日本脆弱性総合ポータル

ラクスライトクラウド / ブラストメール：ブラストメールへの不正アクセスで契約者情報が持ち出され、サービス停止

重要度
業務やサービスの停止・すべてのご契約者さま
公表日
2026.10.21
原因の分類
侵入口未公表
対策可能性
判定保留

この記事の3行まとめ

  1. 「ブラストメール」の運営会社が不正アクセスされ、契約者の情報が外部に持ち出された。
  2. 侵入されたのはAPI用サーバー2台で、侵入経路はまだ公表されていない。
  3. 埼玉大学やイトキンでも契約者情報が持ち出され、不審メールへの注意が呼びかけられている。

メール配信サービス「ブラストメール」の運営会社ラクスライトクラウドで、外部の第三者がAPI用サーバー2台に侵入し、契約者情報が持ち出された。販売管理システムとデータベースに接続されたと説明されている。サービスは2026年10月21日から停止し、資料の時点では再開日が未定だった。埼玉大学やイトキンなどの契約者に連絡があり、イトキンは2026年10月29日に会員番号とメールアドレスの漏えいを公表した。石油資源開発（JAPEX）は、個人情報が漏えいした可能性があるとしている。侵入経路は未公表で、調査中である。

確認された経路・公表元の推定

  1. 時期は未公表だが、運営会社のAPI用サーバー2台に外部の第三者が侵入し、コマンドを実行した。
  2. 侵入したサーバーから販売管理システムとデータベースに接続され、データが外部に持ち出された。
  3. 2026年10月21日に不正アクセスが確認され、運営会社から契約者へ連絡があった。同日午前0時30分ごろからサービス停止が続いている。
  4. 2026年10月23日、調査で配信先リストなどが外部に持ち出されたことが判明した。埼玉大学も同日に公表した。
  5. 2026年10月27日、イトキンが運営会社から漏えいした対象データを受け取り、内容を確認した。
  6. 2026年10月29日、イトキンが会員番号とメールアドレスの漏えいを公表し、ブラストメールの利用を停止した。

根拠の要点

運営会社のAPI用サーバー2台への第三者による侵入と情報の持ち出しは、運営会社の公表に基づく。運営会社は、侵入してコマンドを実行し、販売管理システムとデータベースに接続したと説明している。JAPEXは「クラウド環境への不正アクセス」と記している。イトキンは、2026年10月21日に不正アクセスが確認され、10月23日に配信先リストの持ち出しが判明したとしている。侵入経路の詳細は調査中で、資料のどれにも書かれていない。

資料の基準時点：2026年10月29日時点で取得した4資料の公表内容を含む（取得日 2026-10-30）

当時、対策できたのか

判定保留

侵入経路は調査中で、資料はどれも脆弱性や設定の不備を示していない。攻撃時点の防御状況も書かれていないため、対策の欠落は判断できない。

公表された対策

  • 運営会社は、システムの安全確認とサービス復旧に向けた対応を行っている。
  • 運営会社は、原因の究明と再発防止に向けた対策を進めるとしている。
  • イトキンは、ブラストメールの利用を停止し、新しいメール配信環境に切り替えて運用している。
  • 埼玉大学とイトキンは、心当たりのない不審メールを開封せず削除するよう呼びかけている。
  • イトキンは、パスワードやクレジットカード番号などをメールで尋ねないと案内している。
  • JAPEXは、個人情報漏えいが確認された場合に該当者へ個別に連絡し、二次被害防止に向けた注意喚起を行うとしている。
  • 埼玉大学は、運営会社から情報を収集し、適切に対応するとしている。
  • イトキンは、対象となる顧客へ順次、個別にメールで案内するとしている。

この事例を理解するための動画

まだ分からないこと

  • 侵入経路の詳細と、侵入の時期
  • 漏えいした情報の詳細と、契約者ごとの影響
  • 配信に関する情報（配信先リストなど）の漏えい範囲（一部の契約者）の詳細
  • 埼玉大学は個人情報の漏えいを確認できていないとしている。その最終的な有無は未確定
  • 大学・イトキン・JAPEXで持ち出された情報の範囲が一致するかは分からない
  • 漏えいした可能性のある個人情報の件数（JAPEXは調査中）
  • サービス再開の日時（資料時点では未定）
  • 流出した情報を使った不審メールの被害は、資料では確認されていない
  • ブラストメール全体の影響範囲（件数など）は資料に書かれていない

関連する事例

同じ原因分類の事例

事例の一覧に戻る