印刷通販サービスを運営するラクスル株式会社は2026年11月9日、「ラクスル」のデータ入稿処理に関わるシステムが第三者による不正アクセスを受け、顧客から預かった印刷データなどに含まれる個人情報が外部に流出したおそれがあると発表した。システムへのログイン時に本人確認に使う認証情報が不正に取得されていたことを確認しており、対象の件数と範囲は調査中としている。名刺やはがきの宛名など、注文者以外の情報が含まれる可能性がある点が今回の特徴だ。
何が起きたのか
同社の発表によると、不正アクセスが発覚したのは2026年11月8日0時20分頃。対象は「ラクスル」のデータ入稿の処理に関わるシステムで、同社システムの認証情報が不正に取得され、同社が保管するデータの一部に外部からアクセスできる状態にあったことを確認したという。
同社は確認後、不正に使われた認証情報を無効化し、不正アクセスに使われたアカウントを停止した。11月8日からは安全確認のため、データ入稿を伴う一部のサービスを停止している。11月9日7時から順次再開しているものの、「ラクスル パッケージ」「ラクスル Adobe Express連携」、デザイン制作依頼サービス、カタログサイトは引き続き停止しており、データチェックや出荷に通常より時間がかかる場合があるとしている。
漏えいしたおそれのある情報
漏えいのおそれがあるのは、利用者が入稿した印刷データ、および請求書やWeb郵便などのデータに記載された氏名、会社名、住所、電話番号、メールアドレスなどだ。対象件数は集計中で、対象期間も「調査中～2026年11月8日」とされている。
同社は、印刷データには注文者本人の情報だけでなく、名刺やはがきなど印刷物に記載された人の情報が含まれる場合があると説明している。一方、クレジットカード情報、ログインID、パスワードについては漏えいしていないことを確認したという。現時点で個人情報の不正利用などの二次被害は確認されておらず、個人情報保護委員会へは報告する予定としている。
「預かったデータ」が漏えいするリスク
今回の事案で注目すべきは、漏えいのおそれがある情報に、サービスの会員情報だけでなく、利用者が業務のために預けたデータの中身が含まれる点だ。名刺やダイレクトメール、請求書には取引先や顧客の氏名・住所が並ぶ。発注した企業にとっては、自社の顧客や取引先の情報が委託先から外に出た可能性があることを意味し、自社の利用状況の確認や関係先への説明が必要になる場面も考えられる。
また、侵入の足がかりが「認証情報の不正取得」だった点も見逃せない。一般に、正規の認証情報が使われると外形上は通常の操作と区別しにくく、発見が遅れやすい。システムへのログインやデータへのアクセスを常時監視し、普段と異なる時間帯・経路からの操作を早期に検知できる体制は、被害の拡大を抑えるうえで重要だ。
印刷やメール配信など、外部サービスに業務データを預けることは今や当たり前になっている。委託先の選定時にセキュリティ体制を確認することに加え、預けたデータの保管期間や範囲を必要最小限にとどめることも、万一の際の影響を小さくする現実的な対策と言える。
同じ手口に、自社は備えられていますか？