メール配信サービス「ブラストメール」が不正アクセスで停止 契約者全員の情報が持ち出され、一部は配信先のリストも デイトナなど利用企業が公表

ラクスの子会社のラクスライトクラウドは、企業がお知らせのメールを一斉に送るためのサービス「ブラストメール」が第三者の不正アクセスを受け、2026年10月21日から止めていると発表した。10月22日午後5時の発表によると、販売管理のシステムから、ブラストメールを契約しているすべての会社の情報が持ち出された。一部の会社では、メールの配信先のリストも漏れていた。

ブラストメールを使っていたバイク用品の会社のデイトナも10月22日、取引先の情報が漏れた可能性があると公表した。

何が起きたのか

ラクスライトクラウドの発表によると、外部の第三者が、同社のAPI(ほかのシステムとやりとりするための窓口)用のサーバー2台に入り込み、命令を実行した。そこから、販売管理のシステムと、サービスのデータベースにつないで、データを持ち出したという。どこから入り込んだのかは調べている。

ラクスライトクラウドは、10月22日の午後2時ごろから、対象の会社に個別に知らせ始めた。ただ、漏れた範囲を特定するのに想定以上の時間がかかっており、すべてを確かめ終える時期は決まっていない。次は10月23日の午前10時ごろに、進み具合を知らせるとしている。

使っていた会社にも影響

メールを一斉に送るサービスは、会社がお客さんや取引先に、お知らせや広告のメールを送るときに使う。配信先のリストには、そのメールを受け取る人のメールアドレスなどが入っている。サービスの会社が攻撃を受けると、使っていた会社のお客さんの情報まで漏れるおそれがある。

デイトナの適時開示によると、漏れた可能性があるのは次の人たちの情報だ。

• インターネットの受発注のシステム「DIOS」に、メールアドレスを登録している取引先: DIOSはブラストメールとは別のシステムで、受発注や在庫の確認には影響がないという
• 「2026年 デイトナ 森町・静岡 茶ミーティング」に出展した会社

漏れた可能性がある情報は、会社名、担当者名、企業コード、メールアドレスだ。デイトナは、自社が登録していた情報が実際に漏れたかどうかは、まだ確かめられていないとしている。業績への影響は小さいとみている。

かんたんに言うと

多くの会社が、お知らせのメールをまとめて送るのに使っている「ブラストメール」というサービスが、何者かに入り込まれて止まった。サービスを契約している会社の情報はすべて持ち出され、一部の会社では、メールを送る相手のリストも漏れた。使っていた会社が、自社の取引先やお客さんへの影響を調べて公表し始めている。

日本ではどうなるのか

ブラストメールは日本の会社が提供しているサービスで、使っているのも主に日本の会社だ。漏れたメールアドレスを使って、本物の会社を名乗るにせのメール(フィッシングメール)が送られてくるおそれがある。心当たりのない請求やログインを求めるメールには気をつけたい(TECHNOVAの見方)。

まとめ

メール配信サービス「ブラストメール」が不正アクセスを受け、10月21日から止まっている。API用のサーバーから入り込まれ、契約者全員の会社名や担当者名などが持ち出され、一部では配信先のリストも漏れた。使っていたデイトナも、取引先の情報が漏れた可能性があると公表した。ラクスライトクラウドは10月23日の午前10時ごろに次の報告をするとしている。