配信先リストまで漏れた。知らせるためのメール配信は、止まったまま

• 全契約者の情報が持ち出され、一部は配信先リストも漏えい
• 漏れたのは契約者の「読者」。その人たちはブラストメールを知らない
• Studioに続き、個人情報保護委員会への連名報告が使える

メール配信サービス「ブラストメール」が、10月21日0時30分から全サービスを止めている。運営はラクスの子会社、ラクスライトクラウドだ。

23日17時の更新で、影響の範囲が書かれた。メール配信サービスならではの重さがあったので、そこを書く。

何が起きたか

クレジットカード番号は保持していないとされている。

原因の書き方が具体的だった

外部の第三者が、弊社の API 用のサーバー 2 台に侵入してコマンドを実行し、そこから弊社の販売管理システムとサービスのデータベースに接続して、データを持ち出しました。

入口から奥へ、2段階で届いている。

1. 外から触れるAPIのサーバーに入る
2. そこでコマンドを実行する（遠隔で操作された状態）
3. そのサーバーから販売管理システムとサービスのデータベースにつなぐ

先週の申込フォームではなく、社内の管理ツールが狙われた件と同じ形だ。表に出ている部分から、裏の仕組みに手が届いてしまう。

侵入経路の詳細は調査中とされている。

本題：漏れたのは「客の客」

ここがメール配信サービスの特殊なところだと思う。

ブラストメールの契約者は企業だ。その企業が、自社の顧客や読者にメールを送るために配信先リストを預けている。

メルマガを受け取っていた人は、そのメルマガが何のサービスで送られていたかを知らない。自分の情報がどこに預けられていたかも知らない。

だから公式も、通知は契約者がやるものとしている。読者が知っているのはメルマガを出していた会社のほうだからだ。

知らせる手段が止まっている

ここで1つ、実務上の問題がある。

契約者は、読者への通知を検討する必要がある。だがふだん読者にメールを送るのに使っていたサービスが、まさにブラストメールだ。

そのサービスは10月21日から止まっていて、再開は未定になっている。

通知を出すなら、別の手段を用意することになる。自社サイトでの掲示、別の配信手段。配信リストそのものも手元に無いなら、どこに出すかから考え直すことになる。

預け先が止まると、預けていたものに触れなくなる。今週サーバーが止められて中身を確認できなかった件を書いたが、同じ構図だ。

連名報告、2例目

先週、Studioで初めて連名報告の形が出た。ブラストメールも同じ形を用意した。

連名報告する場合は、速報の目安期間を超過した場合でも、報告の遅延としては取り扱わないことを同委員会に確認しております。

Studioのときと同じ扱いだ。1社の侵害が、何百という契約者の報告義務になる事案で、取りまとめて1本にする形が、1週間で2例目になった。仕組みとして定着し始めているように見える。

今回のほうが、具体的だった点

• 申し込み期限が明示されている。2026年10月29日（木）
• プライバシーマークを持つ事業者は、JIPDECへの報告を自分で行う必要があると書かれている
• 連名でも、配信先リスト等が漏れた契約者は、読者への通知を自分で行うと明記

2つ目は見落としやすい。個人情報保護委員会への報告とJIPDECへの報告は、別物だ。連名で前者が片づいても、Pマーク事業者は後者が残る。

3つ目はStudioのときと同じで、連名に含まれるのは委員会への報告だけになる。

報告の頻度

進捗の出し方は丁寧だった。

• 23日 14時に報告、17時に更新
• 次は24日（土）10時頃
• 24日・25日も継続して報告すると明記

土日も出すと先に書いている。今週取り上げたレンタルサーバーの会社が「2時間ごと」と書いていたのと同じで、次にいつ見ればいいかが分かる。

内部調査は24日10時頃に完了予定、外部の専門機関による調査も並行しているとされる。

PHPの件とは書かれていない

今週はPHPの脆弱性の話が続いている。コマンドを実行されたという書き方は、似た種類の被害に見える。

ただし停止が始まったのは10月21日0時30分で、PHPの事前アナウンス（同日4時32分）より前だ。

そして発表にPHPへの言及は無い。侵入経路は調査中とされている。結びつける材料は無い。

やること

契約者の方

1. 個別の連絡が来ているか確認する。配信先リスト等が漏れた288件には連絡済みとされている
2. 連名報告にするなら、10月29日までに申し込む
3. Pマーク事業者は、JIPDECへの報告を別に行う
4. 読者への通知の手段を、別に用意する
5. 請求や支払いに関する連絡を疑う。支払いの履歴まで出ている

5番目は重要だと思う。会社名と担当者名と契約の履歴を知っている相手からの「お支払い方法の変更」は、本物に見える。

メルマガを受け取っている方

どの会社がブラストメールを使っていたかは、ふつう分からない。だからいつも届くメルマガの差出人を名乗るメール全般に、少し気をつけるくらいしかできない。

リンクから入らず、自分でブックマークしたところから開く。見分け方は漏えいの後に届く「お詫びとお知らせ」に書いた。

まとめ

• ブラストメールは10月21日0時30分から全面停止。再開は未定
• 原因はAPIサーバー2台への侵入とコマンド実行。そこから販売管理システムとDBへ
• 全契約者の会社名・担当者・連絡先・契約と支払いの履歴が持ち出された
• 288件の契約で、配信先リストなども漏えい
• 漏れた読者はブラストメールを知らない。通知は契約者から
• だが通知に使うはずの配信サービスが止まっている
• 連名報告は10月29日まで。遅延扱いしないことを委員会に確認済み
• Pマーク事業者のJIPDEC報告は別
• 停止はPHPの事前アナウンスより前。発表にPHPの言及は無い

出典

• ブラストメール「ブラストメールの緊急停止および個人情報漏えいに関するお詫びとご報告」（2026年10月23日17時00分更新。停止の日時、影響範囲、288件、原因、次回の報告予定）
• ブラストメール「個人情報保護委員会への連名報告に関するご案内」（2026年10月23日公開。申し込み期限、遅延の扱い、本人通知、JIPDECへの報告）

本記事は2026年10月23日17時の更新時点の内容に基づく。対象範囲の調査は継続中で、件数は今後変わる可能性がある。報告や通知の要否は個別の事情によるため、判断に迷う場合は専門家に相談すること。本記事は法的な助言ではない。