ブラストメールの不正アクセス｜契約者情報と配信先リストの持ち出しで利用者がすること 2026

メール配信システム「ブラストメール」を運営する株式会社ラクスライトクラウドは2026年10月21日、外部の第三者による不正アクセスで、全ての契約者の会社名・担当者名・電話番号・メールアドレス・請求先のメールアドレス・契約と支払いの履歴などが販売管理システムから持ち出されたと発表しました。件数は示されていません。 一部の契約者については、配信に関する情報（配信先のリストなど）の漏えいも確認したとしています。クレジットカード番号は同社では保持していないと書かれています。2026年10月25日10時00分更新の版では、契約者情報以外の漏えいを確認した契約は344件で、その全件に個別の連絡を終えたとされています（いずれも現時点の数値で、外部機関の調査の進捗により変わる可能性があると書かれています）。 契約者がまずすることは、ブラストメールやラクスを名乗る請求・再開・ログインの案内を、公式のお知らせと照らし合わせるまで開かないことです。メールを受け取っていた側の人は、配信元の会社を名乗る見慣れない連絡に注意します。

この記事では、2026年10月26日時点で公開されているブラストメールの発表と、親会社の株式会社ラクスの案内、影響を公表した利用企業・自治体の発表だけをもとに、何が起きて、何が分かっていて、何がまだ分かっていないのかを順番に整理します。ブラストメールは、会社や店、個人事業主がメールマガジンを一斉に送るためのサービスなので、契約していた側と、メールを受け取っていた側の2種類の人が関わります。それぞれがすることを分けて説明し、配信の仕事を請け負っている人が取引先にどう伝えるかも扱います。

2026年10月26日時点で分かっていること

どれもブラストメールのお知らせ（2026年10月25日10時00分更新の版）で確かめた内容です。

• 2026年10月21日0時30分から、ブラストメールのサービスが緊急停止しています。管理画面とAPIが使えず、メールの配信も1時頃から止まっています
• サービス再開の日時は「未定」とされています
• 販売管理システムから、全ての契約者の情報が持ち出されたことを確認したと書かれています
• 持ち出された情報として、会社名・担当者名・電話番号・メールアドレス・請求先のメールアドレス・契約と支払いの履歴などが挙げられています
• クレジットカード番号は、同社では保持していないと明記されています
• 一部の契約者については、配信に関する情報（配信先のリストなど）の漏えいも確認したとされています
• 原因は、外部の第三者がAPI用のサーバー2台に侵入してコマンドを実行し、そこから販売管理システムとサービスのデータベースに接続してデータを持ち出したことと説明されています。侵入経路の詳細は調査中です
• 契約者情報以外の情報漏えいが確認された契約は344件で、その全件に個別の連絡が完了したとされています。どちらも現時点の数値で、外部機関の調査の進捗により変わる可能性があると書かれています
• 残る対象の契約者へも順次連絡するとされています
• 個人情報保護委員会への報告を考えている契約者は、ブラストメールとの連名で報告できるとされています
• 専門機関による外部調査が続いていて、2026年10月25日10時00分更新の版では「現時点で新たにご報告できる確定情報や進展はございません」とされています
• 次の報告は、2026年10月26日10時頃を目途にするとされています

発表は「おそれ」や「可能性」ではなく、「持ち出されたことを確認いたしました」と書いています。契約者は、持ち出された前提で備えます。

配信先リストなどの漏えいが確認された「一部のお客様」は、契約の数で344件と示されました。ただ、その中に読者のメールアドレスが何人分あったかは、ブラストメールの発表には出ていません。一方で、ブラストメールを使っていた会社や自治体が、自分たちの分の件数を公表し始めています（後の節で表にまとめます）。

公表の経緯と、続報の予定

日時	出来事	分かったこと
2026年10月21日0時30分	ブラストメールが緊急停止	管理画面とAPIが使えなくなる。配信は1時頃から停止
2026年10月21日	お知らせを掲載	サービスの緊急停止と、個人情報の漏えいの事実を確認したと発表
2026年10月21日17時15分	お知らせを更新	全契約者の情報の持ち出し、一部契約者の配信先リストの漏えい、原因の概要を記載
2026年10月21日	親会社ラクスが他サービスを予防的に停止	ラクスは、本件に起因する不正アクセスや情報漏えいは確認されていないと案内
2026年10月22日朝	ラクスの他サービスが再開	ラクスの案内に、朝の時点で再開したと追記
2026年10月22日10時00分	お知らせを更新	精査を継続中。同日14時頃から該当の契約者へ個別連絡を始める予定と記載
2026年10月22日14時	報告を掲載	14時頃から個別の案内を開始
2026年10月22日17時00分	お知らせを更新	精査に想定以上の時間がかかり、完了の時期は未確定
2026年10月23日10時00分	お知らせを更新	漏えいを確認した契約288件、個別連絡の完了204件。連名報告に対応
2026年10月23日	お知らせを更新	漏えいを確認した288件の契約への個別の連絡を完了
2026年10月24日10時00分	お知らせを更新	追加で56件の契約の漏えいが判明
2026年10月24日13時20分	お知らせを更新	契約者情報以外の情報漏えいが確認された契約は344件、個別の連絡の完了も344件
2026年10月25日10時00分	お知らせを更新	新たに報告できる確定情報や進展は無し。344件から変更なし。再開の日時は未定のまま
2026年10月26日10時頃	次の報告（予定）	外部調査の進捗を報告するとされている

続報は、ニュースサイトやSNSではなく、ブラストメールの2026年10月21日のお知らせで確かめます。見出しに更新の時刻が入るので、どの版かを見分けられます。

発表の原文で確かめる

発表の中心になる部分を、原文のまま引きます。

弊社の販売管理システムから、全てのお客様（ブラストメールのご契約者様）の情報が持ち出されたことを確認いたしました。 また、一部のお客様については、配信に関する情報（配信先のリストなど）の漏えいも確認しております。 出典: info.blastmail.jp

漏えいは2つの層に分かれています。1つは契約者を管理する販売管理システムの情報で、全ての契約者が対象です。もう1つは契約者が登録していた配信先の情報で、一部の契約者が対象です。配信先リストには読者や会員のメールアドレスが入っているので、ブラストメールと直接の契約がない人の情報も含まれます。どちらの列挙も最後が「など」で終わっていて、挙げられた項目のほかにも持ち出された情報がある可能性があります。

持ち出された項目と、含まれないと明記された項目

発表に書かれた項目を、立場ごとに表にします。

区分	対象	項目
持ち出しを確認	全ての契約者	会社名、担当者名、電話番号、メールアドレス、請求先のメールアドレス、契約と支払いの履歴など
漏えいを確認	一部の契約者	配信に関する情報（配信先のリストなど）
含まれないと明記	全ての契約者	クレジットカード番号（同社では保持していない）
発表に記載なし	全ての契約者	管理画面のログインパスワード、APIのキー、配信したメールの本文

表の最後の行は、発表が触れていない項目です。「記載なし」は「漏れていない」という意味ではないので、続報や個別の連絡で確かめます。

配信先リストの中身は、契約者がどう登録していたかで変わります。メールアドレスだけの契約者もあれば、氏名や住所、生年月日まで登録していた契約者もあることが、利用企業の公表から分かります。再開を待つ間に、登録していた項目を社内の記録で洗い出しておくと、個別の連絡が来たときにすぐ判断できます。

契約と支払いの履歴が含まれている点も見落とせません。担当者名と請求先のメールアドレスがそろっていれば、実際の請求に似せた支払いの案内を経理の担当者あてに送ることもできます。

原因：API用のサーバーへの侵入

発表は、原因を次のように説明しています。外部の第三者がブラストメールのAPI用のサーバー2台に侵入してコマンドを実行し、そこから販売管理システムとサービスのデータベースに接続して、データを持ち出しました。

APIとは、ほかのシステムからブラストメールの機能を呼び出すための窓口のことです。会員登録が済んだら自社のシステムから読者を自動で登録する、といった使い方で通ります。その窓口のサーバーが入り口になり、契約者の管理システムとサービスのデータベースの両方に手が届いたことになります。

侵入経路の詳細は「調査中」とされ、どの弱点を突かれたのか、いつから侵入されていたのかは、2026年10月26日時点では分かっていません。

なお、持ち出されたのはAPI用のサーバーを足がかりにつながった販売管理システムとデータベースの中身なので、APIを使っていなかった契約者も対象から外れるわけではありません。

ブラストメールの対応と、ラクスの予防的な停止

発表に書かれているブラストメールの対応は、次のとおりです。

• 2026年10月21日0時30分からサービスを停止し、詳細な調査と安全確認を進めている
• 10月22日14時頃から個別の案内を始め、10月24日13時20分の時点で漏えいを確認した344件の契約の全件に連絡を完了。件数は外部機関の調査の進捗により変わる可能性がある
• 個人情報保護委員会への報告を、契約者と連名で取りまとめて申請する
• 10月26日10時頃を目途に次の進捗を報告する
• メールで送った報告の内容を、お知らせのページでも更新していく
• 全社を挙げて原因の究明と再発防止に向けた対策に取り組む

補償やお詫びの品、パスワードの初期化については、2026年10月26日時点の発表には書かれていません。書かれていないことを、あるともないとも決めつけずに、続報を待ちます。

親会社の株式会社ラクスも10月21日に、コーポレートサイトや製品サイトと、「楽楽販売」「楽楽勤怠」など7サービスを予防的な措置として一時停止しました。2026年10月22日朝の時点で6サービスは再開し、ChatDealerは同日中の再開予定と案内されています。

なお、現時点で、本件に起因する不正アクセスや情報漏えいは確認されておりません。 出典: rakus.co.jp

影響を公表した会社・自治体（2026年10月26日時点）

2026年10月22日から24日にかけて、ブラストメールでメールを配信していた会社や自治体が、自分たちの読者や会員への影響を相次いで公表しました。各社の公式サイトのお知らせで確かめた範囲を、公表どおりの表現でまとめます。

公表した組織	対象	件数	項目	公表の表現
新潟日報社	「新潟日報パスポート」会員	全会員分、最大約25万3000人とみられる	氏名（カタカナ）、都道府県名、市町村名、メールアドレス、性別、年代、購読商品名、購読するメルマガサービス名	漏えいしたことが判明（第2報）。「にいがた鮭プロジェクト会員」約7000人は、10月24日更新の第3報で、運営会社が10月23日に公表した個別連絡の対象に含まれていないと記載
東北電力フロンティア	「eポイントモール」会員	最大約10万件の可能性（実際の件数は調査中）	メールアドレス、会員の内部管理ID	漏洩の可能性。会員の情報が対象に含まれるかは確認できていない
四国旅客鉄道（JR四国）	「ＪＲ四国ツアーWeb メールマガジン」登録者	最大 約3万件	氏名、生年月日、住所、電子メールアドレス	閲覧または取得された可能性が否定できない。漏えいの可能性と範囲は調査中
MIRARTHホールディングス（タカラレーベン）	オーナーズクラブ「DLPS」会員	約11,300件	氏名、メールアドレス、住所	漏洩した可能性
南城市	尚巴志ハーフマラソンの過去5年の参加申込者	11,117件	メールアドレスのみ	漏洩した可能性があり調査中。10月23日の第2報で、現時点で漏洩が判明している対象にランナーのメールアドレスは該当していないと記載
横浜市	GREEN×EXPO 2027 市出展エリアのボランティア応募者	6,334人	氏名、メールアドレス	漏えいした可能性
2027年国際園芸博覧会協会	GREEN×EXPO 2027 ボランティア	記載なし	ボランティア受付番号、活動番号、メールアドレス	漏えいのおそれ。登録者が対象かは確認されていない
ヌーラボ	Backlog、Cacooなど同社サービスの利用者	確認中	メールアドレス。一部はスペースID、スペースキー、組織名、お客様番号（オンプレミスのみ）	流出の可能性（第一報）。10月23日の第二報で、現時点の調査では同社が登録している客の情報は流出の対象に含まれていないと運営会社から報告を受けたと記載
クラシコム	「北欧、暮らしの道具店」のメルマガ登録者（2026年10月21日0時30分までの登録、仮登録を含む）	ブラストメールからの報告待ち	メールアドレスのみ	10月22日16時43分に、ブラストメールから漏えいの報告を受けたと記載。10月23日18時50分の追記で、確認できている対象者へのメールでの個別連絡を完了
カカオピッコマ	「ピッコマ」のメールマガジンの1回分の配信の宛先	1,002,404件（運営会社から報告を受けている現時点の数）	メールアドレスのみ	10月24日の第1報で、外部に流出したことが判明と記載。パスワード・氏名・クレジットカード情報は含まれない
HRビジョン（『日本の人事部』）	メールマガジンの登録者	10月20日時点の登録 212,243件（実際の件数は報告待ち）	メールアドレスのみ	10月22日16時32分に、会員のメールアドレスが漏えい対象に含まれていたとの報告を受けたと記載
NHK出版	「みんなの趣味の園芸」のメールマガジン登録者	約12万7,000件とみられる	メールアドレス、ニックネーム、性別、お住まいの都道府県	10月23日に、メール送付先リスト全件の漏えいが確認されたとの報告を受けたと記載
名鉄観光サービス	メディア予約センターのメールマガジン登録者	約13万人（対象となる可能性のある数）	氏名、電話番号、メールアドレス、生年月日、性別、住所（都道府県名のみ）	10月22日の公表。運営会社が確認中
東京地下鉄（東京メトロ）	イベントメールマガジンの登録者	約8万件	メールアドレス	10月23日の公表。メールアドレスが第三者に取得されたことが判明と記載
岡崎市	防犯情報メールマガジンの登録者	約26,000件（市営住宅の募集情報メールは件数確認中）	メールアドレス	10月22日の公表
セルズ	同社ソフトの顧客	最大約18,000件（精査中）	メールアドレス、氏名、会社名、保守契約期間に関する情報	10月23日の第一報
東京都	東京広域援農ボランティア事業の登録者	最大約16,000件	氏名、メールアドレス、属性	10月23日の公表
山梨日日新聞社	「山日YBS企業ガイダンス」「山日わーく」の登録者	計5,040人分	氏名、メールアドレス、生まれた年、性別（事業で異なる）	10月23日に、漏えいの事実の判明について運営会社から通知を受けたと記載

「公表の表現」が違うのは、ブラストメールからの報告の届き方が違うためです。新潟日報社は10月22日午後に、クラシコムは同日16時43分に、カカオピッコマは10月24日に、自社の分が漏えいしたという報告を受けたと書いています。一方で、東北電力フロンティア、JR四国、名鉄観光サービス、国際園芸博覧会協会は、公表の時点で自分たちの分が対象に含まれるかを確かめられていないとしています。これらは漏えいを認めたのではなく、可能性があるものとして先に知らせている段階です。逆に、ヌーラボと南城市のように、続報で「現時点では対象に含まれていない」と報告を受けた組織もあります。

各社が「含まれない」と明記した項目もあります。新潟日報社はクレジットカード情報、電話番号、生年月日、口座番号、パスワード等、東北電力フロンティアは氏名、住所、電話番号、パスワード、クレジットカード情報、銀行口座情報、契約情報、タカラレーベンの件はクレジットカード情報や暗証番号などの決済関連情報、ヌーラボはパスワードとクレジットカード情報、クラシコムは氏名、住所、電話番号、クレジットカード情報、パスワードなどの会員情報を挙げています。

漏れた項目が組織ごとに違うのは、配信先リストに何を登録していたかが契約者ごとに違うからです。この表に載っていない会社のメールマガジンでも、ブラストメールで配信されていた可能性はあります。

自分が対象かを確かめる方法

対象になるかどうかは、立場によって確かめ方が違います。

ブラストメールを契約していた人

ブラストメールの契約者は、全員が販売管理システムの持ち出しの対象です。発表が「全てのお客様（ブラストメールのご契約者様）」と書いているので、自分が対象かどうかを確かめる必要はありません。対象である前提で動きます。

確かめる必要があるのは、配信先リストの漏えいの対象に入っているかどうかです。2026年10月24日13時20分の時点で、対象は344件の契約で、その全件に個別の連絡が済んでいるとされています。ただし件数は外部機関の調査の進捗で変わりうるので、連絡がないことが、対象から外れたことを確定させるわけではありません。確かめるときの手順は次のとおりです。

1. ブラストメールに登録している担当者のメールアドレスと、請求先のメールアドレスの両方の受信箱を見る。担当者が異動していると、連絡が前任者に届いていることがある
2. 連絡が来ていたら、送信元のアドレスと本文の内容を、公式のお知らせのページと照らし合わせる
3. 連絡の中のリンクから管理画面にログインしない。サービスは停止中なので、ログインを求める連絡はまず疑う
4. 連絡が来ていなければ、続報を待つ。残りへの連絡は順次とされているので、お知らせのページで更新の時刻を確かめる

ブラストメールで配信されたメールを受け取っていた人

メールマガジンを読んでいるだけの人は、ブラストメールと直接の契約がありません。10月22日10時00分更新の発表では、個別の連絡の相手は「該当のお客様（ブラストメールのご契約者様）」と書かれていました。ブラストメールが読者に直接知らせるとは、2026年10月26日時点の発表には書かれていません。

実際に公表された例を見ると、ブラストメールから契約者（配信元の会社や自治体）に報告が届き、その会社が自社の読者や会員に知らせる流れになっています。自分が受け取っているメールマガジンがブラストメールで配信されているかどうかは、見た目では分かりにくいので、手がかりは配信元の会社からのお知らせです。そうした連絡が届いたら、その会社の公式サイトでも同じ案内が出ているかを確かめます。

契約者がすること

契約者の情報は、会社名・担当者名・電話番号・メールアドレス・請求先のメールアドレス・契約と支払いの履歴がまとめて持ち出されています。この組み合わせで起きやすいのは、本物そっくりの連絡で、ログイン情報や支払いをだまし取る手口です。

すること	優先度	理由
ブラストメールやラクスを名乗る連絡の確認	今すぐ	担当者名と契約内容を知っている相手からの偽メールが届きうる
経理の担当者への共有	今すぐ	請求先のメールアドレスと支払いの履歴が持ち出されている
振込先の変更の案内を疑う決まりの確認	今すぐ	支払いの履歴をもとにした偽の請求が考えられる
配信先リストに登録していた項目の洗い出し	再開を待つ間	個別の連絡が来たときに、影響の大きさをすぐ判断できる
管理画面のパスワードとAPIのキーの見直し	再開のあと	発表は触れていないが、念のため入れ替える候補
配信先の人への案内の準備	個別の連絡のあと	配信先リストの漏えいの対象なら、読者への説明が要る

偽の請求、再開の案内、ログインへの誘導に注意する

持ち出された情報を使うと、次のような件名のメールが作れます。

• 「【ブラストメール】サービス再開に伴うアカウント再認証のお願い」
• 「【重要】ご契約プランのお支払い方法変更のお知らせ」
• 「不正アクセスに関するお詫びと補償のご案内」

見分けるときの目安は次のとおりです。

• ブラストメールのサービスは停止中で、管理画面にはログインできない。ログインを求める連絡は、まず公式のお知らせと照らし合わせる
• 振込先の口座が変わったという案内は、メール以外の方法で確かめる。電話をかけるときは、メールに書かれた番号ではなく、公式のお知らせに載っている番号を使う
• 補償やお詫びの品を受け取るために、カード番号や口座番号を入力させる連絡は疑う。2026年10月26日時点の発表には、補償についての記載がない
• 送信元の表示名が「ブラストメールサポートセンター」でも、実際のアドレスのドメインを確かめる

電話番号も持ち出されているので、「調査担当」を名乗って管理画面のIDやパスワードを求める電話があったら、その場で答えずに切り、公式の窓口にかけ直します。

偽のメールを見抜く力は、社内で訓練しておくと身につきやすくなります。社員のセキュリティ意識を向上させるフィッシングメール模擬訓練の効果では、偽のメールを使った社内の訓練の進め方をまとめています。

再開のあとに見直す設定

サービスが再開したら、次の設定を見直す候補にします。どれも発表が求めているものではありませんが、侵入経路が調査中である以上、手元でできる備えです。

• 管理画面のログインパスワードを、ほかで使っていない新しいものに替える
• APIを使っていた場合は、APIのキーを発行し直せるかを確かめる
• 管理画面にログインできる人を見直し、退職者や外部の協力者のアカウントを止める

ログインの守りを固める方法としては、パスワードに加えて別の確かめ方を組み合わせる多要素認証があります。MFA（多要素認証）導入のメリットと製品比較では、多要素認証の種類と選び方を解説しています。

配信先の人への案内を準備する

配信先リストの漏えいの対象になっていた場合、読者や会員への説明が要ります。案内には、いつ何が起きたか、自社のリストのどの項目が対象か、読者に気をつけてほしいこと、問い合わせ先の4つを書きます。まだ分かっていないことは「調査中」と書き、推測で埋めません。表に挙げた会社の多くも、対象かどうかを確かめている途中で、その旨を書いて先に知らせています。

メールを受け取っていた人がすること

配信先リストに入っていた人の情報は、少なくともメールアドレスで、契約者の登録のしかたによっては氏名なども含まれます。パスワードやカード番号を預けていたわけではないので、すぐにお金を取られるような被害に直結するものではありません。気をつけるのは、そのメールアドレスに届く偽の連絡です。

漏えいした配信先リストは、「この人はこの会社のメールマガジンを読んでいる」という情報と結びついています。そのため、配信元を名乗って「会員情報の確認」や「お詫びのクーポン」をうたい、偽のサイトでカード情報を入力させる手口が考えられます。南城市は、お詫びを装ったメールが届くこともあるとして、本文のリンクからではなく公式サイトで同じ内容が載っているかを照合するよう呼びかけています。

受け取る側ができることは、次のとおりです。

1. メールマガジンの配信元から届く連絡でも、ログインや支払いを求めるものは、メールのリンクからではなく、ブックマークや公式アプリから開いて確かめる
2. 配信元の会社のサイトで、今回の件についてのお知らせが出ていないかを確かめる
3. 読んでいないメールマガジンは、配信元の公式サイトから配信の停止を申し込む。偽のメールに書かれた「配信停止はこちら」のリンクは押さない
4. 同じメールアドレスとパスワードの組み合わせを、ほかのサービスで使い回しているなら、この機会に替える

配信が止まっている間の業務の回し方

ブラストメールは2026年10月21日0時30分から止まっていて、2026年10月26日時点でも再開の日時は未定です。定期のメールマガジン、申込や購入のたびに自動で送る確認メール、イベント前日のリマインドなどを送っていた契約者は、段取りを組み直す必要があります。受け取る人が特に困るのは確認メールとリマインドで、届かないと問い合わせが増えます。自社のサイトや予約画面に「メールの配信が一時的に止まっている」旨を短く載せておくと、問い合わせを抑えられます。

別のサービスに移すときは、配信先リストをどこから持ってくるかに気をつけます。ブラストメールの管理画面は使えないので、自社の手元に保存してあるリストを使うことになります。配信を停止した人が混ざっていないかを確かめてから送ります。表のクラシコムのように、新しい配信環境へ移したことを公表している例もあります。

問い合わせ窓口

ブラストメールのお知らせの末尾に載っている連絡先は、次のとおりです。

• 運営会社：株式会社ラクスライトクラウド（株式会社ラクスの100％子会社）
• 電話：03-6862-7337
• メール：[email protected]
• サポートの受付時間：平日10時から17時（土日祝を除く）

2026年10月26日時点でも、ブラストメールのサービスは停止が続いています。問い合わせが集中している時期でもあるので、まず個別の案内と次の報告を待ち、それでも分からないことを問い合わせるのが現実的です。

事業者の個人情報の扱いについて、利用者として苦情や相談をしたいときは、個人情報保護委員会の個人情報保護法相談ダイヤルが受け付けています。電話番号は03-6457-9849、受付時間は9時30分から17時30分（土日祝日と年末年始を除く）です。相談ダイヤルは、ガイドラインやQ&Aに沿って助言をする窓口で、違法かどうかの判断を求める相談には応じていないと案内されています。

在宅で仕事をする人が気をつけること

ブラストメールは個人事業主やフリーランスも使っています。関わる形は大きく2つです。

自分の事業でブラストメールを使っていた場合

自分の教室やネットショップ、講座の案内のためにブラストメールを契約していた人は、契約者として販売管理システムの持ち出しの対象です。そのうえで、配信先リストの漏えいの対象になっていれば、自分の読者や顧客の情報が漏れたことになります。

個人事業主でも、顧客の名簿を事業に使っていれば、個人情報保護法の「個人情報取扱事業者」に当たります。個人情報取扱事業者とは、名簿のように検索できる形にまとめた個人情報を、事業に使っている人や会社のことです。個人情報保護委員会の通則編のガイドラインは、ここでいう「事業」について、営利か非営利かを問わないと書いています。

個人情報保護委員会の案内では、不正アクセスによる漏えいや、本人の数が1,000人を超える漏えいなど、決められた事態に当たると、委員会への報告と本人への通知が義務になるとされています。報告は、まず速やかに行い、不正の目的で行われたおそれがある場合は、発覚した日から60日以内に詳しい内容を報告します。

個人データの取扱いを委託している場合においては、委託元と委託先の双方が個人データ又は個人情報を取り扱っており、又は取得しようとしていることになるため、報告対象事態に該当する場合には、原則として委託元と委託先の双方が報告する義務を負う。 出典: ppc.go.jp

ガイドラインはあわせて、委託先が報告の義務を負う委託元に事態を知らせたときは、委託先は報告の義務を免れ、知らせを受けた委託元が報告すると説明しています。また、個人情報保護委員会のQ&Aは、クラウドサービスの事業者が預かった個人データを扱わない取り決めになっている場合でも、サービスを利用する側が報告の義務を負うとしています。どちらの形でも、契約者の側に報告や本人への通知の義務がかかる場合がある、ということです。

ブラストメールは2026年10月25日10時00分更新の版でも、委員会への報告を考えている契約者とは連名で報告（連名報告）できると案内し、手続きの方法はお知らせの中で案内している専用のページで確かめるよう書いています。まずそのページの手順に沿って進めます。本人への通知は、別に考える必要があります。

ただし、自分の件が報告の対象に当たるかどうかは、漏えいした項目と人数、ブラストメールとの契約の中身で変わります。ブラストメールから個別の連絡が届いたら、その内容をもとに、個人情報保護委員会の漏えい等の対応とお役立ち資料を読み、分からない点は相談ダイヤルで確かめます。報告の様式や記入例も、このページに載っています。

なお、個人情報保護法は2026年7月17日に改正法が公布され、2026年10月26日時点では、施行に向けて規則やガイドラインの整備が進められている段階です。漏えいの報告の決まりが今後変わる可能性もあるので、報告をするときは、その時点の個人情報保護委員会の案内を確かめます。

取引先のメール配信を代行していた場合

取引先のメールマガジンの配信を請け負っていた場合、取引先のアカウントで作業していたか、自分のアカウントで取引先のリストを預かっていたかに関係なく、配信先リストは取引先の顧客の情報です。漏えいの対象かどうかを判断し、読者に知らせ、必要なら報告をするのは、基本的に取引先の側です。請け負っていた人がすることは、取引先が判断できるように、知っている事実を早く渡すことです。

特に気をつけたいのは、自分が契約したアカウントで取引先のリストを預かっていた場合です。この場合、ブラストメールからの個別の連絡は自分に届きます。取引先はブラストメールとの契約がないので、今回の件が自分たちに関係するとは気づかないかもしれません。ガイドラインは、委託先から委託元への知らせについて、事態を知ってから概ね3日から5日以内を目安に速やかに行うよう求めています。個別の連絡を受け取ったら、すぐに取引先に伝えます。

取引先への伝え方

取引先に伝えるときは、分かっている事実と、まだ分かっていないことを分けて、短く書きます。たとえば、次のような文面です。

○○株式会社　△△様 いつもお世話になっております。メールマガジンの配信を担当している□□です。 配信に使っているメール配信システム「ブラストメール」で、2026年10月21日に不正アクセスによる情報の持ち出しがあったと、運営会社から発表がありました。 発表では、一部の契約者について配信先のリストの漏えいを確認したとされています。運営会社は10月22日から個別の案内を始め、10月24日の時点で漏えいを確認した344件の契約への連絡を終えたとしていますが、外部の専門機関による調査は続いていて、御社のリストが対象に含まれるかは連絡を待っている状況です。 連絡が届きしだい、内容をそのままお伝えします。サービスは停止中のため、次回の配信は再開を確かめてからご相談させてください。

文面のこつは、謝ることよりも、事実と次の連絡の予定を先に書くことです。ビジネス文書検定は、社外向けの文書の書き方を体系立てて学べる資格です。

自分のメールアドレスが過去の漏えいに含まれていないかを調べる

過去の漏えいで出回ったメールアドレスとパスワードの組み合わせが残っていると、今回知られたメールアドレスと結びついて、乗っ取りに使われることがあります。漏えいを調べる方法では、メールアドレスが過去に公表された漏えいに含まれているかを調べるサービスの使い方を紹介しています。結果が出たら、そのサービスで使っていたパスワードを、ほかで使い回していないかを確かめます。

運営者の視点：預かった名簿の扱いが、仕事の信用になる

メールマガジンの配信代行や、ネットショップの運営補助のように、在宅の仕事には取引先の顧客の名簿を預かる仕事が少なくありません。何かが起きたときに、自分が関係するかをすぐ確かめ、事実だけを簡潔に取引先へ渡せる人は、それだけで次の仕事につながりやすくなります。

@SOHO編集部は、2004年から在宅ワークとフリーランスの仕事の仲介を続けてきました。その中で見えてくるのは、情報の扱いを含めて「任せると安心な人」に、長い取引が集まるという傾向です。仲介の手数料が乗らない手数料0%の直接取引では、受け手と取引先が直接やりとりする分、こうした信頼がそのまま関係の長さになります。セキュリティの知識をいかせる仕事の種類は、AI・マーケティング・セキュリティのお仕事で紹介しています。

よくある質問

Q. ブラストメールの情報漏洩で、何が漏れたのですか？

2026年10月23日10時00分更新の発表では、全ての契約者の会社名、担当者名、電話番号、メールアドレス、請求先のメールアドレス、契約と支払いの履歴などが販売管理システムから持ち出されたとされています。一部の契約者については、配信先のリストなど配信に関する情報の漏えいも確認されています。クレジットカード番号は同社では保持していないと明記されています。配信先リストなどの漏えいを確認した契約は288件で、そのうち204件に個別の連絡が済んでいます（現時点の数値）。

Q. ブラストメールで配信されたメールを読んでいただけでも対象になりますか？

一部の契約者について配信先のリストの漏えいが確認されているため、読者のメールアドレスなどが含まれる可能性はあります。2026年10月22日には、新潟日報社や横浜市、南城市など、ブラストメールで配信していた会社や自治体が自分たちの読者への影響を公表しています。配信元の会社からのお知らせを確かめ、その会社を名乗るログインや支払いの案内は、メールのリンクではなく公式サイトから確かめてください。

Q. ブラストメールはいつ再開しますか？

2026年10月21日0時30分から停止しており、2026年10月23日10時00分更新の発表でも再開の日時は未定とされています。次の報告は10月23日14時頃を目途にするとされています。再開の案内はブラストメールのお知らせのページで確かめ、メールで届く再開の案内やログインの依頼は、公式のお知らせと照らし合わせてから開いてください。

Q. ブラストメールの件の問い合わせ先はどこですか？

発表の末尾には、株式会社ラクスライトクラウドの電話03-6862-7337、メール[email protected]、受付時間は平日10時から17時（土日祝を除く）と載っています。サービスサイトは一時停止の表示になっているため、まず個別の案内と次の報告を待つのが現実的です。電話は公式のお知らせに載っている番号を使ってください。