YCC県民文化ホール：【重要】「ミルケ倶楽部」における外部メール配信サービスへの不正アクセスに伴う弊社情報の漏えいとメール配信の一時停止について

ブラストメールの運営元であるラクスライトクラウドをめぐる事案の経緯は、セキュリティ対策Labのまとめによると次のとおりです。2026年10月21日、株式会社ラクスの子会社が運営するメール配信サービス「ブラストメール」で、第三者による不正アクセスと情報の外部持ち出しが確認されました[s4]。管理画面・APIは同日午前0時30分から、メール配信は午前1時頃から停止されています[s4]。運営元は10月22日14時頃から、配信先の漏えいが確認された契約者へ個別に連絡を始めました[s4]。YCC県民文化ホールの指定管理者は、この運営元の発表を受けて10月23日8時45分に第1報を出しました。同日14時の第2報で、会員の配信先リストの漏えいはないと報告しています[s3]。一方、同じまとめの一覧表は、10月23日10時時点の情報に基づき、同ホールの配信先リストの流出有無を「調査中」としています[s4]。この表の記載は、公表の第2報より前の時点のものです[s3][s4]。

侵入経路について、セキュリティ対策Labは、ラクスの公表として次の内容を伝えています。攻撃者はAPI用サーバー2台を侵害し、販売管理システムと配信データベースにアクセスしました。その結果、全契約者の販売管理情報と、一部契約者の配信先リストが外部に持ち出されました[s4]。同ホールの公表でも、漏えいしたのは契約者情報、送信元メールアドレス情報、メール配信の認証設定とされており、事業体の担当者情報の持ち出しが確認されています[s3]。攻撃者のリークサイトへの掲載や、攻撃者側の主張の内容は、これらの出典には記載がありません。

影響は同ホールにとどまらず、多数の組織に広がっています。セキュリティ対策Labの一覧は、10月23日13時45分時点で、公式発表や報道で影響を確認できた公表先・配信サービスを少なくとも76項目としています。ただし、この数は一覧表の掲載項目数であり、漏えいが確定した組織数や人数ではないと注記しています[s4]。主な公表例は次のとおりです。

・東北電力フロンティアの「eポイントモール」:最大約10万件が対象となる可能性があります[s4]。 ・南城市:1万1,117件の可能性を公表しました[s4]。 ・横浜市:応募者6,334人の可能性を公表しました[s4]。 ・新潟日報社:放送局などの報道によれば、パスポート会員が最大約25万3,000人です。ただし公式の原文は取得できていません[s4]。

同じ一覧には、自治体、イベント運営、企業のメールマガジン、防災メールなど、用途の異なる配信が並んでいます[s4]。受託事業者がブラストメールを使っていた例もあります。埼玉県のねんりんピックは業務受託先が、京都市のボランティア募集は受託事業者が利用していました[s4]。配信を外部に委託している組織は、委託先の契約するサービスの事故でも影響を受けうる構図です。

同ホールの業務への影響として、ミルケ倶楽部会員へのメール配信は停止中で、再開時期は未定です。会員向けの先行予約情報は、ホームページや新聞広告で案内されています[s3]。セキュリティ対策Labは、運営元の発表で確認できる範囲では、ブラストメールの再開日時は未定だとしています。ラクスの別サービス7件は、安全確認後の10月22日に再開したと伝えています[s4]。

また同まとめは、運営元が配信先情報を一部持ち出されたと確認したことと、各利用企業の配信先リストが漏えいしたことは同義ではないと整理しています[s4]。同ホールのように、運営元の調査で自組織分の配信先リストは対象外と確認された例もあります[s3]。利用組織にとっては、契約者情報や認証設定など配信先リスト以外の情報が持ち出された可能性も踏まえた対応が必要になります[s3]。