ラクス：メール配信システム「ブラストメール」への不正アクセスによる個人情報の漏えいとサービス停止

影響件数

344アカウント

契約者情報以外の情報漏えいが確認された契約（内部調査の結果。10/25 10時の更新でも第11報から変更なし、全件に個別連絡済み、外部機関の調査で変動の可能性） · 確認済み

対象となった情報

氏名、電話番号、メールアドレス

他 2 種

侵入経路

不明・非公表

漏えいの確認

確認済み

調査中

株式会社ラクスは2026年10月21日、子会社の株式会社ラクスライトクラウドが提供するメール配信システム「ブラストメール」で不審なアクセスを検知し、同日午前0時30分から緊急停止したと公表した。個人情報保護委員会と JIPDEC に報告済み。同日の第2報で、外部の第三者による不正アクセスと個人情報を含むデータの持ち出しを確認した。販売管理システムから全契約者の会社名、担当者名、電話番号、メールアドレス、請求先メールアドレス、契約と支払いの履歴などが持ち出され、一部の契約者は配信先リストなどの漏えいも確認した。クレジットカード番号は保持していない。原因は外部の第三者が API 用のサーバー2台に侵入してコマンドを実行し、販売管理システムとサービスのデータベースからデータを持ち出したもので、侵入経路の詳細は調査中。ブラストメールの再開日時は未定。ラクスは同日、予防的措置として楽楽販売など7サービスとコーポレートサイトも一時停止し、22日に再開した。これらへの不正アクセスや漏えいは確認されておらず、PHP2Shell への対応状況でも7サービスを対応済とした。ラクスライトクラウドは24日に内部調査を終え、契約者情報以外の漏えいを確認した契約344件すべてに同日13時20分までに個別連絡した。25日10時の更新でも外部調査は継続中で新たな確定情報はなく、次回報告は26日10時頃。

組織

株式会社ラクス企業

業種

情報通信業 · 情報サービス・SaaS

所在地

東京都

上場

東証プライム 3923

検知日

2026-10-21

根拠:「システムへの不審なアクセスを検知したため」[s1]

第1報の公表日

2026-10-21

根拠:「2026年10月21日 株式会社ラクス」[s1]

影響件数

契約者情報以外の情報漏えいが確認された契約（内部調査の結果。10/25 10時の更新でも第11報から変更なし、全件に個別連絡済み、外部機関の調査で変動の可能性） 344アカウント（確認済み）

根拠:「すべてのご契約者さまの以下の情報が外部に持ち出された」[s3]「契約者情報以外の情報漏えいが確認されたご契約件数： 344件」[s2]他 1 件

対象となった情報

氏名、電話番号、メールアドレス、購買履歴、その他

根拠:「会社名・ご担当者名・電話番号・メールアドレス・ご請求先のメールアドレス」[s2]

漏えいの確認状況

確認済み

根拠:「お客さまの個人情報を含むデータが外部に持ち出されたことを確認」[s3]

侵入経路

不明・非公表

原因（公表の記述）

外部の第三者が API 用のサーバー2台に侵入してコマンドを実行し、そこから販売管理システムとサービスのデータベースに接続してデータを持ち出した。侵入経路の詳細は調査中。

根拠:「API用サーバー2台に侵入してコマンドを実行し」[s3]

業務への影響

ブラストメール（管理画面・API・メール配信）（2026-10-21〜）

根拠:「2026年10月21日（水）午前0時30分より、同サービスを緊急停止」[s1]

公表文の記載項目

原因 あり件数 あり時系列 あり最終報告 なし

1. 検知2026-10-21
2. 同日中央値 4 日第1報2026-10-21
3. 同日業務停止2026-10-211 業務
4. 4 日続報2026-10-2511 件
5. 復旧未公表
6. 最終報告未公表

記録にある日付だけを置いています。「未公表」は当サイトが該当する公表を確認していないことを示し、公表されていないことの断定ではありません。中央値は統計ページの全期間の値です。

1. 2026-10-21第1報【第1報】当社子会社が提供する「ブラストメール」における不審なアクセスの検知およびサービス停止について

   ラクスは2026年10月21日、子会社ラクスライトクラウドのメール配信システム「ブラストメール」で不審なアクセスを検知し、同日午前0時30分からサービスを緊急停止したと公表した。原因と影響範囲は調査中、再開日時は未定で、個人情報保護委員会と JIPDEC に報告済み。

   原文 · 保存版（当サイト）
2. 2026-10-21サービス停止「楽楽販売」「楽楽勤怠」「楽楽自動応対」「楽楽メールマーケティング」「ChatDealer」「クルメル」「楽テル」の一時停止およびメンテナンスのお知らせ

   ラクスは2026年10月21日、顧客情報とサービスの安全を守る予防的措置として、楽楽販売・楽楽勤怠・楽楽自動応対・楽楽メールマーケティング・ChatDealer・クルメル・楽テルの7サービスを一時停止し緊急メンテナンスを実施すると公表した。この措置に起因する不正アクセスや情報漏えいは確認されていないとした。

   変更点: 7 サービス（楽楽販売・楽楽勤怠・楽楽自動応対・楽楽メールマーケティング・ChatDealer・クルメル・楽テル）を予防的に一時停止、昨今のサイバー攻撃のリスクを踏まえた予防的対応で、本件に起因する不正アクセス・情報漏えいは確認されていない、再開は 10/22 朝を予定（ChatDealer は同日中）

   原文 · 保存版（当サイト）
3. 2026-10-21続報【第2報】当社子会社が提供する「ブラストメール」における不正アクセスによる情報漏えいおよびサービス停止について

   ラクスは2026年10月21日の第2報で、調査の結果、外部の第三者による不正アクセスでブラストメール契約者の個人情報を含むデータが外部に持ち出されたことを確認したと公表した。原因は API 用サーバー2台への侵入で、侵入経路の詳細は調査中。サービス再開の日時は未定とした。

   変更点: 子会社ラクスライトクラウドの販売管理システムから全契約者の会社名・担当者名・電話番号・メールアドレス・請求先メールアドレス・契約と支払いの履歴などが外部に持ち出されたことを確認。クレジットカード番号は保持していない、一部の契約者について配信先リストなどメール配信に関する情報の漏えいも確認。詳細は精査のうえ該当する契約者に個別に連絡、原因は外部の第三者が API 用サーバー2台に侵入してコマンドを実行し、販売管理システムとサービスのデータベースに接続してデータを持ち出したこと。侵入経路の詳細は調査中、サービス停止は 10/21 0:30 から継続、再開日時は未定

   原文 · 保存版（当サイト）
4. 2026-10-21続報【重要】ブラストメールの緊急停止および個人情報漏えいに関するお詫びとご報告(2026年10月21日17時15分更新)

   ブラストメールを運営するラクスライトクラウドは2026年10月21日17時15分更新の告知で、社内調査の過程で顧客の個人情報が外部へ漏えいした事実を確認したと報告した。販売管理システムから全契約者の会社名、担当者名、電話番号、メールアドレス、請求先メールアドレス、契約と支払いの履歴などが持ち出され、一部の契約者は配信先リストなど配信に関する情報の漏えいも確認した。

   変更点: 販売管理システムから全契約者の会社名・担当者名・電話番号・メールアドレス・請求先メールアドレス・契約と支払いの履歴などが持ち出されたことを確認。クレジットカード番号は保持していない、一部の契約者について配信先のリストなど配信に関する情報の漏えいも確認。詳細は精査のうえ該当者に個別に連絡、原因は外部の第三者が API 用のサーバー 2 台に侵入してコマンドを実行し、販売管理システムとサービスのデータベースに接続してデータを持ち出したこと。侵入経路の詳細は調査中、サービス停止は 10/21 0:30 から継続（管理画面・API は利用不可、メール配信も 1:00 頃から停止）。再開日時は未定、次回の報告は 10/22 10 時頃を目途

   原文 · 保存版（当サイト）
5. 2026-10-22サービス再開コーポレートサイトおよび全サービスの製品サイトならびにサポートサイト、「楽楽販売」「楽楽勤怠」「楽楽自動応対」「楽楽メールマーケティング」「ChatDealer」「クルメル」「楽テル」のサービス再開のお知らせ

   ラクスは2026年10月22日、予防的措置として停止していたコーポレートサイト、全サービスの製品サイトとサポートサイト、および楽楽販売など7サービスについて、メンテナンスと安全性の確認が完了しサービスを再開したと公表した。対象サービスへの不正アクセスや情報漏えいは確認されていないとした。

   変更点: コーポレートサイト・製品サイト・サポートサイトと 7 サービスを再開、メンテナンスで対象サービスへの不正アクセス・情報漏えいは確認されていない、ブラストメールは対象外で停止継続

   原文 · 保存版（当サイト）
6. 2026-10-22続報【重要なお知らせ】特定脆弱性への対応状況

   ラクスは2026年10月22日、報道されている PHP の脆弱性（CVE-2026-109618、CVE-2026-109619、PHP2Shell）について自社クラウドサービスの対応状況を公表した。楽楽販売など7サービスを対応済、楽楽精算など6サービスを対応不要とし、全サービスで本脆弱性に起因する影響はないとした。

   変更点: PHP2Shell（CVE-2026-109618 / CVE-2026-109619）への対応状況を一覧で公表、対応済: 楽楽販売・楽楽勤怠・楽楽自動応対・楽楽メールマーケティング・ChatDealer・クルメル・楽テル（10/21 に予防停止した 7 サービス）、対応不要: 楽楽精算・楽楽明細・楽楽請求・楽楽電子保存・楽楽債権管理・楽楽人事労務、全サービスで本脆弱性に起因するセキュリティ上の影響はないと確認。ブラストメールの侵入経路との関係は公表に記載なし

   原文 · 保存版（当サイト）
7. 2026-10-22続報【重要】ブラストメールの緊急停止および個人情報漏えいに関するお詫びとご報告(2026年10月22日17時00分更新)

   ラクスライトクラウドは2026年10月22日17時更新の告知で、同日14時頃から該当契約者への個別案内を始めたが、漏えい対象の特定と精査に想定以上の時間を要し、全体の精査完了と最終報告の時期は未確定と報告した。サービス再開は未定で、次回報告は23日10時頃を目途とした。

   変更点: 10/22 14時頃から該当契約者への個別案内を開始、漏えい対象の特定・精査に想定以上の時間を要し、全体の精査完了時期と最終報告の完了目途は未確定、サービス停止は継続、再開日時は未定。次回報告は 10/23 10時頃を目途

   原文 · 保存版（当サイト）
8. 2026-10-22続報【重要】ブラストメールの緊急停止および個人情報漏えいに関するお詫びとご報告(2026年10月22日10時00分更新)

   ラクスライトクラウドは2026年10月22日10時更新の告知で、漏えいした情報の詳細の精査を進めており、同日14時頃から該当する契約者へ個別の連絡を順次開始する予定と報告した。サービス停止は継続し再開日時は未定。全体への次回報告は同日14時頃を目途とした。

   変更点: 漏えいした情報の詳細の精査を継続。10/22 14時頃から該当する契約者へ個別の連絡を順次開始する予定、サービス停止は 10/21 0:30 から継続（管理画面・API は利用不可、メール配信も停止）。再開日時は未定、全体への次回の報告は 10/22 14時頃を目途

   原文 · 保存版（当サイト）
9. 2026-10-23続報【重要】ブラストメールの緊急停止および個人情報漏えいに関するお詫びとご報告(2026年10月23日14時00分更新)

   ラクスライトクラウドは2026年10月23日14時更新の告知で、契約者情報以外の情報漏えいが確認された契約288件のすべてに個別の連絡を終えたと報告した。件数はいずれも現時点の数値で、対象者の調査は続けている。次回報告は23日17時頃を目途とした。

   変更点: 契約者情報以外の情報漏えいが確認された契約 288件、うち個別連絡完了 288件（10/23 14時時点、今後変動の可能性）、次回報告は 10/23 17時頃を目途

   原文 · 保存版（当サイト）
10. 2026-10-23続報【重要】ブラストメールの緊急停止および個人情報漏えいに関するお詫びとご報告(2026年10月23日17時00分更新)

    ラクスライトクラウドは2026年10月23日17時更新の告知で、対象の件数は14時の報告から変わっていないと報告した。内部調査は10月24日10時頃に終える予定で、専門機関による外部調査も並行して進めている。次回報告は24日10時頃を目途とし、24日・25日も報告を続ける。

    変更点: 対象件数は 14時の報告から変動なし（288件、個別連絡完了 288件）、内部調査は 10/24 10時頃の完了を予定。専門機関の外部調査も並行して実施、次回報告は 10/24 10時頃。10/24・10/25 も報告を継続

    原文 · 保存版（当サイト）
11. 2026-10-23続報【重要】ブラストメールの緊急停止および個人情報漏えいに関するお詫びとご報告(2026年10月23日10時00分更新)

    ラクスライトクラウドは2026年10月23日10時更新の告知で、契約者情報以外の情報漏えいが確認された契約は288件、うち個別連絡を終えたのは204件（いずれも現時点）と報告した。個人情報保護委員会への連名報告に対応し、10月24日以降のメンテナンスは延期する。次回報告は23日14時頃を目途とした。

    変更点: 契約者情報以外の情報漏えいが確認された契約 288件、うち個別連絡完了 204件（10/23 10時時点、今後変動の可能性）、個人情報保護委員会への報告を検討する契約者向けに、同社との連名報告に対応、10/24 以降に予定していた各種メンテナンスを延期、次回報告は 10/23 14時頃を目途

    原文 · 保存版（当サイト）
12. 2026-10-24続報【重要】ブラストメールの緊急停止および個人情報漏えいに関するお詫びとご報告(2026年10月24日13時20分更新)

    ラクスライトクラウドは2026年10月24日13時20分更新の告知で、追加で判明した56件を含め、契約者情報以外の情報漏えいが確認された344件の契約すべてへの個別連絡を終えたと報告した。専門機関による外部調査は続けており、次回は25日10時頃に報告するとした。

    変更点: 追加で判明した 56 件への個別連絡が完了し、344 件すべてへの個別連絡が完了、漏えいが確認された契約の件数は 344 件のまま（現時点の数値）、専門機関による外部調査は継続中で、進捗と完了目途は判明次第連絡、次回報告は 10/25（日）10:00 頃。土日も報告を継続

    原文 · 保存版（当サイト）
13. 2026-10-24続報【重要】ブラストメールの緊急停止および個人情報漏えいに関するお詫びとご報告(2026年10月24日10時00分更新)

    ラクスライトクラウドは2026年10月24日10時更新の告知で、内部調査が完了したと報告した。契約者情報以外の情報漏えいが確認された契約は344件で、うち288件は個別連絡を終え、追加で判明した56件に順次メールで連絡している。専門機関の外部調査は続け、個人情報保護委員会への連名報告にも対応する。

    変更点: 内部調査が完了。契約者情報以外の情報漏えいが確認された契約は 344 件（23日の 288 件から 56 件増）、うち個別連絡が完了したのは 288 件。追加で判明した 56 件に順次メールで個別連絡中、いずれも現時点の数値で、外部機関の調査の進捗により変動の可能性、専門機関による外部調査は継続中で、完了目途は判明次第連絡、個人情報保護委員会への報告を検討する契約者向けに、同社との連名報告に対応、次回報告は 10/24 中（追加の 56 件への個別連絡の完了後）

    原文 · 保存版（当サイト）
14. 2026-10-25続報【重要】ブラストメールの緊急停止および個人情報漏えいに関するお詫びとご報告(2026年10月25日10時00分更新)

    ラクスライトクラウドは2026年10月25日10時00分更新の告知で、専門機関による外部調査を続けているが、新たに報告できる確定情報や進展はないと報告した。契約者情報以外の漏えいが確認された契約344件は第11報から変わらず、ブラストメールの再開日時は未定のまま。次回は26日10時頃に報告するとした。

    変更点: 新たに報告できる確定情報・進展はなし（専門機関による外部調査は継続）、漏えいが確認された契約 344 件・個別連絡済み 344 件は第11報から変更なし、サービス停止は継続、再開日時は未定、次回報告は 10/26（月）10:00 頃

    原文 · 保存版（当サイト）

この事案に結びついた攻撃グループの記録はありません。

不明・非公表: 公表に記載がない

公表に侵入経路の記載はありません。手口ごとの兆候と備えの要点は手口の解説にあります（この事案の手口を推定するものではありません）。

AI関与: 未評価

公表文に AI への言及はなく、評価はまだ行っていません。

• 子事案: 青森県警：メルマガ「青い森のセーフティネット」配信会社での情報流出
• 子事案: ボートレースまるがめ：「Bカード会員メールマガジン」配信サービスに対する不正アクセスによる情報漏洩の可能性について
• 子事案: ジーイエット：「ブラストメール」への不正アクセスに伴う、情報漏えいの可能性に関するお知らせ
• 子事案: GREEN×EXPO協会：GREEN×EXPO 2027 ボランティア向け一斉メール送信サービスへの不正アクセスに伴う個人情報漏えいのおそれについて
• 子事案: 広島県：「消費者被害防止」メールマガジンの配信停止について
• 子事案: 茨城県：【お知らせ】移住に係るメールマガジンの停止及び注意喚起について
• 子事案: 一関市：いちのせきメール登録制メール（ブラストメール）の外部流出について（お知らせ）
• 子事案: INAC神戸レオネッサ：メールマガジン配信システム（委託先）への不正アクセスに関するお知らせ
• 子事案: 石油資源開発：株式会社ラクスライトクラウドで発生した不正アクセスに伴う個人情報漏えいの可能性について
• 子事案: 日本ショッピングセンター協会：メールマガジン「JCSC NEWS」の配信サービスへの不正アクセスによる情報漏えい
• 子事案: 鹿児島市：ソーホーかごしまのメールマガジンサービス提供事業者への不正アクセスによる情報漏えいのおそれ
• 子事案: 春日井市：不正アクセスによる個人情報漏えいと注意喚起
• 子事案: 京都市：「ワールドマスターズゲームズ2027関西」京都エリアのボランティア募集にかかる不正アクセスによる個人情報漏洩の可能性
• 子事案: 京都府：不正アクセスによる「京の食文化ミュージアム・あじわい館」に登録されたメールアドレス漏洩の可能性について
• 子事案: 京都府生涯現役クリエイティブセンター：【重要】メール配信サービスへの不正アクセスによる個人情報漏えいのおそれについて （お詫びとお知らせ）
• 子事案: MIRARTHホールディングス：グループ会社業務委託先における不正アクセスに伴うお客さま情報漏えいの可能性について
• 子事案: 名古屋銀行：損保ジャパンDC証券株式会社が利用する外部メール配信サービスへの不正アクセスによるお客さま情報漏えいの可能性について
• 子事案: 南城市：「尚巴志ハーフマラソン大会地域振興支援委託業務」ランナーへのアンケート配信サービスに対する不正アクセスによる情報漏洩の可能性について
• 子事案: 名取市：株式会社ラクスライトクラウドで発生した不正アクセスに伴う個人情報漏えいの可能性について
• 子事案: 新潟日報社：株式会社ラクスライトクラウドへの不正アクセスに伴う当社会員の個人情報漏えいについて
• 子事案: 笹川スポーツ財団：株式会社ラクスライトクラウドで発生した不正アクセスに伴う個人情報漏えいの可能性
• 子事案: 世田谷区：STEAM教育講座のメール配信システムへの不正アクセスによる情報漏えいの可能性
• 子事案: 下関市：雇用対策事業におけるメール配信システム「ブラストメール」への不正アクセスによる個人情報漏えいの可能性について
• 子事案: 静岡市：【不審なメールにご注意ください】CCC、B-nest、「ま・あ・る」が利用しているメール配信システムが第三者による不正アクセスを受けました
• 子事案: 損保ジャパンDC証券：当社利用の外部メール配信サービスへの不正アクセスによるお客さま情報漏えいの可能性について
• 子事案: 東北電力フロンティア：当社が利用する外部サービス（メール配信サービス）への不正アクセスに伴う個人情報漏洩の可能性について
• 子事案: 十日町市：メール配信サービス「ブラストメール」の停止について
• 子事案: 富山県：就活ラインとやま及びヤングジョブとやまのメール配信に利用するシステムへの不正アクセスに伴う情報漏洩のおそれについて
• 子事案: 宇都宮市：【重要】不正アクセスによる情報漏えいのおそれについて
• 子事案: YCC県民文化ホール：【重要】「ミルケ倶楽部」における外部メール配信サービスへの不正アクセスに伴う弊社情報の漏えいとメール配信の一時停止について
• 子事案: 山梨県：県政情報の配信に係る情報漏洩の可能性
• 子事案: 横浜市：横浜グリーンエクスポ市出展エリアのボランティア応募者に係るメール配信システムにおける個人情報の漏えいの可能性について
• 子事案: 横浜市：横浜市白幡地区センター指定管理者が使用するメールマガジン配信サービスにおける個人情報の漏えいの可能性について
• 子事案: 横浜市：公益財団法人横浜市男女共同参画推進協会が使用するメールマガジン配信サービスにおける個人情報の漏えいの可能性について
• 子事案: 横須賀市：横須賀市自然・人文博物館メール配信サービスにおける不正アクセスに伴う個人情報の漏えいのおそれについて
• 子事案: 湯沢市：緊急・防災メールのサービス停止について
• 同じ業種（情報サービス・SaaS）: 2026-10-23 M&Aクラウド：Webサイト制作サービス「Studio」への不正アクセスに伴う当社への影響について
• 同じ業種（情報サービス・SaaS）: 2026-10-23 バリューデザイン：当社提供システムへの不正アクセスに関するお知らせ
• 同じ業種（情報サービス・SaaS）: 2026-10-22 バルテック：不正アクセスによるお客様情報流出の可能性および一部サービス停止のお知らせ - バルテック
• 同じ業種（情報サービス・SaaS）: 2026-10-22 SmartHR：ノーコードWeb制作プラットフォーム「Studio」への不正アクセスに伴う情報流出の可能性に関するお知らせ
• 同じ業種（情報サービス・SaaS）: 2026-10-22 スパイラルローキャス：【ご報告】職員参集システムにおける不正ログインの発生および個人情報保護委員会への報告について

一覧で探す: 2026年の統計 · 情報通信業の事案 · 東京都の事案