効化した。データの破壊や暗号化は確認されていない（ラクスル 第2報）。
- 【2026-11-12夕追記】漏えいのおそれがある情報は、「ラクスル Adobe Express連携」（2025年3月提供開始）で入稿された印刷データに記載された氏名・会社名・住所・電話番号・メールアドレスなどで、読み取られた可能性のあるファイルは最大249ファイル。対象期間は2025年3月〜2026年11月8日。ファイル数は11月6日9時〜8日9時のストレージ統計の読み取り回数から通常のサービスによる読み取りを除いた上限値で、人数とは一致しない（同）。
- 【2026-11-12夕追記】DM発送で預かる宛名リスト、グループの「ダンボールワン」「トートバッグ工房」「ペライチ」は対象外。ログインID・パスワードを管理するデータベースへの不正アクセスは確認されていない（同）。
- 【2026-11-12夕追記】「ラクスル パッケージ」は11月10日12時、「デザイン制作依頼サービス」は11月11日12時に再開した。Adobe Express連携とカタログサイトは安全確認後に再開する。入稿データの検査強化、データの読み取りを記録する設定の追加、認証情報の権限見直しを進め、11月11日に個人情報保護委員会へ報告した（同）。
わかっていないこと
- 認証情報がどこから、どのように取得されたか。
件数と、対象期間の始まり（いつからアクセスできる状態だったか）。（【2026-11-12夕追記】最大249ファイル、アクセス可能だったのは11月7日3時頃〜8日1時頃。ファイルに含まれる人数は未公表）実際に外部へ持ち出されたデータの量。（【2026-11-12夕追記】読み取り記録の設定がなく、ストレージ統計から推定した上限値のみ。実際に読み取られたファイルは特定されていない）- 印刷物に名前が載っている第三者への通知方法。
- Adobe Express連携とカタログサイトの再開時期。
関係しそうな既知の手口
- （考察）クラウド上の保管領域にアクセスする鍵が漏れてデータを持ち出される例は国内でも続いている（例：iDA「MyBRANDS」）。ラクスルの「認証情報」が何を指すかは公表されていない。
概要
- 発覚から約1日半で第一報を出し、サービスの部分停止と再開状況もあわせて示している（ラクスル）。
- 停止の影響で、データチェックや出荷に通常より時間がかかる場合があるとしている（同）。
この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。
何が起きたか（時系列）
| 日付 | 出来事 | 出典 |
|---|---|---|
| 2026-11-08 0:20ごろ | 不正アクセスが発覚 | ラクスル |
| 2026-11-08 | 入稿を伴う一部サービスを停止 | 同 |
| 2026-11-09 7:00 | 停止したサービスを順次再開（一部は停止継続） | 同 |
| 2026-11-09 | 個人情報漏えいのおそれを公表 | 同、Impress Watch |
| 2026-11-10 12:00 | 「ラクスル パッケージ」を再開（【2026-11-12夕追記】） | ラクスル 第2報 |
| 2026-11-11 | 「デザイン制作依頼サービス」を12時に再開。個人情報保護委員会へ報告（【2026-11-12夕追記】） | 同 |
| 2026-11-12 | 第2報。不正アクセス可能期間は11月7日3時頃〜8日1時頃、対象はAdobe Express連携の印刷データ最大249ファイルと公表（【2026-11-12夕追記】） | 同 |
発表内容の整理
事実（ラクスルの発表による）
| 項目 | 内容 |
|---|---|
| 対象システム | 「ラクスル」のデータ入稿の処理に関わるシステム |
| 原因 | システムの認証情報の不正取得 |
| 対象データ | 入稿された印刷データ、請求書、Web郵便などのデータ |
| 含まれうる情報 | 氏名、会社名、住所、電話番号、メールアドレスなど |
| 件数 | 集計中 |
| 対象期間 | 調査中〜2026年11月8日 |
| 含まれない | クレジットカード情報、ログインID、パスワード |
| 二次被害 | 発表時点で未確認 |
出典：ラクスル「当社システムへの不正アクセスによる個人情報漏えいのおそれについて」（2026-11-09）
考察
- 名刺やDM、はがきの印刷データは、注文者の顧客や取引先など、ラクスルと契約していない人の情報をまとめて含む。漏えいした場合、本人が自分の情報が対象かどうかを知る手段がない点が、会員データの漏えいと違う。
- 請求書のデータは、取引先名と金額の組み合わせを含みうるため、請求書を装った詐欺に使われやすい種類の情報である。
関係しそうな既知の手口
事実
- 同社は「認証情報が不正に取得された」と述べているが、取得経路は調査中としている（ラクスル）。
考察
- 長期間有効な認証情報（アクセスキーやサービスアカウントの鍵）が、開発端末やリポジトリ、委託先経由で漏れるのはよくある経路である。有効期限の短い認証情報への切り替えや、保管データへのアクセスの監視が効く。
利用者・運用者がいまできること
- 利用者：ラクスルや取引先を名乗る請求・支払い変更の連絡は、別の連絡手段で確認する。名刺やDMを印刷した場合は、記載された相手にも不審な連絡があり得ることを念頭に置く。
- 運用者：入稿データなど大量の個人情報を含むファイルの保管期間を見直し、不要になったものは消す。保管領域への鍵は用途ごとに分け、異常な一括ダウンロードを検知する。