ブラストメールへの不正アクセス — メール配信サービスに預けた宛先リストが流出した経緯と、配信サービスを使う企業の3つの対策

ブラストメールの不正アクセスとは

2026年10月21日0時30分ごろ、株式会社ラクスライトクラウドは、メール配信システム「ブラストメール」への不審なアクセスを検知し、全サービスを止めました。親会社の株式会社ラクスは同じ日の第2報で、外部の第三者がAPI用のサーバー2台に侵入してコマンドを実行し、販売管理システムとサービスのデータベースに接続してデータを持ち出したと公表しています。侵入経路の詳細は調査中で、10月27日の時点でもサービスの再開日時は決まっていません。

持ち出されたのは、ブラストメールを契約する企業の情報と、一部の企業が配信のために登録していた宛先の情報でした。10月24日以降、利用していた企業や団体が、自社のお客様のメールアドレスなどが流出したことを相次いで公表しています。最新の動きは、当社の事例速報「カカオピッコマのサイバー攻撃被害」で更新しています。

検知から利用企業の公表までの経緯

検知から1週間のあいだに、運営会社は持ち出しの事実と連名報告の受付を示し、利用企業は自社のお客様への連絡と注意の呼びかけを進めました。

漏えいした情報と、利用企業に及んだ影響

漏えいした情報は2つの層に分かれます。1つは契約したすべての企業の担当者の情報で、もう1つは一部の企業が預けていた配信先リストです。

カカオピッコマは配信を止めたうえで、ブラストメールから送られるメールが自社の正規のメールとして扱われないよう設定を変え、個人情報保護委員会に報告しました。ピッコマや出版社を装った不審なメールやSMSに、リンクを開かず個人情報を入力しないよう呼びかけています。

メール配信サービスが不正アクセスされると、なぜ利用企業の顧客情報まで漏れるのか

メール配信サービスでは、送る相手のリストそのものを提供元のデータベースに登録して使うため、提供元が破られれば、利用企業が預けたリストも一緒に持ち出され得ます。ブラストメールの事例で利用企業に及んだ影響を、公表された内容から3つに分けて見ていきます。

配信のために預けたリストは、提供元のデータベースに置かれている

カカオピッコマは、自社のアプリやWebサービスは不正アクセスを受けていないと説明しました。それでも宛先のメールアドレスが流出したのは、メールマガジンを送るために、そのリストをブラストメールに登録していたからです。個人情報保護委員会のガイドラインは、個人データの取扱いを外部に任せるとき、委託元が委託先を監督する義務を負うと定めています。リストを預けた先で起きた漏えいでも、お客様から見れば、情報を集めた会社の出来事として受け止められます。

漏れたのは、契約した会社の担当者の情報でもある

今回の事例では、配信先リストを預けていなかった企業も無関係ではありませんでした。販売管理システムからは、全契約者の会社名、担当者名、電話番号、メールアドレスなどが持ち出されています。契約した会社の担当者が、配信サービスや取引先を名乗る連絡を受ける立場に置かれたという意味で、利用企業は二重に当事者になったといえるでしょう。

配信サービスが止まると、お客様へ知らせる手段も一緒に止まる

ブラストメールは10月21日から全サービスを止めており、管理画面とAPIも使えなくなりました。長野県は、対象となり得る人に直接連絡できないため、各事業のサイトに同じ内容のお知らせを載せたと説明しています。eJudoもブラストメールとの連携を止め、ニュースレターの配信を休んでいます。ふだんの連絡をメールマガジンに頼っている会社ほど、事故の日に別の経路が要ることになります。

メール配信サービスやSaaSを使う中小企業が狙われる理由

メール配信サービスやSaaSが狙われるのは、多くの企業の顧客リストが1つの基盤に集まり、そこを破れば一度に多くの会社のお客様に手が届くからです。当社代表の青山は、総合解説「サプライチェーン攻撃の起点は中小企業にある」で、外部のメール配信サービスが不正アクセスを受けた別の事例を挙げ、委託先に預けたデータを自社で持っていなければ、委託先の被害がそのまま自社の資産を失うことにつながると指摘しています。FAQシステムの提供会社1社への侵入が複数の利用企業に及んだi-askの事例も、同じ構図でした。会社の規模よりも、どのサービスに何を預けているかで影響の大きさが決まると考えたほうが、実態に合います。

メール配信サービスの情報漏えいに備えるには？利用企業が取るべき3つの対策

メール配信サービスを使う企業が優先したいのは、①預ける宛先リストを必要な項目と期間に絞り、使い終えたリストを消す、②配信サービスに認めた自社ドメインでの送信とAPIキーを一覧にし、事故の日にすぐ外せるようにする、③配信サービスが止まった日に、お客様への連絡と個人情報保護委員会への報告を進める段取りを決める、の3つです。①は漏れたときの影響を小さくするため、②は自社の名前を悪用されないため、③は事故の後の対応を遅らせないための備えにあたります。

対策1：配信サービスに預ける宛先リストは必要な項目だけにし、使い終えたリストは期限を決めて消す

配信サービスの事故に備えて最初に見直したいのは、預けている宛先リストの中身と量です。ブラストメールの事例では、漏えいした項目が利用企業ごとに違いました。カカオピッコマとeJudoはメールアドレスだけでしたが、氏名や居住市町村まで登録していた長野県の3サイトでは、それらの項目も漏えいの可能性がある情報に挙がりました。

個人情報保護法は、利用する必要がなくなった個人データを遅滞なく消去するよう努めることを求めています。配信サービスの管理画面で、次の5つを確かめてください。

1. 配信サービスに登録している宛先リストを一覧にし、リストごとに登録している項目（メールアドレス、氏名、会社名、属性など）を書き出す
2. 差し込みや絞り込みに使っていない項目は、リストから外す
3. 過去のキャンペーンで使ったリスト、配信を止めた人、届かなくなったアドレスを消す
4. 自社の顧客データベースからの連携は、配信に要る項目だけを送る設定にする
5. リストを残す期間を決め、期限の来たものを消す作業を毎月の担当業務に入れる

判断の目安は、「配信サービスのリストが丸ごと漏れても、メールアドレス以外の項目が出ていかない」状態です。落とし穴は、退会や配信停止の処理を自社の顧客データベースでだけ行い、配信サービスの中に古い宛先が残り続けることでしょう。配信を止めた人のアドレスを「二度と送らないための記録」として残す場合も、その目的に要る項目だけにとどめます。棚卸しはメールマガジンの担当者が半日ほどで終えられ、その後は月に一度、リストの数と項目を見直せば足ります。

対策2：配信サービスに認めた自社ドメインでの送信とAPIキーを一覧にし、事故の日にすぐ外せるようにする

2つ目は、配信サービスに渡している「自社の名前で送る許可」を把握し、事故の日に取り消せるようにしておくことです。カカオピッコマは、ブラストメールから送られるメールが自社の正規のメールとして扱われないよう、公表の時点で設定を変えていました。許可が残ったままだと、悪用された配信サービスから届く偽のメールも、自社の正規のメールと同じように扱われます。

メール配信サービスを使う企業の多くは、SPFやDKIMの設定で、配信サービスに自社ドメインからの送信を認めています。外す対象を、次の表のように一覧にしておくと、当日の作業が早まります。

判断の目安は、「配信サービスの事故を知ってから、その日のうちに自社ドメインでの送信の許可を外せる」ことです。陥りやすいのは、DNSの管理を制作会社やドメインの登録業者に任せたままで、誰がどこを書き換えるのかが社内で分からないケースでしょう。ブラストメールの事例では全契約者の担当者名と連絡先も持ち出されているため、配信サービスを名乗る「再設定」や「本人確認」の連絡には、メールの中のリンクを使わず、公式のお知らせと照らし合わせてから応じます。一覧は情報システムの担当者が2〜3時間で作れ、配信サービスを替えるたびに更新します。

対策3：配信サービスが止まった日に、お客様への連絡と個人情報保護委員会への報告を進める段取りを決める

3つ目は、配信サービスが止まり、預けたリストが漏れたと知らされた日に、会社として何を誰がするかを前もって決めておくことです。ブラストメールの事例では、利用企業は自社で事実を公表し、お客様への連絡と不審なメールへの注意を呼びかけました。ラクスライトクラウドは連名での報告を受け付けていますが、その場合でも、読者など本人への通知は利用企業の側で行う必要があると案内しています。

個人情報保護委員会への報告は、知った時点から概ね3〜5日以内の速報と、30日以内（不正の目的によるおそれがある漏えいは60日以内）の確報の2段階です。手順書には次の5つを書いておくと、当日に迷いません。

1. 配信サービスから事故の連絡を受ける窓口と、社内で最初に知らせる相手（経営者、個人情報の責任者）を決める
2. 漏えいした項目と件数を、配信サービスの報告と自社の記録で照らし合わせる担当を決める
3. 個人情報保護委員会への報告を、自社だけで行うか、提供元との連名にするかを決める基準を持つ
4. メールが使えない日に備え、公式サイトのお知らせ欄、SNS、アプリの通知など、別の連絡経路と載せる文のひな形を用意する
5. 「当社がメールでパスワードやカード番号を尋ねることはない」という注意の文と、問い合わせ窓口の案内を用意する

判断の目安は、「提供元から連絡を受けて3日以内に、報告の方法を決め、公式サイトにお知らせを出せる」状態です。落とし穴は、提供元の調査結果を待つあいだに自社の判断が止まり、お客様が報道で先に事故を知る形になることにあります。プライバシーマークを持つ事業者は、JIPDECへの報告も別に必要だと案内されているため、手順書の連絡先に加えておくと安心です。手順書は経営者と個人情報の責任者が半日ほどで形にでき、年に一度、連絡先と使っているサービスを確かめ直します。

メール配信の事故に備える分担：自社で固めることと、ガーディアンが受け持つこと

宛先リストの中身と、事故の日の報告の判断は、自社にしか決められない領域です。これに対して、自社のドメインを名乗るメールを見分けやすくする設定や、メールが止まった日もお知らせを出せる公式サイトの運用は、当社が受け持つと早く整います。

自社ドメインを名乗るメールの見分けやすさは、SCSC Dog で整える

配信サービスの事故の後に出回りやすいのは、提供元や利用企業を名乗るメールです。SCSC Dog は、ホームページの運用と合わせて、SPF・DKIM・DMARC を標準で設定し、自社のドメインから送られたメールかどうかを受け取る側が確かめられる状態に整えます。DMARCのレポートからは自社のドメインを名乗る送信元がつかめるため、外し忘れた送信の許可にも気づけます。

メールが止まった日も、公式サイトからお知らせを出し続ける

メールマガジンが使えない日にお客様が確かめに来るのは、会社の公式サイトのお知らせ欄です。SCSC Dog は、公式サイトを当社の基盤で運用し、更新から24時間365日の有人監視、障害時の復旧までを受け持ちます。当社がこの仕組みで運用しているサイトは、2026年10月時点で76,325にのぼります。宛先の情報を集める申し込みフォームは SCAN DOG 正規版で決めた頻度で診断し、委託先や関連会社の公開Webは SCAN DOG ライト版でまとめて確かめる使い分けが合っています。

SCS評価制度で問われる、委託先との取り決めと事故の連絡ルート

SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）は、企業のセキュリティ対策の水準を★の数で表す任意の制度で、★3・★4の申請受付は2026年度末に始まる予定です。取引を直接縛るものではないものの、顧客の情報を外部のサービスに預けて事業をする企業ほど、取引先から預け方や事故の時の動き方を尋ねられる場面は出てくるとみられます。

今回の事例に関わるのは、★3の要求事項「2-1-2 機密情報の取扱い」と「6-1-1 インシデント対応手順」です。前者は、機密情報を共有する取引先との間で、業務を始める前に、利用の制限や保管の方法、返還又は廃棄までを取り決めることを求めています。後者は、発見報告から最終報告までの手順に加え、関係当局を含む社内外の連絡先と、報告・情報共有のルートを定めることを求めるものです（IPA「★3・★4 要求事項・評価基準」）。対策1のリストの期限と、対策3の手順書は、この2つの準備を兼ねます。制度の中身はSCS評価制度への対応で解説しています。

まとめ

ブラストメールの事例では、API用サーバー2台への侵入から、全契約者の情報と、345件の契約の配信先リストなどが持ち出されました。ピッコマではメールマガジンの宛先1,002,404件が流出し、10月27日の時点でサービスの再開日時は未定です。

メール配信サービスやSaaSに顧客のリストを預けている企業が、今日から進めたいのは次の3つです。

• 配信サービスに登録しているリストと項目を書き出し、使っていない項目と古いリストを消す
• SPF・DKIMでの送信の許可、APIキー、管理画面のアカウントを一覧にし、外す担当を決める
• メールが使えない日のお知らせの経路と文のひな形、報告の担当と期限を手順書にまとめる

お知らせを載せる公式サイトの守りの基本がどこまでできているかは、77's Check!! で無料で確かめられます。

よくある質問

あわせて読みたい

• 
  総合解説

  サプライチェーン攻撃の起点は中小企業にある
• 
  事例一覧

  2026年 日系企業のサイバー被害事例一覧
• 
  SCS評価制度

  SCS評価制度への対応