ブラストメールで情報漏えい！自分は対象？流出した情報と確認方法【2026年10月】

ブラストメールで不正アクセスと情報漏えいが起きて、全契約者の販売管理情報が持ち出されたことが確認されたよ。さらに、一部の契約者の配信先リストにも漏えいが確認されているんだ。ただ、メルマガを受け取っている人全員が対象と決まったわけではないよ。自分が対象かどうかは、登録している配信元の公式発表を見るのがいちばん確実。最終確認は2026年10月22日だよ。

まず確認したいこと

知りたいこと	現時点で言えること
何が起きた？	外部の第三者がAPI用サーバー2台に侵入し、販売管理システムとデータベースからデータが持ち出された
契約企業の情報は？	全契約者の会社名・担当者名・連絡先・契約や支払いの履歴などが対象
メルマガ読者の情報は？	一部の契約者で配信先リストの漏えいを確認。誰が対象かは精査中
クレジットカード番号は？	運営会社はカード番号を保持しておらず、漏えいの対象外
いつ復旧する？	再開日時は未定

出典：ラクス公式発表（第2報）、ブラストメール公式のお知らせ／基準日：2026年10月22日

ブラストメールで何が起きた？最新情報

まずは、公式発表で確認できる流れを順番に並べるね。ここでは公式に書かれていることだけを使って、推測は入れていないよ。

10月21日の停止と第2報の流れ

ブラストメールは、株式会社ラクスの100%子会社であるラクスライトクラウドが運営するメール配信サービスだよ。2026年10月21日（水）の午前0時30分ごろから、サービスが停止している。メール配信は同じ日の午前1時ごろから止まっていて、管理画面とAPIも使えない状態だよ。

その日のうちに出た第2報では、外部の第三者がAPI用サーバー2台に侵入してコマンドを実行し、販売管理システムとサービスのデータベースに接続してデータを持ち出したと説明されているよ。侵入の入り口については、公式には「調査中」とされているんだ。

原因はまだ公表されていない

ネットでは、原因について色々な推測が飛び交っているよね。でも、私が公式ページを読んだ範囲では、侵入経路の詳しい原因は公表されていなかったよ。だからこの記事でも、原因を決めつけることはしないね。読者のみんなに必要なのは、原因の議論よりも「自分は対象なのか」「次に何をするか」のはずだから。

公式の発表時刻を並べて停止時間を計算してみた

私は、公式ページに書かれた時刻を並べて、停止からの経過時間を計算してみたよ。起点は10月21日0:30の停止開始だね。

• メール配信の停止：10月21日1:00ごろ（停止開始から0.5時間後）
• 配信情報の漏えいが確定した顧客への個別連絡の開始：10月22日14:00ごろ（停止開始から37.5時間後）
• 個別連絡の完了目途：10月22日17:00ごろ（停止開始から40.5時間後）

計算式は「10月21日0:30から10月22日14:00まで＝24時間＋13.5時間＝37.5時間」だよ。つまり、個別連絡が始まるまでに1日半以上かかっている。この間、利用企業も詳しい状況が分からないまま待っていたことになるんだ。次の報告は10月22日の17:00ごろを目途にと案内されているから、新しい発表が出たら、そちらが優先だよ。

なお、同じ時期に別の防災情報配信サービスでも不正アクセスの公表があったけれど、運営会社も発生時期も違う別件だよ。ブラストメールの件とは分けて考えてね。

自分の情報は流出した？対象者の判定表

ここがいちばん大事なところだよ。今回の件は「全契約者の情報」と「一部契約者の配信先リスト」の2つに分けて考えると、一気に分かりやすくなるんだ。

立場ごとの判定表

あなたの立場	現時点の状況	次にすること
ブラストメールと直接契約している企業・団体	販売管理情報の持ち出しが確認されている（全契約者が対象）	ラクスライトクラウドからの連絡を確認し、社内で共有する
契約企業の担当者	担当者名・連絡先などが対象に含まれる	窓口からの通知を確認し、不審なメールに注意する
メルマガの一般受信者	一部の契約者の配信先リストで漏えいを確認。個人が対象かは精査中	配信元の公式サイトのお知らせを確認する
自治体の防災・行政メール登録者	自治体が利用していた場合のみ関係する。対象かは自治体の発表次第	自治体の公式サイトで案内を確認する
楽楽販売など関連サービスの利用者	予防的に一時停止されたが、不正アクセスや漏えいは現時点で確認されていない	各サービスの案内を確認する

出典：ラクス公式発表（第2報・関連7サービスの予防的停止）、ブラストメール公式のお知らせ／基準日：2026年10月22日

「全員流出」ではない理由

一般の受信者について、公式発表は「一部のお客様」の配信先リストで漏えいが確認されたと書いているんだ。つまり、メルマガを受け取っているというだけで、あなたの情報が流出したと決まったわけではないよ。逆に、「大丈夫」と言い切れる段階でもないんだよね。ここは、どちらにも寄らずに「まだ分からない」と受け止めるのが正確だよ。

こういう「自分は対象？」の流れは、他の情報漏えいでも同じだったよね。公式の個別連絡を待ちつつ、自分で動くことが大切だったよ。以前の件の整理も、考え方の参考になるはず。気になる人はこちらも読んでみてね。

→ 東京メトロ情報漏洩、自分は対象？

配信先リストに入っている情報は企業ごとに違う

配信先リストに何が入っているかは、契約した企業が何をシステムに登録していたかで変わるよ。メールアドレスだけの場合もあれば、氏名や会社名などを一緒に登録していた場合もある。私たちは登録するとき「メールアドレスだけだから」と気軽に入力しがちだけれど、その情報がどこでどう管理されているかまでは、普段あまり意識していないと私は感じたよ。

流出した情報は？パスワードやカード番号は？

公式発表で確認できる範囲を、表で整理するね。

公式に書かれている流出項目

対象	公式に示されている項目
全契約者（販売管理システム）	会社名、担当者名、電話番号、メールアドレス、請求先メールアドレス、契約・支払いの履歴など
一部の契約者（配信先リストなど）	配信先リストなど、メール配信に関する情報（内容は契約者ごとに異なる）
クレジットカード番号	運営会社が保持していないため、漏えいの対象外
パスワード	私が確認した公式発表の範囲では、言及なし

出典：ラクス公式発表（第2報）、ブラストメール公式のお知らせ／基準日：2026年10月22日

クレジットカード番号は対象外

クレジットカード番号については、運営会社が保持していないため漏えいの対象外とされているよ。カード番号を盗まれる心配は、現時点の公式発表の範囲では出てきていないんだ。ただし、請求先のメールアドレスや契約履歴は対象に含まれているから、それを使った偽のお知らせには気をつけたいところだね。

パスワードは公式発表では言及なし

パスワードについては、私が公式ページを読んだ範囲では、流出したともしていないとも書かれていなかったよ。だから「パスワードも漏れた可能性が高い」とは言えないし、「大丈夫」とも言えない。分からないことは分からないままにして、公式の続報を待つのが正しい姿勢だと思うんだ。ほかのサービスと同じパスワードを使い回している人は、この機会に見直しておくと安心だよ。慌てて全部を変える必要はないからね。

自分が対象か確認する方法

現時点で、個人が入力して被害の有無をまとめて調べられる公式サイトがあるとは確認できていないよ。だから、次の3つの行動が現実的なんだ。

1. 登録先企業の公式サイトを見る

メルマガや会員登録をしている企業・団体の公式サイトで、お知らせを確認しよう。契約企業が配信先リストの漏えいを確認した場合は、自社サイトに「お知らせ」を載せることが多いんだ。自分が登録している先が思い当たらないときは、受信ボックスで「配信停止」リンクのあるメールを探して、送り主を一覧にしてみるのもいいよ。

2. 個別通知と更新情報を確認する

運営会社は、配信情報の漏えいが確定した顧客へ、10月22日14:00ごろから順次、個別に連絡を始めているよ。ただ、ここに落とし穴があるんだ。ブラストメール自体が止まっているから、契約企業がいつもの方法でお客さんにお知らせメールを送るのが難しい場合がある。つまり「通知が来ない＝対象外」とは限らないんだよ。

メールが来るのを待つだけにしないで、自分から公式サイトを見に行くことが大切だね。同じように「何をすればいい？」を整理した記事もあるから、行動の参考にしてね。

→ タイムズカー情報漏洩で何をすればいい？

3. 不明な場合は案内された窓口へ

どこに聞けばいいか分からないときは、公式に案内されている窓口を使おう。

• 契約者向け：ラクスライトクラウド（メール support@blastmail.jp／電話 03-6862-7337／平日10:00〜17:00）
• 報道関係者向け：pr@rakus.co.jp

メルマガの受信者が直接問い合わせる先は、基本的には、あなたが登録している配信元の企業や団体だよ。ブラストメールの窓口は主に契約者向けだから、まずは配信元に聞くのが近道だね。なお、本件を口実にした偽メールのリンクから確認することは、絶対にやめてね。

不審メールが届いたら何をすべき？

現時点で、この件が原因の詐欺メールが大量に出回っていると確認できたわけではないよ。でも、情報漏えいのニュースが出ると、それに便乗したメールが届く可能性はいつもあるから、先に備えておこうね。

今すぐできる5つの対応

• 不審なURLは押さない
• 怪しい添付ファイルは開かない
• 公式サイトへは、ブックマークや検索から自分で直接アクセスする
• パスワードの使い回しをやめる
• 多要素認証（ログイン時にもう一つ確認を挟む仕組み）を使う

「ブラストメールの情報漏えいについて確認してください」「パスワードを再設定してください」という内容のメールが来たら、まず疑ってかかるのが基本だよ。差出人の名前が本物っぽくても、リンクは押さずに公式サイトを自分で開こうね。

送信元が本物に見えても油断しない

メールの差出人の表示は、見た目だけだと本物と区別がつかないことがあるよ。私は「メールのリンクからは、ログインも入力もしない」というルールを決めておくのが、いちばん確実だと思っているよ。

詐欺メールの手口をもっと詳しく知りたい人は、こちらも読んでみてね。

→ 楽天で何が起きてる？アカウント乗っ取りと詐欺の全手口と今すぐできる防衛策

不安なときの相談先

もし不審なメールのリンクを押したり、情報を入力したりしてしまったら、そのサービスのパスワードをすぐに変えて、カード会社や銀行にも相談しよう。慌てすぎず、でも早めに動くことが大切だよ。

ブラストメールはいつ復旧する？

公式発表の範囲で、復旧の見通しを整理するね。

ブラストメールの再開は未定

ブラストメールは、2026年10月22日の時点で、再開の日時が「未定」とされているよ。詳細な調査と、システムの安全確認を進めている段階なんだ。私が確認した範囲では、再開時期を予想できる材料は公式発表の中にはなかったよ。だから、「いつ戻る」とは書かないね。

関連7サービスとは別の話

同じ時期に、ラクスは楽楽販売、楽楽勤怠、楽楽自動応対、楽楽メールマーケティング、ChatDealer、クルメル、楽テルの7サービスを予防的に一時停止したよ。これは、念のための安全対策だと説明されていて、本件に起因する不正アクセスや情報漏えいは現時点で確認されていないと書かれているんだ。再開は、10月22日（木）の朝を予定、ChatDealerは同日中の予定と案内されているよ。

大事なのは、これが「予定」だということ。実際に再開したかどうかは、各サービスの公式案内で確かめてね。ブラストメールと7サービスは、混同しないようにしよう。

サービス	状況	漏えいの有無
ブラストメール	停止中。再開日時は未定	全契約者の販売管理情報の持ち出しを確認。一部で配信先リストも確認
関連7サービス	予防的に一時停止。再開は10月22日朝などの予定（実際の再開は各案内で確認）	現時点で確認されていない

出典：ラクス公式発表（関連7サービスの予防的停止）、ブラストメール公式のお知らせ／基準日：2026年10月22日

防災メールや自治体の通知が届かない場合

ブラストメールは企業だけでなく、自治体でも使われている場合があるよ。ただし、すべての自治体のメールが止まっているわけではないんだ。

自治体ごとに状況は違う

自治体の中には、ブラストメールの停止を受けて、配信の停止や代替手段の案内を公表しているところがあるよ。でも、私が確認できたのは個別の自治体の発表であって、全国の自治体が一斉に止まっているという話ではないんだ。「うちの自治体は大丈夫かな」と思ったら、住んでいる自治体の公式サイトでお知らせを確認してみてね。

代わりに確認できる手段

防災メールが届かないかもしれない日は、メールだけに頼らないことが大切だよ。

• 自治体のホームページの防災・緊急情報のページ
• 自治体の防災アプリ
• 自治体の公式LINEやSNS
• 防災行政無線や、テレビ・ラジオの災害情報

私は、防災メールだけに頼るのは少し危ういなと感じたよ。自治体の公式サイトをブックマークに入れておくと、こういう停止のときにも落ち着いて動けるはずだよ。

企業担当者向けの対応

ここからは、ブラストメールを契約している企業や団体の担当者向けのパートだよ。一般の読者のみなさんは読み飛ばしてもらって大丈夫。

まず確認する5つのこと

• 契約情報への影響：運営会社からの個別連絡を確認する
• 自社配信リストへの影響：自社の配信先リストが漏えい対象かを確認する
• 社内共有：情報セキュリティの担当部署に早めに伝える
• 顧客への代替連絡手段：自社サイトやSNS、別の配信手段で知らせる
• 報告と本人通知の要否：個人情報保護委員会への報告や本人通知が必要かを確認する

報告が必要かどうかは、個々の事実関係と法令の要件で判断することになるよ。迷ったら、法務や専門家に相談してね。

報告期限をカレンダーに当てはめてみた

個人情報保護委員会のページによると、速報は「速やかに、目安は概ね3〜5日以内」、確報は原則30日以内、不正の目的が疑われる場合は60日以内とされているよ。数字を実際のカレンダーに当てはめて計算してみたよ。

• 起点を10月21日とした場合の速報の目安：10月21日＋3日＝10月24日、＋5日＝10月26日
• 確報：10月21日＋30日＝11月20日
• 不正の目的のおそれがある場合の確報：10月21日＋60日＝12月20日

ただし、これはあくまで「10月21日に知った」と仮定した例だよ。実際の起点は、各企業が事態を把握した日で変わるんだ。また、報告の対象になる類型は、要配慮個人情報、財産的な被害のおそれ、不正の目的のおそれ、1,000人を超える漏えいなどがあって、不正アクセスは「不正の目的」にあたり得る。自社がどれに当てはまるかは、必ず公式ページと専門家で確認してね。

顧客への連絡手段を確保する

今回のように、お知らせメールを送るためのサービスそのものが止まっていると、「お詫びと注意喚起」のメールすら送れない場合があるよね。自社サイトのトップページへの掲載や、SNS、別のメール配信手段の利用など、複数の連絡手段を持っておく大切さを、今回の件は教えてくれたと思うんだ。

よくある質問

Q. 自分のメールアドレスは流出した？

分からないというのが、現時点でいちばん正確な答えだよ。全契約者の販売管理情報は持ち出されているけれど、一般受信者の配信先リストは「一部」で、誰が対象かは精査中だよ。配信元の公式発表を確認しよう。

Q. メルマガを受け取っているだけでも対象？

受け取っているだけで対象とは決まっていないよ。対象になるのは、漏えいが確認された契約者の配信先リストに、あなたの情報が入っていた場合だよ。

Q. パスワードは変更するべき？

公式発表にはパスワードへの言及がないから、変更が必要と断定はできないよ。ほかのサービスと使い回している場合は、念のため見直しておくと安心だよ。

Q. クレジットカードは大丈夫？

運営会社はカード番号を保持していないため、漏えいの対象外とされているよ。ただし、利用明細は普段から確認しておくと安心だよ。

Q. いつ復旧する？

ブラストメールの再開日時は、10月22日時点で未定だよ。公式のお知らせで最新の情報を確認してね。

Q. 防災メールが届かない場合は？

自治体の公式サイト、防災アプリ、公式LINE、防災行政無線などで確認しよう。すべての自治体のメールが止まっているわけではないから、住んでいる自治体の案内を見てね。

Q. 情報漏えいのお知らせが届かないのはなぜ？

ブラストメール自体が停止していて、契約企業がいつもの方法でお知らせメールを送りにくい場合があるからだよ。来ないから安心とは言えないので、公式サイトを確認しよう。

Q. 楽楽販売なども漏えいした？

楽楽販売など関連7サービスは予防的に一時停止されたもので、本件に起因する不正アクセスや漏えいは現時点で確認されていないと発表されているよ。

Q. どこに問い合わせればよい？

契約者はラクスライトクラウドの窓口（support@blastmail.jp）、メルマガの受信者はまず登録先の配信元に聞くのが近道だよ。

Q. 偽のメールが届いたらどうする？

リンクは押さず、添付も開かず、公式サイトに直接アクセスして確認しよう。入力してしまったら、すぐにパスワードを変えて、カード会社や銀行にも相談してね。

おすすめアイテム

パスワード管理は1Password

今回の件で、私は自分が登録しているサービスの数の多さに改めて気づいたよ。1Passwordならサービスごとに違うパスワードを作って管理してくれるから、もしどこかで情報が漏れても、同じパスワードの他のサービスへ被害が広がるのを防ぎやすくなるよ。

ビサイユのトートバッグ

届くはずの連絡が届かない日は、気持ちを切り替えて外に出たくなるよね。ビサイユのトートバッグは軽くて撥水、スキミング防止ポケットも付いているから、通勤にも週末の用事にも合わせやすいよ。

軽量ショルダーBCS-140

身軽に街を歩きたい日は、小さめのショルダーがちょうどいいんだ。BCS-140はナイロン製で軽く、撥水とスキミング防止も備えているから、旅行や買い物の相棒にしやすいよ。