電子マンガ・ノベルサービス「ピッコマ」を運営する株式会社カカオピッコマは2026年10月24日、メールマガジンの配信に利用している株式会社ラクスライトクラウドのメール配信システム「ブラストメール」が第三者による不正アクセスを受け、メールマガジン1回分の配信で宛先となっていた利用者のメールアドレス100万2404件が外部に流出したと発表した。ピッコマのアプリやWebサービス、同社のシステムが不正アクセスを受けたものではないとしている。
委託先の検知から3日後に報告
発表によると、ブラストメールの運営会社は2026年10月21日（水）0時30分ごろに不審なアクセスを検知し、全サービスを停止した。その後、10月24日（土）にブラストメールの運営会社から、ピッコマのメールマガジンの宛先メールアドレスが流出したとの報告を受けたという。
流出したのは、メールマガジンの受信先として登録されたメールアドレスのみで、利用者を識別する管理番号や最終課金日などの情報は含まれていないことを確認したとしている。パスワードはブラストメールに預けておらず、流出の可能性はない。氏名とクレジットカード情報は、同社では保有していない。小説のメールマガジン「ピッコマノベルズ」については、現時点で流出は確認されていない。
件数は、現時点でブラストメールの運営会社から報告を受けているものだという。
なりすましメールへの備えも
同社はメールマガジンの配信を停止し、個人情報保護委員会に報告した。また、ブラストメールから送られるメールがピッコマの正規のメールとして扱われないよう、設定を変更した。ブラストメールから送られるなりすましメールが、ピッコマの正規のメールとして扱われないようにするための措置である。
流出したのはメールアドレスだけだが、ピッコマの利用者であることがわかる宛先の一覧として悪用されると、作品の配信やポイント、課金を口実に、偽のサイトへ誘導して個人情報などを盗もうとするフィッシングメールが送られるおそれがある。同社は、ピッコマや出版社を装った不審なメールやSMS（携帯電話番号あてに届くショートメッセージ）に注意し、心当たりのないメッセージのリンクを開いたり、個人情報やパスワードを入力したりしないよう呼びかけている。ピッコマがメールでパスワードやクレジットカード情報の入力を求めることはないという。
配信サービス1社の被害が多くの企業に広がる
報道によると、ブラストメールへの不正アクセスをめぐっては、ピッコマ以外にも、メールマガジンの配信先リストが流出したと発表する企業が相次いでいる。メール配信のように多くの企業が共通して使うサービスが被害を受けると、利用企業はそれぞれ自社の顧客への説明と対応に追われることになる。
メールマガジンの配信先を外部サービスに渡して保存している場合は、その管理にも目を向ける必要がある。委託先に預けている情報の種類と量を把握すること、不要になった宛先を残さないこと、事故が起きたときの報告の期限や手順を契約で決めておくことが、委託先の被害に巻き込まれたときの影響を小さくする。今回のように、委託先から送られるメールの扱いを自社側の設定で切り替えられるようにしておくことも、なりすましを防ぐうえで役に立つ。
同じ手口に、自社は備えられていますか？