ブラストメールの配信停止は10月26日17時も継続、再開は未定。送る側が先にやる確認

2026年10月28日

この記事のポイント

いつ：ラクスが10月21日に第2報を公表。管理画面とAPIは同日0時30分、メール配信は1時頃から止まり、10月26日17時時点でも継続中。再開は未定
何が：子会社ラクスライトクラウドの「ブラストメール」で、API用サーバー2台に第三者が侵入し、データが持ち出されたと報じられている。発表主体は親会社のラクス、サービス提供と被害の当事者は子会社のラクスライトクラウド
誰が：契約者情報（会社名・担当者名・電話番号・メールアドレス・請求先メールアドレス・契約/支払履歴など）は全契約者が対象。配信先リストは一部契約者で、10月26日17時時点で345契約。345は契約の数で、人数ではない
影響：メルマガや案内メールの配信が止まったまま。連絡先と契約・支払履歴がそろったため、請求や契約更新を装う連絡に備えておきたい（編集部の見立て）。二次被害の実害は、確認できていない
やること：まず提供元からの個別連絡の届き先を確認する。不審な連絡は公式お知らせや契約書に載っている窓口で確かめ、API連携があればAPIキーの利用先を洗い出す（届き先の確認より後は、公式案内ではなく一般的な対処）。クレジットカード番号は同社が保持せず対象外

全契約者の連絡先と契約・支払履歴は出ている。配信先リストが出たのは345契約で、個別連絡の届き先から判定する

発表主体は東証プライム上場のラクスで、サービスを提供し被害を受けた当事者は子会社のラクスライトクラウドです。以下、会社名はこの区別で書きます。

今回の情報は、全契約者が対象のものと、一部契約者だけが対象のものに分かれます。自社がどちらに当てはまるかは、次の表と個別連絡の有無で判定できます。

なお本記事は、ラクスの第2報とブラストメール公式お知らせの原文を直接確認できていません。複数の報道・公表で一致する範囲を中心に整理しています。

対象	範囲	主な項目
契約者情報	全契約者	会社名、担当者名、電話番号、メールアドレス、請求先メールアドレス、契約/支払履歴など
配信先リスト	一部契約者（345契約・10月26日17時時点）	配信先のメールアドレスなど配信に関する情報

契約者情報は、販売管理システムから外部への持ち出しが確認されたものです。ラクスの第2報を伝える報道では、クレジットカード番号はラクスライトクラウドが保持しておらず、対象外とされています。

配信先リストの該当契約数は、調査の進行に伴って増えました。

時点	該当契約数
10月23日17時	288契約
10月24〜25日	344契約
10月26日17時	345契約

10月26日17時時点について、ブラストメール公式お知らせは、該当345件に対して個別連絡が完了した件数も345件と表記しています。それ以前の時点も、報道では該当契約への個別連絡は完了したと説明されています。

判定は、提供元からの個別連絡の有無を軸にします。

個別連絡が届いている：配信先リストの対象です。
個別連絡が届いていない：10月26日17時時点で、該当と判断された契約には含まれていない可能性があります。

ただし、届いていないことを理由に「非該当」と決める前に、次の4点を確かめてください。個別連絡の宛先や方法は公表されていません。契約時に登録した担当者のメールアドレスや請求先メールアドレスに届いている可能性を、編集部は想定しています。

契約時の担当者が異動・退職していて、そのアドレスを誰も見ていないことはないか
共有アドレスや請求先のメールボックスに届いていないか
迷惑メールのフォルダに振り分けられていないか
受信側で不達になっていないか

担当者が替わったまま確認しないと、「連絡が来ていない」を「非該当」と読み違えることになります。確認しても見つからない場合は、契約書に載っている窓口に直接問い合わせるのが確実です。

外部専門機関の調査は続いており、件数は今後変わる可能性があります。345は契約の数で、配信先の総件数や人数は公表されていません。

請求や契約更新を装う連絡は来る前提で備える。連絡先と支払履歴がそろったため

請求先メールアドレスと契約/支払履歴がそろって出たため、実在の契約に沿った請求書や更新案内を装いやすい、というのが編集部の見立てです。履歴の細目（金額や時期など）が含まれるかは公表されていません。二次被害の実害は、調べた範囲では確認できていません。

影響を公表した各社は、タミヤの告知にあるように、不審なメールやSMSの記載URLと添付ファイルを開かない、個人情報やパスワードを入力しないよう呼びかけています。

送信元の表示だけでは判断できない例もあります。同じドメインから偽の案内が届いた事案は、アルカディアの不正アクセスで送信元が手がかりにならなかった事案で整理しています。

契約者情報は全契約者が対象のため、個別連絡の有無にかかわらず、次の備えは共通です。以下は公式案内ではなく、一般的な対処です。

請求書を扱う経理部門に、ブラストメールを名乗る請求・契約更新の連絡が来うることを事前に伝える
振込先の変更、契約更新、ログイン再設定の依頼は、メール内のリンクから処理しない
届いたメールのリンクではなく、契約書や過去の請求書に載っている窓口、またはブラストメール公式お知らせから、内容の真偽を確かめる

問い合わせ窓口のメールアドレスと電話番号は第三者サイトの記事では紹介されていますが、本記事では公式の記載を直接確認できていないため載せません。偽装された連絡を見分けるための窓口を、出所の確かでない情報から取るのは本末転倒になります。連絡先は自社の契約書か公式お知らせで確かめてください。

パスワード変更を求める公式の案内は、調べた範囲では見つかっていません。契約者の側で変えるかどうかを決めるなら、他のサービスと同じパスワードを使い回していないかを基準にするのが、一般的な対処です。

配信停止は継続中で再開は未定。10月22日に戻ったのは楽楽販売など別7サービス

管理画面とAPIは10月21日0時30分、メール配信は同日1時頃に停止しました。公式お知らせの表記は「継続中」で、10月26日17時時点でも再開していません。再開の日時は未定です。

混同しやすい点があります。ラクスは10月22日、楽楽販売など別の7サービスが安全確認とメンテナンスを終えて順次再開したと公表しました。ブラストメールはこれに含まれていません。

以下は公式案内ではなく、一般的な対処です。管理画面とAPIが止まっているため、API経由の自動送信も同じく止まっている前提で、配信を任せていた通知を自社側で一覧にしてみてください。優先の基準は、申込や予約の期限があるもの、個人宛の請求・支払に関わるもの、受け取れないと相手が困る案内の順です。そのうえで、止まると困るものから代替の送信手段を決めておくと、再開の時期が見えない状況でも動けます。

配信先への告知は、登録数と対象を分けて書く。ピッコマ・ALC・岡崎市の公表が実例

ブラストメールの利用企業や自治体は、自社の配信先に向けて公表を出しています。ここでは、書き方の実例を見ます。

ピッコマ：メルマガ宛先メールアドレス1,002,404件の流出を、10月24日に公表（ビジネス＋IT の報道）
ALC（アルク）：「ALC News +」登録者約31万件のメールアドレスについて、漏えいの可能性を10月23日付で公表
愛知県岡崎市：防犯情報メールマガジンの登録アドレス約2万6,000件に漏えいの可能性があると10月22日に公表。市営住宅募集メールも対象で、件数は確認中
ヌーラボ：ブラストメールに登録していた自社の顧客情報は流出対象に含まれないとの報告を受けた、と公表

これらは登録アドレス数や公表値で、流出が確認された人数とは限りません。岡崎市の約2万6,000件も、確認済みの数ではなく「可能性」の範囲です。岡崎市は10月14日に別システム（アルカディア）への不正アクセスも公表していますが、今回とは別の事案です。

編集部の見立てとして、自社の配信先に伝える側は、登録数、漏えいが確認されたのか可能性なのか、どの時点の情報か、の3点を分けて書くと、読み手に誤解を与えにくくなります。ヌーラボのように、対象外であることを知らせる公表もあります。

個別連絡が届いていて該当と分かった場合の動き方です。以下は公式案内ではなく、一般的な対処です。

情報システム、個人情報の担当、経営層など、社内で判断する人に上げる
提供元に、自社分の配信先リストに含まれる項目、件数、対象期間を問い合わせる（侵入の期間と項目の詳細は未公表）
配信先への告知は、確認できた範囲だけを時点つきで書き、分からない点は「確認中」と明記する

本件は、セルズの告知によると、個人情報保護委員会へ所定の報告を行うとされています。委託元の一部企業も、同委員会に報告済みと公表しています。

発表に記載のない点は、漏れた可能性を残して扱う。侵入期間や全契約者数も未公表

侵入口の特定はまだで、侵入経路は調査中です。報じられているのは侵入後の動きで、第三者がAPI用サーバー2台に侵入してコマンドを実行し、販売管理システムとサービスのデータベースに接続したとされています。社内端末のウイルス感染や従業員による漏えいではないと説明されています。

ログインパスワード、APIキー、配信したメール本文は、10月26日時点の発表に記載がありません。「漏れていない」という公表もありません。確定するまでは、漏れた可能性を残して扱ってください。

自社システムからブラストメールのAPIを呼び出している契約者は、APIキーが最も直接の論点です。以下は公式案内ではなく、一般的な対処です。

そのAPIキーを、どのシステムや担当者が使っているかを洗い出す
キーの再発行を検討する。管理画面とAPIが止まっているため、再発行の可否と時期は提供元に確認する
自社システム側のAPI呼び出しログは今日確認できる。提供元側の送信履歴は管理画面が止まっているため、再開後に確認する

次の点は、まだ公表されていません。

侵入の期間
全契約者の数（2025年8月時点の公式プレスにある導入社数「27,000社以上」とは別の数字）
配信先リストに含まれる項目の詳細と総件数
警察への報告の有無
サービス再開の見通し

メール配信基盤では、ユミルリンクのCuenote FCの事案も10月19日頃に公表されていますが、両事案の関連は公表されていません。

まとめ

ブラストメールの契約者情報は全契約者が対象で、配信先リストは10月26日17時時点で345契約です。自社が該当するかは、個別連絡の届き先を確かめたうえで判断します。

配信停止は続いており、再開は未定です。今できるのは、止まっている通知を一覧にして代替手段を決めること、請求や更新を装う連絡を契約書や公式お知らせの窓口で確かめること、API連携があればAPIキーの利用先を洗い出すことです（いずれも公式案内ではなく、一般的な対処です）。続報で件数や公表項目が変わる可能性があるため、公式お知らせの更新を確認してください。