日本赤十字社東京都支部：メールマガジン「NT（Nisseki Tokyo）NEWS」配信サービスに対する不正アクセスによる情報漏洩の可能性について【第１報】

ブラストメールを巡る経緯について、mackdaddy.jp の解説記事によれば、2026年10月21日に親会社の株式会社ラクスが、子会社の株式会社ラクスライトクラウドが運営する「ブラストメール」への第三者による不正アクセスと情報漏洩を公表した。不審なアクセスを検知して同日午前0時30分からサービスを緊急停止し、その後に外部への持ち出しが確認されたという。[s5] 10月22日以降は、ブラストメールを利用する企業や自治体などが影響について相次いで発表し、10月23日には配信先情報などの漏洩が確認された288契約への個別連絡が完了したことが利用団体の発表などで明らかになったと同記事は整理している。[s5] 日本赤十字社東京都支部の公表も、この一連の利用団体の発表の一つとして同記事の参考資料に挙げられている。[s5]

侵入の経路と影響について、同記事によれば、運営会社の調査では第三者がAPI用サーバー2台に侵入してコマンドを実行し、販売管理システムやサービスのデータベースに接続して情報を外部へ持ち出した。最初の侵入方法の詳細は調査中とされ、ランサムウェアによる攻撃と断定できる公式情報も示されていない。[s5] ラクスの公式発表として同記事が紹介するところでは、販売管理システムから全契約者の会社名、担当者名、電話番号、メールアドレス、請求先メールアドレス、契約履歴、支払い履歴などが持ち出された。ラクスライトクラウドはクレジットカード番号を保持していないと説明している。[s5] 一部の契約者についてはメール配信先リストも漏洩しており、含まれる項目は利用団体や登録フォームによって異なる。[s5]

件数の読み方には注意が必要である。同記事は、288件は漏洩が確認された契約の件数であって個人情報が漏洩した人数ではなく、1契約で数千人から数万人の配信先を管理する場合もあるとしている。調査は継続中で、対象契約数は変わり得る。[s5] 他の利用団体の状況について同記事は、新潟日報社が「新潟日報パスポート」会員の最大約25万3,000人分の漏洩を公表したと報道されたこと、名取市が2万人超に影響する可能性を公表したこと、JR四国のツアーWeb会員の登録情報約3万件に影響する可能性が報道されたこと、日本ショッピングセンター協会が配信先リスト全件の漏洩を確認したことを挙げる。一方、トライアスロンジャパンは10月23日14時時点の288契約には含まれていないと公表している。団体ごとに「確認」「可能性」「対象外」と状況が異なるため、公表された人数を合計してブラストメール全体の漏洩人数とみなすことはできないと同記事は述べる。[s5]

サービスについて、同記事によれば、10月21日午前0時30分からの緊急停止は続いており、確認できた公式発表では再開時期は未定である。ラクスは原因や影響範囲の調査、安全確認、復旧対応を進めていると説明している。[s5] メールマガジンを運営する団体では、配信や登録・解除の手続きに影響が出ている場合がある。[s5] 同記事は、漏洩した配信先情報を使って実在の企業や団体を装うフィッシングメールが送られる可能性を指摘し、登録先の公式発表の確認、不審なメールのURLや添付ファイルを開かないこと、パスワードの使い回しの見直し、二段階認証の設定を勧めている。[s5] また同記事は、近年は外部委託先や共通のクラウドサービスへの不正アクセスが複数の企業・団体に波及する事例が問題になっているとしている。[s5]