ジーイエット：「ブラストメール」への不正アクセスに伴う、情報漏えいの可能性に関するお知らせ

ジーイエットの公表によれば、2026年10月21日に株式会社ラクスライトクラウドが提供する「ブラストメール」で第三者による不正アクセスが発生したことが公表され、同社は配信先リスト等の一部が外部に持ち出された可能性があるとして、同日午前0時30分からサービスを停止した。サービスは10月23日時点でも停止中である [s6]。ジーイエットは、この公表を受けて10月23日19時に適時開示を行った [s4][s6]。rocket-boys.co.jp によれば、今回の侵害はメール配信サービスの運営元で発生したもので、マックハウスの店舗システムや通販サイト自体への侵入を確認したという発表ではない [s4]。

rocket-boys.co.jp によれば、ブラストメールの親会社であるラクスは10月21日の第2報で、第三者がラクスライトクラウドのAPI用サーバー2台に侵入してコマンドを実行し、販売管理システムとサービスのデータベースに接続して情報を持ち出したことを確認したと公表した [s4]。同紙は、外部への持ち出しが確認された情報として、販売管理システムにある全契約者の会社名、担当者名、電話番号、メールアドレス、契約・支払履歴などを挙げている。また一部の契約者については、メールマガジン等の配信先リストの漏えいも確認されたという [s4]。

影響の規模について、rocket-boys.co.jp は、10月23日14時時点で運営元が配信先リストの漏えいを確認した契約は288件と、利用団体に報告されていたと伝えている。調査は継続中である [s4]。同紙は、ジーイエットの開示が対象件数を精査中とするだけで、マックハウスの配信先情報がこの288件に該当するかどうかを明示していないと指摘している [s4]。全契約者の販売管理情報が持ち出されたことを根拠に、全契約者の配信先リストまで持ち出されたと断定することはできないとも述べている [s4]。

ジーイエットの公表によれば、漏えいの可能性がある情報は氏名、メールアドレス、生年月日、性別、地域で、仮会員登録の場合はメールアドレスのみである。対象件数は精査中で、確定次第知らせるとしている [s6]。rocket-boys.co.jp は、発表にある「地域」を詳細な住所まで含むものと読み替えることはできないと注記している [s4]。

同社は運営会社と連携して対象件数や影響範囲を確認し、個人情報保護委員会等の関係機関への報告や対象者への案内を法令に基づいて進めるとしている [s6]。あわせて、同社や関係先を装った不審なメールが届く可能性があるとして、心当たりのないメールのURLや添付ファイルを開かないよう注意を呼び掛けている [s6]。連結業績への影響は軽微と認識しているという [s6]。

rocket-boys.co.jp は、生年月日と連絡先を組み合わせた情報は、キャンペーンや登録情報の確認を装うメールを利用者が見分けにくくするおそれがあると解説している。ただしこれは一般的な悪用シナリオであり、今回の情報を使った詐欺メールの発生が確認されたわけではないとしている [s4]。また、メールに氏名や生年月日が記載されていても送信元が正規である証明にはならず、確認が必要な場合は本文のURLではなく公式サイトや公式アプリからアクセスするよう勧めている [s4]。

同種事案との関係では、jouhourouei.clipmaster.jp が、ブラストメールを使っていた組織の公表を94組織として整理しており、本件を委託先経由の情報漏えいの一つに分類している [s5]。rocket-boys.co.jp は、公益社団法人トライアスロンジャパンも同サービスに関する報告を出していることを出典として挙げている [s4]。