株式会社ラクスは2026年10月21日、子会社の株式会社ラクスライトクラウドが提供するメール配信システム「ブラストメール」に対して第三者による不正アクセスがあり、個人情報を含むデータが外部に持ち出されたことを発表しました。
第一報では不審なアクセスを検知しサービスを緊急停止
ラクスの第一報によると、「ブラストメール」で不審なアクセスを検知したため、安全確保と調査を目的として2026年10月21日午前0時30分からサービスを緊急停止しました。当初は原因や影響範囲について調査中としていました。
第二報で情報漏えいを確認
その後の調査により、外部の第三者による不正アクセスが行われ、個人情報を含むデータが実際に外部へ持ち出されていたことが確認されました。
ラクスライトクラウドの販売管理システムからは、すべての契約者について、会社名、ご担当者名、電話番号、メールアドレス、ご請求先のメールアドレス、契約および支払い履歴などが外部に持ち出されたとしています。
なお、クレジットカード番号については、同社では保持していないとしています。
一部契約者では配信先リストも漏えい
さらに、一部の契約者については、メール配信に使用していた配信先リストなどの情報についても漏えいが確認されています。
現時点では、どの契約者が影響を受けたのか、配信先リストに含まれる具体的な対象件数や人数については公表されていません。ラクスは引き続き詳細を精査し、該当する契約者には個別に連絡するとしています。
API用サーバー2台に侵入
調査の結果、第三者がラクスライトクラウドのAPI用サーバー2台に侵入し、サーバー上でコマンドを実行していたことも確認されました。
攻撃者はそこから販売管理システムおよびサービスのデータベースへ接続し、データを持ち出したとされています。詳しい侵入経路については、引き続き調査が進められています。
サービス再開時期は未定
「ブラストメール」は2026年10月21日午前0時30分から停止しており、第二報の時点でも停止が継続しています。
ラクスは、詳細な調査とシステムの安全確認を進めたうえでサービス再開を判断するとしており、再開日時は現時点では未定です。
ブラストメール利用企業を装う不審なメールにも注意
今回、一部の契約者ではメール配信先リストの漏えいも確認されていることから、今後、ブラストメールを利用していた企業や団体などを装った不審なメールが送られる可能性にも注意が必要です。
心当たりのないメールや、ログイン情報・個人情報の入力を求める連絡を受け取った場合は、メール本文のリンクをそのまま利用せず、公式サイトなどから情報を確認してください。
ラクスは、漏えいした情報の詳細や契約者ごとの影響範囲、侵入経路などについて引き続き調査を進め、新たに公表すべき事実が判明した場合には速やかに知らせるとしています。