ラクスライトクラウド（ブラストメール） — Incident report
Published: 2026-10-22
info.blastmail.jp
Original source text (not a translation)
運営のラクスライトクラウドは10月22日10時の更新で、販売管理システムから全契約者の会社名・担当者名・電話番号・メールアドレス・請求先メールアドレス・契約と支払いの履歴などが持ち出されたことを確認したと公表。一部の契約者では配信先リストなど配信に関する情報の漏えいも確認。クレジットカード番号は保持していない。総件数・対象契約者数・配信先の件数は公表されていない。契約者への個別連絡は10月22日14時ごろから順次開始する予定。利用先の公表は各利用先の公表で、運営が確認した範囲とは別。件数は合算しない。10月22日19時までに、四国旅客鉄道（最大約3万件）、名鉄観光サービス（約13万人）、南城市（11,117件）、横浜市（6,334人）、富山県（4,278人ほか）、和歌山県（3,050人）、長岡市（2,628件）、新日本プロレスリング、石油資源開発、2027年国際園芸博覧会協会、青森県警察、事業構想オンライン、プラジャーナル、先端教育オンライン、古紙ジャーナル、秋田県湯沢市、大分県など、この一覧に別行で載せた利用先は44件。セキュリティ対策Labは影響を公表した利用先を少なくとも24件（10月22日15時40分時点）としている。 10月25日10時更新の公式お知らせ：配信先リストなど契約者情報以外の漏えいが確認された契約は344件で、個別連絡は344件完了（第11報から変更なし）。344件は契約数であり、配信先の件数や人数ではない。サービス再開は未定、次回報告は10月26日10時ごろ。公表された原因・経路：システムへの不審なアクセスを検知し、10月21日0時30分からサービスを緊急停止（管理画面・API利用不可、メール配信は1時ごろから停止）。外部の第三者がAPI用サーバー2台に侵入してコマンドを実行し、販売管理システムとサービスのデータベースに接続してデータを持ち出したと説明。侵入経路の詳細は調査中で、再開日時は未定。親会社ラクスは別に、予防措置としてコーポレートサイト・製品サイト・サポートサイトと7サービスを一時停止し、10月22日朝に6サービスを再開したが、この措置に起因する不正アクセスや情報漏えいは確認されていないと説明（ブラストメールとの関係は記載なし）。親会社ラクスの10月22日のお知らせでは、楽楽販売など7サービスが順次再開（ChatDealerは再開時刻未定）、特定脆弱性への対応状況も告知された。