山梨県：県政情報の配信に係る情報漏洩の可能性

公表によれば、山梨県は2026年10月21日に、県政情報の配信に使うラクスライトクラウドのメール配信サービス(ブラストメール)への不正アクセスについて同社から報告を受け、10月23日に発表した。[s4] 同じ10月23日には、ブラストメールの不正アクセスに起因する公表が他の組織からも相次いだ。[s6]

同サービスの影響範囲について、smartscope.blogの一覧は、NHK出版(「みんなの趣味の園芸」メールマガジン、約12万7,000件とみられる)、東京地下鉄(東京メトロイベントメールマガジン、約8万件、報道ベース)、環境省(6つのメールマガジン、最大約2万2,000件、報道ベース)、東京都農林水産振興財団(最大約16,000件)、京都府・京都市(最大約1.6万人)、山梨日日新聞社・デジタルデビジョン(15,040人分)、長野県(約4,300件)、タミヤなどを挙げている。[s6] clipmasterのまとめには、ブラストメールを使っていた組織の公表が94組織として整理されている。[s4]

侵入の手口について、smartscope.blogは東京都農林水産振興財団の発表を引き、ラクスライトクラウドの説明として、ブラストメールのAPI用サーバー2台に第三者が侵入してコマンドを実行し、データベースから情報を持ち出したと記している。[s6] 環境省の発表を基にした記載では、10月21日0時30分から管理画面とAPI、同1時ごろからメール配信が停止された。[s6] NHK出版は、10月23日に送付先リスト全件の漏えい確認の報告を受けたと公表しており、メール配信は停止し復旧時期は未定とされた。[s6] 山梨日日新聞社も、10月23日に同社から漏えい判明の通知を受けたとしている。[s6]

山梨県の件は、確認済みの漏えいが県担当職員の氏名やメールアドレスなどで、配信先リスト登録者(約1,000名)の情報が漏えいしたかどうかは同社が調査中とされている。[s4] タミヤの記載によれば、10月23日15時の追記時点で、ラクスライトクラウドが連絡を完了した確認済みは288件(ブラストメール全体)で、タミヤは含まれていなかった。[s6] 組織によって「漏えいを確認」と「可能性」の水準が分かれている点には注意が必要である。[s6]

山梨県をめぐっては、別系統の事案も報じられている。NHKによれば、県が実施する「社会人基礎力養成講座」を受託する企業2社に不正アクセスがあったが、県はいずれも情報漏えいは確認されていないとしている。[s2] 日本テレビ系の報道によれば、防災情報配信サービスを手がける大阪府箕面市のアルカディアが不正アクセスを受け、上野原市で登録メールアドレス1855件と氏名・電話番号またはファックス番号32件、甲府市で約1350人、県で約900人の職員の氏名やメールアドレスなどが漏えいした恐れがある。[s3] これらはブラストメールの事案とは別の委託先で起きたものである。[s2][s3]

同一の配信・制作サービスが攻撃されると、利用組織がそれぞれ公表するため、自組織が使うメール配信やフォーム制作の委託先を洗い出し、該当サービスの利用有無を確認することが実務上の手がかりになる。[s6]