ラクスは2026年10月21日、子会社のラクスライトクラウドが提供するメール配信システム「ブラストメール」が外部の第三者による不正アクセスを受け、全契約者の会社名・担当者名・連絡先などが外部に持ち出されたと発表した。一部の顧客については、メールの配信先リストなど配信に関する情報の漏えいも確認したという。サービスは同日午前0時30分から停止しており、再開の時期は決まっていない。
緊急停止した当日の第2報で「持ち出し」を公表
ラクスの発表によると、ラクスライトクラウドはシステムへの不審なアクセスを検知し、2026年10月21日午前0時30分にブラストメールを緊急停止した。同日の第1報では影響範囲・原因ともに調査中としていたが、同日中に出した第2報で、外部の第三者による不正アクセスが行われ、顧客の個人情報を含むデータが外部に持ち出されたことを確認したと公表した。第1報の時点で、個人情報保護委員会と日本情報経済社会推進協会（JIPDEC）に報告している。
原因について同社は、第三者がラクスライトクラウドのAPI用サーバー2台に侵入してコマンドを実行し、販売管理システムとサービスのデータベースに接続してデータを持ち出したと説明している。APIサーバーとは、外部のシステムからサービスの機能を呼び出すための窓口となるサーバーである。どのような手口でAPIサーバーに侵入されたのか、詳しい経路は引き続き調査中としている。
持ち出された情報
ラクスライトクラウドの販売管理システムから、すべての契約者について次の情報が持ち出されたことを確認したという。
- 会社名
- 担当者名
- 電話番号
- メールアドレス
- 請求先のメールアドレス
- 契約および支払いの履歴など
同社は、クレジットカード番号を保持していないとしている。これとは別に、一部の顧客については配信先リストなど、メール配信に関する情報の漏えいも確認しており、詳細を精査したうえで該当する顧客に個別に連絡するとしている。
利用企業・自治体の「お知らせ」が相次ぐ
ブラストメールは、企業や自治体がメールマガジンや会員向けのお知らせを一斉に送る用途で使われている。配信先リストの漏えいが一部で確認されたことを受け、利用企業や自治体が自らの登録者に向けて注意を呼びかける動きが出ている。たとえば事業構想オンラインは、メールマガジンの配信登録情報（メールアドレス）が漏えいした可能性があるとして、不審なメールへの注意を呼びかけるお知らせを2026年10月21日に掲載した。報道によると、JR四国も同社のツアーウェブ会員約3万件の個人情報が漏えいした可能性があると22日に発表した。
なお、ラクスは10月21日、自社の「楽楽販売」「楽楽勤怠」など7サービスについても、昨今のサイバー攻撃のリスクを踏まえた予防的な措置として一時停止し、緊急メンテナンスを行うと発表した。この措置について同社は、本件に起因する不正アクセスや情報漏えいは確認されていないとしている。
漏えいした情報が詐欺メールに悪用されるおそれ
メール配信サービスが狙われると、被害は運営会社だけにとどまらない。配信先リストには、利用企業の顧客や会員のメールアドレスがまとまって入っている。これが外部に渡ると、実在する企業やサービスの名前をかたり、偽サイトなどに誘導して情報を盗み取るフィッシングメールの送り先として悪用されるおそれがある。事業構想オンラインも、今回の件に関するお知らせやお詫びを装った偽メールが送られる可能性があるとして注意を呼びかけている。
また、契約者の会社名・担当者名・請求先メールアドレス・支払い履歴がそろって持ち出されたことで、取引先を装った請求書詐欺（ビジネスメール詐欺）に悪用されるおそれもある。外部のメール配信サービスやSaaS（インターネット経由で利用するソフトウェア）を使っている企業は、自社のどの情報をどのサービスに預けているかを棚卸しし、委託先で事故が起きた際に「誰に・何を・どう知らせるか」をあらかじめ決めておくことが求められる。サービスを提供する事業者にとっては、外部から呼び出されるAPIサーバーが侵入口になり得る。公開しているサーバーの脆弱性（セキュリティ上の弱点）の把握と対処、そして侵入後の不審なコマンド実行を早く見つける監視の両方が問われる事案である。
同じ手口に、自社は備えられていますか？