日本脆弱性総合ポータル

SHIFT：メール配信サービスの不正アクセスで福利厚生サービスの配信先情報が漏えい

重要度
最大5,414件
公表日
2026.10.23
原因の分類
侵入口未公表
対策可能性
判定保留

この記事の3行まとめ

  1. 委託先のメール配信サービスから顧客のメールアドレス等が漏えい
  2. 漏えいの可能性があるのは氏名や会社名、メールアドレスで、クレジットカード情報は含まれない
  3. 不審なメールは、記載のURLへのアクセスや添付ファイルの開封を控える

SHIFTが企業向けに提供する福利厚生サービス「まん福」の案内に使われていた、委託先のメール配信サービス「ブラストメール」が不正アクセスを受け、配信先のメールアドレス・氏名・会社名が外部へ漏えいしたと報告された。クレジットカード情報やパスワードは含まれないとしている。

確認された経路・公表元の推定

  1. 2026年10月22日：委託先の株式会社ラクスライトクラウドが、ブラストメールへの不審なアクセスを検知したと報告。SHIFTの配信担当者の情報も漏えいしたと報告された
  2. 2026年10月23日：委託先から、まん福の配信先リストの情報も漏えいしていたと報告を受けた

根拠の要点

公表文は委託先ラクスライトクラウドの発表と報告に基づく。侵入口は資料で示されていない。

資料の基準時点：2026年10月23日時点で判明している内容

当時、対策できたのか

判定保留

委託先による原因調査は要請中で、侵入口や攻撃時点の防御条件は資料に示されていない。そのため、対策の欠落も発覚時の未発見も判断できない。

公表された対策

  • ブラストメールによるメール配信を停止（対応済み）
  • 委託先に不正アクセスの原因調査と影響範囲の特定を要請（要請済み）
  • まん福への不正アクセスの有無を調べ、痕跡がないことを確認
  • まん福のセキュリティ対策状況を確認（対応済み）
  • 個人情報保護委員会へ速やかに報告を提出する予定
  • 利用する外部サービスの安全管理状況を改めて確認し、必要な再発防止策を講じる予定
  • 情報が漏えいしたお客様へは、対象が確定し次第、個別にメールで案内する予定
  • パスワードや暗証番号等の入力や送付を求めないことを案内し、不審なメールのURLへのアクセスや添付ファイルの開封を控えるよう呼びかけ

この事例を理解するための動画

まだ分からないこと

  • 侵入口と不正アクセスの原因（委託先が調査中）
  • 漏えいした情報の正確な範囲と件数（委託先が調査中）
  • 攻撃者の手口と、漏えい情報が悪用されたかどうか
  • 再発防止策の具体的な内容

関連する事例

同じ原因分類の事例

事例の一覧に戻る