ブラストメールで公表されたこと：契約者情報と配信先情報は分けて読む

ラクスは2026年10月21日の第2報で、子会社のラクスライトクラウドが提供する「ブラストメール」への不正アクセスにより、個人情報を含むデータの外部持ち出しを確認したと発表しました。

公表内容には、異なる二つの対象があります。

  • 契約者の情報： 販売管理システムから、全契約者の会社名、担当者名、電話番号、メールアドレス、請求先メールアドレス、契約・支払いの履歴などが持ち出されたとしています。クレジットカード番号は同社では保持していないとの説明です。
  • 配信先などの情報： 一部の顧客について、配信先リストなどメール配信に関する情報の漏えいも確認したとしています。詳細は精査中で、該当する顧客へ個別に連絡すると案内しています。

原因については、第三者がAPI用サーバー2台へ侵入し、コマンドを実行して販売管理システムとサービスのデータベースに接続し、データを持ち出したと説明しています。侵入経路の詳細は調査中です。利用企業側のAPI鍵が原因だったと推測するものではありません。

第2報では、サービスは10月21日午前0時30分から停止し、再開日時は未定とされています。公式ニュース一覧を10月22日に確認した時点でも、ブラストメールの第3報以降は見当たりませんでした。これは確認時点の情報です。利用時には、その後の続報と自社への個別案内を確認してください。

「全契約者の情報」と「一部の顧客の配信先情報」を混同して、すべての配信先が漏えいしたと説明しないようにします。公表された対象の広さだけでは、自社のお客様への影響は確定しません。

最初に、公式情報と自社への影響を一つの記録にまとめる

メルマガ・お知らせ・案内メールの担当者は、情報を集める窓口を決め、責任者と情報管理担当へ共有します。保守会社が連携を管理している場合は、その担当者にも確認してください。

確認すること 記録する内容・確認先
発表の版と個別連絡 公式URL、公表日時、確認日時、自社宛て連絡の内容と差出元
自社の利用範囲 契約名義、利用アカウント、担当部署、管理者、連携するシステム
預けた情報 配信先のメールアドレス・氏名・所属などの項目、対象のリストと登録期間
影響の確度 漏えい確認済み・おそれあり・対象外と案内された範囲・未確認の区別
配信と業務の状態 送信済み、予約中、処理結果不明の配信、期限のある連絡
次の対応 確認担当、公式窓口への質問、社内の判断期限と次の確認時刻

個別連絡がまだ来ないことだけでは、対象外と判断できません。公式窓口へ、自社の配信先リストが対象か、対象ならどの項目・期間・範囲か、まだ分からない場合は次の案内方法を確認します。問い合わせのために配信先リスト全体を送らず、必要な契約情報と質問に絞ります。

「緊急のパスワード変更」「返金・請求先変更」といった連絡も、侵害に便乗した偽メールの可能性を考えます。メール内のリンクからログインせず、普段使っているブックマークや公式サイトから案内を確かめてください。

管理画面・API鍵・連携の認証情報は、事業者の案内に従って見直す

以下は外部サービスを利用する際の一般的な確認手順です。停止中に操作できない場合は、無理に接続せず、変更すべき情報と再開後の手順を事業者に確認します。

  1. 予約配信と連携を洗い出す。 予約中のメール、顧客管理からの同期、フォームからの自動登録、自動再送の有無を確認します。保守担当者と、停止・保留できる範囲を決めます。
  2. 変更対象と順序を確かめる。 管理者パスワード、API鍵、連携用の認証情報について、事業者の案内に沿って変更・失効・再発行します。多要素認証が利用できる場合は設定も確認します。同じパスワードを他でも使っていた場合は、そのサービスでも変更します。
  3. 変更後の接続と送信条件を確認する。 古い鍵が無効になったか、連携先が新しい情報を使っているかを担当者が確認します。確認のためにお客様へ試験配信せず、自動再送や予約配信が意図せず動き出さない状態で確認してください。

鍵を作り直しただけで、既に持ち出された情報を回収できるわけではありません。変更内容と日時を残し、不審なログインや配信の履歴は事業者・保守担当者に確認します。調査に必要な履歴を削除したり、認証情報をメール・共有メモに貼り付けたりしないようにします。

配信先リストへの影響が疑われたら、案内と報告の判断を急ぐ

お客様への案内を考えるときは、まず自社で預けた情報と事業者からの個別連絡を突き合わせます。「メールアドレスだけ」なのか、氏名・所属・配信履歴なども含まれるのかで、説明する内容が変わります。未確認の項目は未確認のまま残してください。

個人情報保護委員会への報告・本人通知は、専門家と確認する

個人情報保護委員会の案内は、不正な目的で行われたおそれがある行為による個人データの漏えい等を、報告対象の一つとして示しています。人数の多寡だけで「報告不要」とは判断できません。

事業者が報告するという案内だけで、自社の確認が不要になったとは考えないでください。 自社の報告・本人通知の要否、事業者との役割分担、必要な期限は、個別連絡と公的案内をもとに、責任者が弁護士などの専門家や相談窓口へ速やかに確認します。詳細の確定を待つ間にも期限が関わり得るため、いつ何を知ったかを記録し、確認を先延ばしにしないようにします。本記事で個別企業の義務や期限を判定することはできません。

配信先への説明は、分かったことと取ってほしい行動を先に書く

案内の対象・時期・方法を責任者が確認し、必要に応じて専門家と相談します。説明に入れる項目は、次のとおりです。

  • 利用するサービスで何が公表され、自社への影響はどこまで確認できているか
  • 対象となる情報の項目と範囲、まだ確認できていないこと
  • 自社が進めている確認・対応と、お客様に取ってほしい行動
  • 正式な問い合わせ先と、次の情報を掲載する場所・更新予定

一般的なお知らせや注意喚起と、個別に必要となる本人通知は分けて扱います。Webサイトでのお知らせだけで必要な通知を済ませたと判断せず、通知方法も確認してください。公開ページには配信先リストや、対象のお客様が分かる情報を載せません。

自社を装うメールに備え、公式の確認先を示す

なりすましメールが実際に発生したと確認できていない場合は、発生済みと書かず、今後への注意として案内します。差出人の表示名だけで本物と判断せず、不審なリンク・添付ファイルを開かずに公式窓口で確かめてもらいます。

たとえば、次は自社の方針に合わせて直す注意喚起の文案です。実際に送信した案内ではありません。

当社を装い、ログイン情報や支払いを求める不審なメールにご注意ください。不審なリンクや添付ファイルは開かず、当社の公式Webサイトをブックマークなどから開き、掲載している窓口へご確認ください。

「当社はメールで支払いを求めません」などの断定は、実際の請求方法と一致する場合だけ使います。問い合わせを受ける社員にも同じ確認先と回答方針を共有し、メールで案内された振込先変更は既知の電話番号など別の経路で確認します。

サービス停止中は、緊急度を分けて代わりの連絡方法を決める

すべての配信を急いで別サービスへ移す前に、期限と影響で優先順位を付けます。通常の販促メルマガは保留できても、予約変更・休業・納期などの連絡は別の方法が必要になる場合があります。

連絡の種類 代わりの方法と確認点
広く知らせるサービス状況 自社Webサイトのお知らせに掲載し、個別のお客様の情報を含めない
期限のある個別連絡 既知の電話番号、既存の顧客ポータルなど、社内で利用を認めた経路を選ぶ
通常のメルマガ・販促 配信を保留し、再開後に内容と送信対象を見直す
別のメール配信サービスへの切替 委託条件・安全管理・利用目的、配信停止済みの宛先を除外できるかを確認してから判断する

手元の古いリストをそのまま使うと、退会・配信停止の希望を反映できない場合があります。お客様のアドレスが互いに見えるTo・CCでの一斉送信や、個人のメール・未承認サービスへのリスト移動は避けてください。BCCも宛先の入れ間違いを防ぐ仕組みとは限らないため、急ごしらえの大量配信の代替にしないようにします。

停止中に連絡した対象、内容、日時、担当、送信・到達が確認できた範囲を記録します。再開時は予約配信や送信結果不明のメールと突き合わせ、既に連絡した内容を自動で重ねて送らないようにします。再開の告知だけで全機能が戻ったと考えず、事業者の利用再開手順と連携の状態を確認してから通常運用へ戻します。

平時に備える：預けた情報と、止まる仕事を一覧にする

利用サービスごとに、預ける情報の項目・目的、管理者、連携先、契約・安全管理の確認先、事故時の連絡窓口、削除・返却の方法を一覧にします。鍵やパスワードそのものは、この一覧に書きません。不要になった配信先情報を残さず、閲覧・出力できる人も絞ります。

代替連絡に必要な情報をどこで安全に管理するか、誰が切替を決めるかも確認しておくと、担当者だけに判断が集中するのを避けられます。委託先の確認は顧客情報を外部サービス・委託先に預けるときの確認表、停止時の業務継続は取引先の停止に備える代替手順で整理できます。

ほかの公表事案から日常の点検対象を考える場合は個人情報漏えいの点検記事、件数や被害の規模を読み分ける場合は漏えい事故の件数と被害の読み方も参照してください。