環境省の情報漏えいの可能性｜メールマガジン6誌のブラストメール経由の範囲と注意点 2026

環境省は2026年10月23日、環境省が関わる6つのメールマガジンの配信に使っていたメール配信サービス「ブラストメール」が第三者からの不正アクセスを受け、メールマガジンの配信先情報が漏えいした可能性があると発表しました。 発表の時点で、配信先情報の漏えいがあったとは確認されていません。件数も公表されていません。 対象のメールマガジンを受け取っていた人がまずすることは、環境省や各メールマガジンの事務局、ブラストメールを名乗るメールが届いても、本文のリンクを開かず、公式サイトのお知らせと照らし合わせることです。

この記事では、2026年10月25日時点で公開されている環境省の報道発表、ブラストメールを運営する株式会社ラクスライトクラウドの報告、各メールマガジンの事務局のお知らせだけをもとに、何が起きて、何が分かっていて、何がまだ分かっていないのかを順番に整理します。報道では件数が伝えられていますが、環境省の発表に件数の記載はないため、この記事では件数を書きません。メールマガジンは、環境の仕事や地域の活動に関わる人が、仕事用のメールアドレスで登録していることが多い媒体です。在宅で仕事をする人が、取引先の名前を登録の備考に書いていた場合の考え方も後半で扱います。

2026年10月25日時点で分かっていること

まず、公式に書かれていることだけを並べます。

• 発表したのは環境省で、日付は2026年10月23日。報道発表資料「環境省が関わるメールマガジンにおける配信先情報の漏えいの可能性について」として公開された
• 対象は環境省関連の6つのメールマガジン。地球環境パートナーシッププラザ（GEOC）、地域循環共生圏、東北環境パートナーシップオフィス（EPO）、福島環境再生プラザ、関東ESDセンター、きんき環境館のそれぞれのメールマガジン
• 原因は、配信に使っていたメール配信サービス「ブラストメール」（提供事業者は株式会社ラクスライトクラウド）への第三者からの不正アクセス
• 漏えいした可能性のある情報はメールマガジンごとに違い、メールアドレスだけのものから、氏名、所属、都道府県市区町村、登録動機までを含むものまである
• 発表の時点で「配信先情報の漏えいがあったとは確認されておりません」と明記されている
• 件数は公表されていない
• ブラストメールは2026年10月21日0時30分から管理画面とAPIが止まり、同日1時頃からメール配信も止まっている。再開時期は未定で、6誌の配信と管理の作業ができない状態
• 環境省は、配信先情報の漏えいの有無を、提供事業者の調査を踏まえて確認するとしている
• 問い合わせ先は、メールマガジンごとの事務局

発表の見出しは「漏えいの可能性について」です。「漏えいした」という言い切りではなく、「可能性がある」「漏えいがあったとは確認されていない」という段階です。この記事でも、その表現のまま書きます。

ブラストメール側の報告は、環境省の発表のあとも更新が続いています。2026年10月25日10時00分更新の第12報では「現時点で新たにご報告できる確定情報や進展はございません」とされ、次の報告は2026年10月26日10時頃の予定と書かれています。環境省の6誌について漏えいが確認されたか否かは、この続報と、環境省や各事務局からの新しいお知らせで変わる可能性があります。

対象のメールマガジン6誌と、漏えいした可能性のある情報

環境省の発表には、メールマガジンごとに「漏えいした可能性のある情報」の表が載っています。登録のときに入力する項目が媒体ごとに違うため、漏えいした可能性のある情報の範囲も違います。

メールマガジン	漏えいした可能性のある情報	発表の表に挙げられていない項目の例
地球環境パートナーシッププラザ（GEOC）メールマガジン	メールアドレス、属性	氏名、所属、住所
地域循環共生圏メールマガジン	メールアドレス、氏名、属性	所属、住所、電話番号
東北環境パートナーシップオフィス（EPO）メールマガジン	メールアドレス	氏名、属性、所属
福島環境再生プラザメールマガジン	メールアドレス	氏名、属性、所属
関東ESDセンターメールマガジン	メールアドレス、属性	氏名、所属、住所
きんき環境館メールマガジン	メールアドレス、氏名、所属、都道府県市区町村、備考（登録動機）	番地以下の住所、電話番号

表の右の列は、発表の表に「漏えいした可能性のある情報」として書かれていない項目を、この記事が整理したものです。環境省の発表には「含まれない」と明記した項目の一覧はありません。登録のときに入力していない項目は、配信先情報として保存されていないため、そもそも漏えいの対象になりません。

「属性」とは、登録のときに選ぶ区分のことで、たとえば「NPO」「企業」「行政」「学生」といった立場の分類を指すのが一般的です。発表には属性の中身の説明はないため、自分がどの区分で登録したかは、登録したときの画面の記憶か、事務局への問い合わせで確かめることになります。

6誌の中で範囲が最も広いのは、きんき環境館メールマガジンです。メールアドレスと氏名に加えて、所属、都道府県市区町村、備考として書いた登録動機まで含まれます。番地以下の住所や電話番号は挙げられていませんが、「どの市に住む、どの団体の、どういう関心を持った人か」が一組になった情報です。この組み合わせは、本人をよく知っているように見せかけた偽のメールの材料になり得ます。登録動機に取引先や勤務先の名前を書いていた人は、後半の「在宅で仕事をする人が気をつけること」も読んでください。

パスワードとクレジットカード情報は、6誌のいずれの欄にも書かれていません。環境省の6誌はいずれも登録にログイン用のパスワードを設定しない形のメールマガジンで、受け取るために料金もかかりません。そのため、今回の件で「パスワードを急いで変える」「カードの明細を見張る」という対応は、発表の内容からは必要とされていません。やるべきことは別にあり、それは後の節で説明します。

公表の経緯

環境省の発表は1回ですが、配信サービス側の報告と、各事務局のお知らせを時間の順に並べると、経緯が見えてきます。日付はいずれも2026年です。

• 10月21日0時30分。株式会社ラクスライトクラウドがブラストメールの管理画面とAPIを停止。同日1時頃からメール配信も停止。同社は同日からお知らせページで報告を始め、以後、日に1回から2回のペースで更新している
• 10月23日。環境省が報道発表資料「環境省が関わるメールマガジンにおける配信先情報の漏えいの可能性について」を公開。同日、環境省近畿環境局のサイトにも同じ内容の報道発表が掲載された
• 10月23日。ラクスライトクラウドが、個人情報保護委員会への連名報告の案内を公開（申し込みの期限は10月29日）
• 10月24日。地球環境パートナーシッププラザ（GEOC）と関東地方ESD活動支援センターが、それぞれのサイトに「メール配信サービス『ブラストメール』への不正アクセスによる情報漏洩の可能性について」を掲載。いずれも「2026年10月24日13時20分現在、本件メールマガジンに関する配信先情報の漏えいがあったとは確認されておりません」と書かれている
• 10月24日13時20分。ラクスライトクラウドの第11報で、「契約者情報以外の情報漏えいが確認されたご契約件数」が344件、そのうち個別の連絡が完了した件数が344件と公表された
• 10月25日10時00分。ラクスライトクラウドの第12報。「現時点で新たにご報告できる確定情報や進展はございません」。344件から変更なし。次回の報告は10月26日10時頃の予定

環境省の発表には、環境省が配信事業者から連絡を受けた日付や、個別の通知を送る予定の記載はありません。続報の予定も「引き続き、当該サービスの提供事業者における調査を踏まえ、確認してまいります」とだけ書かれています。

ここで押さえておきたいのは、ブラストメール側が公表している344件という数は「配信先リストなどの漏えいが確認された契約者の数」であり、環境省の6誌がその中に含まれているか否かは、環境省の発表にも、ブラストメールの報告にも書かれていない点です。環境省は「漏えいした可能性がある」「漏えいがあったとは確認されていない」という表現を保っています。両者の記載を混ぜて「環境省の配信先が漏えいした」と読むのは、発表の読み方として正しくありません。

発表の原文で確かめる

環境省の報道発表資料の冒頭は、次の2文です。

１． 環境省関連の複数のメールマガジンで配信に利用しているメール配信サービス「ブラストメール」において、第三者からの不正アクセスが発生し、メールマガジンの配信先情報が漏えいした可能性があることが確認されました。 なお、現時点において、配信先情報の漏えいがあったとは確認されておりません。 ２． 配信先情報の漏えいの有無等については、引き続き、当該サービスの提供事業者における調査を踏まえ、確認してまいります。 出典: env.go.jp

配信サービス側の原因の説明は、ラクスライトクラウドのお知らせに次のように書かれています。

外部の第三者が、弊社の API 用のサーバー 2 台に侵入してコマンドを実行し、そこから弊社の販売管理システムとサービスのデータベースに接続して、データを持ち出しました。 侵入経路の詳細は調査中です。 出典: info.blastmail.jp

事務局の側では、GEOCのお知らせが、受け取る側への注意をこう書いています。

今後、今回の不正アクセスに関するお知らせやお詫びを装った偽メールが送信される可能性もございます。メール本文のリンクを安易に開かず、運営会社の公式サイトなどで情報の真偽をご確認ください。 出典: geoc.jp

この3つを読むと、環境省の発表が「可能性」の段階にとどまる理由が分かります。データを持ち出されたのは配信サービス側のデータベースで、どの契約者の配信先リストがその中に含まれていたかは、配信サービス側の調査で確定していくものだからです。環境省が自分で確かめられる範囲は限られていて、だから「提供事業者における調査を踏まえ、確認してまいります」という書き方になっています。

原因：メール配信サービスへの不正アクセス

環境省の発表に書かれている原因は、「配信に利用しているメール配信サービス『ブラストメール』への第三者からの不正アクセス」です。環境省のシステムそのものが攻撃を受けたという記載はありません。環境省のウェブサイトや、環境省が直接管理している他のシステムについて、この発表は何も述べていません。

ブラストメールとは、会社や団体が、登録してくれた読者に一斉にメールを送るためのサービスです。配信先のメールアドレスの一覧や、読者が登録のときに入力した氏名や属性は、サービスを提供する会社のサーバーに保存されています。環境省の6誌の事務局は、このサービスを契約して配信していました。

ラクスライトクラウドの報告によると、外部の第三者がAPI用のサーバー2台に侵入してコマンドを実行し、そこから販売管理システムとサービスのデータベースに接続してデータを持ち出しました。APIとは、別のプログラムからサービスの機能を呼び出すための窓口のことで、管理画面を人が操作する代わりに、プログラムが自動で配信先を登録したり配信を指示したりするときに使います。この窓口のサーバーが入口になったと説明されていますが、どうやって侵入したかという「侵入経路の詳細」は調査中とされています。

持ち出されたデータは2種類に分かれます。1つは販売管理システムの情報で、ブラストメールを契約している全ての契約者の会社名、担当者名、電話番号、メールアドレス、請求先のメールアドレス、契約と支払いの履歴などです。もう1つはサービスのデータベースにあった「配信に関する情報（配信先のリストなど）」で、こちらは「一部のお客様について」漏えいが確認されたとされ、その数が2026年10月24日13時20分時点で344件です。環境省の6誌の読者に関わるのは後者で、環境省の発表は、この後者について「可能性がある」段階だと述べています。

ラクスライトクラウドはクレジットカード番号を保持していないと書いています。これは契約者側の支払い情報についての説明で、メールマガジンの読者には元からカード情報の登録がありません。

環境省と各事務局の対応

環境省の発表に書かれている対応は、次の3点です。

• 提供事業者により、2026年10月21日0時30分から管理画面とAPIが停止され、同日1時頃からメール配信も停止されている。再開時期は未定で、6誌の配信・管理作業ができない状況
• 配信先情報の漏えいの有無等について、引き続き、提供事業者における調査を踏まえて確認する
• 問い合わせ先として、6誌それぞれの事務局の電話番号、メールアドレス、営業時間を掲載

発表には、読者への個別の通知、お詫びの品、補償についての記載はありません。発表に書かれていないことは、この記事でも「ある」とは書きません。読者に対して何かを求める文章も、環境省の発表そのものには入っていません。

一方で、事務局の側は一歩進んだ案内を出しています。GEOCと関東ESDセンターは2026年10月24日のお知らせで、不審なメールを受け取ったときの注意として、次の3点を読者に求めています。

• メール本文に書かれたURLへのアクセス、添付ファイルの開封、個人情報の入力や返信をしない
• 「至急ログイン」「本人確認が必要」などの文面で個人情報の入力を促すメールに注意する
• 今回の不正アクセスに関するお知らせやお詫びを装った偽メールが送られる可能性があるため、メール本文のリンクを安易に開かず、運営会社の公式サイトで真偽を確かめる

2026年10月25日時点で、地域循環共生圏、東北EPO、福島環境再生プラザ、きんき環境館の各メールマガジンについては、事務局のサイト上に独立したお知らせは確認できませんでした。環境省近畿環境局のサイトには、環境省の報道発表と同じ内容が2026年10月23日付で掲載されています。お知らせが無いことは、対象外であることを意味しません。環境省の発表に名前が載っている6誌はすべて対象です。

配信が止まっている間、6誌は読者に新しい号を送れません。普段は月に1回届いていたメールマガジンが届かなくなったとしても、それは配信停止によるもので、登録が消えたわけでも、自分だけが外されたわけでもありません。再開のときに、事務局から改めて案内が出ると考えられますが、その案内を装った偽メールにも注意が要ります。

自分が対象かを確かめる方法

今回の件は、ログインして確かめる「マイページ」のような場所がありません。メールマガジンは登録するだけで届く仕組みで、読者側に会員画面がないからです。そのため、自分が対象かどうかは、次の順で確かめます。

まず、6誌のいずれかに登録した覚えがあるかを思い出します。環境の仕事やボランティア、学校の授業、地域の活動のために、環境省の関連施設のサイトからメールマガジンを登録した経験がある人が対象の候補です。GEOCは東京の青山にある施設、EPOは全国の地方ブロックごとにある環境パートナーシップのオフィス、関東ESDセンターは持続可能な開発のための教育を支援する拠点、きんき環境館は近畿の環境パートナーシップオフィス、福島環境再生プラザは福島の環境再生の情報拠点、地域循環共生圏は地域の環境と経済の循環を進める環境省の施策の名前です。これらの名前に心当たりがあれば、該当する可能性があります。

次に、受信箱を検索します。「GEOC」「EPO」「ESD」「きんき環境館」「環境再生プラザ」「地域循環共生圏」といった語で過去のメールを探すと、そのメールマガジンを受け取っていたかどうかが分かります。すでに配信を解除していた場合に配信先情報が残っているかどうかは、発表に記載がありません。気になるときは事務局に問い合わせます。

環境省には、6誌以外にもメールマガジンがあります。たとえば「エコチル調査」のサポーター向けや、環境省本体の広報のメールマガジンです。環境省の発表に名前が載っているのは6誌だけで、それ以外のメールマガジンは今回の発表の対象として挙げられていません。別の環境省のメールマガジンだけを受け取っていた人は、今回の発表の対象には入っていないと読むのが、発表に沿った理解です。

最後に、個別の連絡について。環境省の発表には、読者への個別の通知の予定が書かれていません。そのため、2026年10月25日時点では「通知が来ないから対象ではない」とも「通知が来るまで待てばよい」とも言えません。事務局からの正式な連絡が届くまでは、公式サイトの更新を見るのが確かな方法です。環境省の報道発表資料のページと、各事務局のサイトの新着情報を見ます。

読者がすること

漏えいした可能性のある情報に合わせて、必要なことだけを書きます。やらなくてよいことも、はっきり書きます。

偽のメールへの備えを最優先にする

6誌すべてで共通して含まれる可能性があるのは、メールアドレスです。メールアドレスが外に出ると、起きるのは「そのアドレスに偽のメールが届く」ことです。しかも今回は、「環境省のメールマガジンを受け取っている人」という属性つきのアドレスです。環境省、事務局、ブラストメール、ラクスを名乗った「漏えいのお詫び」「本人確認のお願い」「配信再開の手続き」という文面のメールは、本物に見えやすくなります。

やることは、GEOCと関東ESDセンターが書いているとおりです。メール本文のリンクを開かない、添付ファイルを開かない、個人情報を入力しない、返信しない。確かめたいときは、メールの中のリンクではなく、ブラウザで環境省や事務局の公式サイトを自分で開いて、同じお知らせが載っているかを見ます。

氏名、所属、登録動機まで含まれる人は、仕事の連絡も疑う

地域循環共生圏メールマガジンときんき環境館メールマガジンは、氏名が含まれる可能性があります。きんき環境館メールマガジンはさらに所属、都道府県市区町村、登録動機までです。氏名と所属が一緒に分かると、偽のメールは「〇〇様」「〇〇団体の〇〇様」と宛名を正しく書けます。宛名が正しいことは、本物である証拠にはなりません。

登録動機に「〇〇の事業で環境関連の情報を集めるため」「取引先の〇〇社の案件で」と書いていた人は、その文脈を使った偽のメールにも備えます。たとえば「以前お問い合わせいただいた〇〇の件で」と、自分しか知らないはずの事情を書いたメールが届く可能性です。知っている事情が書かれていても、送り主の正しさとは別の話だと考えます。

パスワードの変更は必須ではないが、使い回しがあれば見直す

6誌はパスワードを設定しないメールマガジンで、発表の表にもパスワードは挙げられていません。したがって、今回の件を理由にパスワードを急いで変える必要はありません。ただ、同じメールアドレスを他のサービスのログインIDとして使っていて、そのパスワードを複数のサービスで使い回している場合は、今回に限らず危険です。アドレスが外に出ると、過去に別の場所で漏れたパスワードと組み合わせてログインを試す攻撃が増えます。ログインに使うパスワードはサービスごとに違うものにし、重要なサービスには二段階認証を設定します。二段階認証とは、パスワードに加えて、スマートフォンに届く番号や認証アプリの番号を入力しないとログインできないようにする仕組みです。仕組みと選び方はMFA（多要素認証）導入のメリットと製品比較｜2026年の認証セキュリティ決定版で解説しています。

カードの明細を見張る必要は、この件ではない

クレジットカード情報は、6誌のどの欄にも書かれていません。読者がメールマガジンの登録でカード情報を入力することもありません。今回の件を理由にカード会社へ連絡したり、カードを止めたりする必要はありません。ただし、偽のメールのリンクを開いてカード情報を入力してしまった場合は別で、その場合はすぐにカード会社へ連絡します。

配信が再開されるまでの情報の取り方

6誌の配信は止まっています。環境のイベントや助成金の締め切りなど、メールマガジンで受け取っていた情報は、しばらく届きません。必要な情報は、各事務局のサイトの新着情報やイベント案内を直接見て補います。再開の案内が届いたときも、本文のリンクから手続きをせず、サイトを自分で開いて確かめる習慣にします。

偽のメール、SMS、電話の見分け方

事務局が注意を促している偽のメールについて、具体的な見分け方を書きます。

送信元の表示名は誰でも自由に書けます。「環境省」「GEOC」と表示されていても、本物である保証にはなりません。送信元のメールアドレスの「@」より後ろを見て、環境省なら env.go.jp、GEOCなら geoc.jp のように、公式サイトと同じドメインかを確かめます。似た綴りのドメインや、無関係なドメインなら偽物です。ただし、送信元アドレスも偽装できる場合があるため、ドメインが合っているからといって安心はできません。最終的には、本文のリンクを使わずに公式サイトを自分で開いて、同じ内容が載っているかで判断します。

本文の特徴として、「至急」「24時間以内に」「本人確認が必要」「このままだと配信が停止されます」といった、急がせる言葉が入っているものは疑います。本物の事務局は、今回の件で読者にログインや本人確認を求めていません。環境省の6誌には、そもそもログインの仕組みがありません。「ログインして確認してください」というメールは、その一点で偽物と判断できます。

SMSや電話にも同じ注意が当てはまります。ただし今回の件で、電話番号は6誌のどの欄にも挙げられていません。電話番号が含まれる可能性は発表されていないため、環境省のメールマガジンを名乗る電話やSMSが来たとしても、それは今回の漏えいの可能性とは別の経路によるものと考えられます。どちらにしても、電話で個人情報やパスワードを聞かれて答えないことは変わりません。

偽のメールを受け取ったときは、開かずに削除します。すでにリンクを開いて何かを入力してしまった場合は、入力した内容に応じて対処します。パスワードなら、そのサービスのパスワードをすぐに変え、同じパスワードを使っていた他のサービスも変えます。カード情報ならカード会社へ連絡します。相談先として、フィッシング対策協議会のサイトでは、報告の受け付けと最新の手口の事例を公開しています。会社や団体で、従業員や会員に注意を広める立場の人は、社員のセキュリティ意識を向上させるフィッシングメール模擬訓練の効果｜2026年最新の従業員教育ガイドが、注意喚起の文面と訓練の組み立て方を扱っています。

問い合わせ窓口

環境省の報道発表資料に載っている問い合わせ先は、メールマガジンごとの事務局です。電話番号と営業時間は、環境省の発表に書かれているとおりです。

メールマガジン	問い合わせ先	電話番号	営業時間
地球環境パートナーシッププラザ（GEOC）メールマガジン	地球環境パートナーシッププラザ（GEOC）	03-3407-8107	火から金 10時から18時（日祝・年末年始を除く）、土 10時から17時
地域循環共生圏メールマガジン	地域循環共生圏メールマガジン事務局（いであ株式会社）	045-593-7608	月から金 9時から17時30分（土日祝、お盆、年末年始を除く）
東北環境パートナーシップオフィス（EPO）メールマガジン	東北環境パートナーシップオフィス	022-290-7179	月から金 9時から17時30分（土日祝、お盆、年末年始を除く）
福島環境再生プラザメールマガジン	環境再生プラザ	024-529-5668	火から金 10時から17時（年末年始を除く、月曜は定休日、祝日の場合は翌日）
関東ESDセンターメールマガジン	関東地方ESD活動支援センター（関東ESDセンター）	03-6427-7975	月から金 10時から18時（土日祝・年末年始を除く）
きんき環境館メールマガジン	きんき環境館（近畿環境パートナーシップオフィス）	06-6940-2001	月から金 10時から18時（土日祝、お盆、年末年始を除く）

メールアドレスも発表に載っていますが、メールで問い合わせるときは、受け取った返信が本物かどうかを別の方法で確かめにくい面があります。急ぐ用件は電話のほうが確実です。

環境省側の担当は、GEOCメールマガジンが大臣官房総合政策課環境教育推進室・民間活動支援室、地域循環共生圏メールマガジンが大臣官房地域政策課地域循環共生圏推進室、東北EPOが東北環境局環境対策課、福島環境再生プラザが福島環境局広報室、関東ESDセンターが関東環境局環境対策課、きんき環境館が近畿環境局環境対策課です。報道発表資料の末尾に、それぞれの代表と直通の番号が載っています。

問い合わせるときは、「どのメールマガジンに」「どのメールアドレスで」登録していたかを伝えると、確認が進みやすくなります。事務局から電話やメールで折り返しがあったときに、パスワードやカード情報を聞かれることは、今回の件の性質上ありません。聞かれたら、その相手は事務局ではありません。

同じサービスで影響が広がった範囲

ブラストメールは、環境省の6誌だけが使っていたサービスではありません。ラクスライトクラウドの報告では、全ての契約者の販売管理情報が持ち出され、そのうえで配信先リストなどの漏えいが確認された契約が344件とされています。2026年10月23日以降、複数の会社や団体が、自社のメールマガジンの配信先情報について、同じ経路で漏えいまたは漏えいの可能性があると公表しています。

このことは、読者にとって2つの意味を持ちます。1つは、環境省の6誌の読者であると同時に、他の会社のメールマガジンの読者でもある人は、別の発表でも自分の情報が対象になっている可能性があることです。受信箱の中で、2026年10月21日以降に届かなくなったメールマガジンがあれば、その発行元のお知らせを確かめます。もう1つは、「ブラストメール」や「ラクス」を名乗る偽のメールが、環境省の読者に限らず広く送られる可能性があることです。契約者向けの再開や請求の案内を装った偽メールは、読者の側にも届くかもしれません。読者はブラストメールと直接の契約関係がないので、ブラストメールから読者に直接メールが届く理由はありません。届いたら偽物です。

ラクスライトクラウドは、契約者が個人情報保護委員会へ報告する際に、同社と連名で報告できる案内を2026年10月23日に出しています。これは契約者向けの手続きであり、読者がすることはありません。読者本人への通知は、連名報告を選んだ場合でも契約者側が行うと案内に書かれています。環境省の6誌について、読者への通知がどう行われるかは、2026年10月25日時点で発表されていません。

行政機関のメールマガジンで漏えいのおそれが出たときの決まり

今回は、民間の会社ではなく、国の行政機関が関わるメールマガジンの件です。行政機関の個人情報の扱いにも個人情報保護法が適用されていて、漏えいや漏えいのおそれが出たときの報告の決まりがあります。個人情報保護委員会の「漏えい等の対応とお役立ち資料」のページには、報告が義務になる場合が列挙されています。

行政機関等については、不正の目的をもって行われたおそれがある行為による保有個人情報の漏えい等（またはそのおそれ）と、本人の数が100人を超える漏えい等（またはそのおそれ）が、報告が必要な場合に含まれています。不正アクセスによる漏えいは、ページの中で「不正の目的をもって行われたおそれ」の例として挙げられています。報告の期限は、不正な目的で行われたおそれがある場合は発覚日から60日以内と書かれています。

この決まりは「おそれ」の段階から対象になります。つまり、漏えいが確定していなくても、報告の仕組みは動き出します。環境省の発表には、個人情報保護委員会への報告についての記載がないため、この記事では環境省が報告したか否かを書きません。ただ、決まりの上では、今回のような「漏えいの可能性」の段階も報告の対象に含まれる作りになっていることは、読者が「可能性と言っているだけで何もしないのでは」と不安になったときの判断の材料になります。

委託先の扱いについても、同じページに記入例として「委託先事例」が載っています。配信サービスの会社は、環境省の6誌の事務局から配信先の情報の扱いを任されている立場です。ラクスライトクラウドが連名報告の案内を出しているのは、この委託の関係を前提にしたものです。

在宅で仕事をする人が気をつけること

環境省の6誌は、環境の分野で仕事をする人、地域の活動を事業として請け負っている人、環境関連の調査や執筆をしている人が、仕事用のメールアドレスで登録していることが多いメールマガジンです。在宅で仕事をする人にとって、今回の件には2つの関わり方があります。

仕事用のアドレスと所属で登録していた場合

仕事用のメールアドレス、屋号や会社名、登録動機に取引先の名前を書いていた場合、漏えいした可能性のある情報は「自分の個人情報」であると同時に、「取引先との関係を示す情報」でもあります。きんき環境館メールマガジンのように、氏名、所属、都道府県市区町村、登録動機が一組になっていると、「〇〇社の案件でご一緒した〇〇です」という、取引先を装った偽のメールの材料になります。

取引先に知らせる義務があるかというと、自分のメールアドレスと所属が漏えいした可能性があるだけでは、法律上の通知の義務が生じる場面ではありません。それでも、取引先とのやりとりに使っているアドレスが外に出た可能性があるなら、「自分を装ったメールが届くかもしれないので、普段と違う依頼や添付ファイルは開く前に電話で確かめてほしい」と一言伝えておくと、取引先が偽のメールに気づきやすくなります。知らせること自体が信用を落とすのではなく、知らせずに取引先が偽メールを開いてしまうことのほうが、関係に響きます。

取引先のメールマガジンの配信を代行していた場合

在宅で仕事をする人の中には、取引先の会社のメールマガジンの配信作業を請け負い、自分の名義でブラストメールを契約していた人もいます。この場合は、読者ではなく契約者の立場になり、環境省の件とは別に、ラクスライトクラウドから直接の連絡を受ける対象です。

このとき、預かっていた配信先リストは取引先の顧客の個人データで、自分は「委託を受けて個人データを扱っている事業者」の立場になります。個人情報保護法第26条では、個人データの漏えい等が起きたとき、個人情報保護委員会への報告が義務になる場合がありますが、他の事業者から委託を受けて扱っていた個人データについては、委託元にその事態を通知したときは、委託先自身の報告は不要になる、という形が取られています。言いかえると、取引先から名簿を預かって配信していた人は、まず取引先に知らせることが、法律の仕組みの上でも出発点です。報告の要否や本人への通知の方法は、漏えいした情報の種類や人数で変わるため、個別の判断は取引先と相談し、必要なら個人情報保護委員会の相談窓口で確かめます。

取引先への伝え方

取引先に知らせるときは、分かっている事実と、分かっていないことを分けて書きます。

• 何が起きたか。登録していた、または配信に使っていた外部のサービスで、不正アクセスによる漏えいの可能性が公表された
• 何が関係するか。自分のメールアドレスと氏名、所属が含まれる可能性がある。預かっている情報が含まれるかは、サービス提供元の調査の結果を待っている
• 何をしてほしいか。自分の名前で、普段と違う依頼や添付ファイルが届いたら、開く前に電話で確かめてほしい
• 次にいつ連絡するか。公表元の続報が出たら、改めて知らせる

分かっていないことを分かっているように書かないことが、信頼を保つうえで大切です。環境省の発表そのものが「可能性がある」「確認されていない」と言葉を選んでいるのは、その手本です。業務の文書で事実と見込みを書き分ける型を体系的に学びたい人は、ビジネス文書検定の出題範囲が参考になります。

登録先の一覧を作っておく

仕事のメールアドレスで登録している外部のサービスは、メールマガジン、研修サイト、取引先の発注システムなど、思っているより多いものです。登録先の一覧を作り、サイト名、登録したメールアドレス、登録した項目、登録動機に何を書いたかを控えておくと、今回のような発表があったときに、自分が関係するかどうかをすぐに判断できます。使わなくなったメールマガジンは配信を解除しておくと、漏えいのときに巻き込まれる範囲を小さくできます。ただし、解除したあとに配信先情報が残っているかどうかは、サービスごとに扱いが違います。

自分のメールアドレスが過去の漏えいに含まれていないかを調べる

今回の件で漏えいが確認されたかどうかは、2026年10月25日時点で分かりません。ただ、自分のメールアドレスが過去の別の漏えいにすでに含まれているかどうかは、今すぐ調べられます。漏えいしたデータを集めて、メールアドレスを入力すると過去の漏えいに含まれているかを教えてくれる外部のサイトがあり、使い方と結果の読み方はHave I Been Pwned でメールアドレスの漏洩を調べる方法で解説しています。過去に別の場所で漏れていたアドレスは、今回の件と組み合わさって、偽のメールの精度が上がる可能性があるからです。

きんき環境館メールマガジンの読者で、都道府県市区町村が含まれる可能性がある人は、市区町村までの住所が外に出た場合の考え方を住所が漏れたときの対応で確かめられます。番地以下は今回の発表に挙げられていないため、郵便物による被害の可能性は低い段階ですが、氏名と市区町村の組み合わせだけでも、本人を知っているように見せる材料にはなります。

運営者の視点：預かった情報の扱いが、仕事の信用になる

@SOHO編集部は、2004年から在宅ワークとフリーランスの仕事の仲介を続けてきました。その中で見えてきたのは、作業の腕前と同じくらい、預かった情報をどう扱う人かが、長い取引につながるという傾向です。今回のように、自分に落ち度がない外部の漏えいでも、「自分のアドレスが対象かもしれないので、普段と違うメールは確かめてほしい」と先に伝えられる人は、取引先から見て安心して任せられる相手になります。仲介の手数料が乗らない手数料0%の直接取引では、受け手と取引先が直接やりとりする分、こうした信頼がそのまま関係の長さになります。情報セキュリティの知識をいかせる仕事の種類は、AI・マーケティング・セキュリティのお仕事で紹介しています。

環境省の6誌の件は、2026年10月25日時点では「漏えいの可能性」の段階で止まっています。確定していない段階でできることは、偽のメールに備えること、登録先を把握しておくこと、取引先と連絡の確かめ方を決めておくことの3つです。続報は、環境省の報道発表資料のページ、各事務局の新着情報、ラクスライトクラウドのお知らせページで確かめられます。報道で伝えられる件数ではなく、発表の原文の表現で状況を追うことが、過剰にも過小にもならない対応につながります。

よくある質問

Q. 環境省の情報漏洩は、何が漏れたと発表されたのですか？

環境省は2026年10月23日、環境省が関わる6つのメールマガジンの配信に使っていたメール配信サービス「ブラストメール」への不正アクセスで、配信先情報が漏えいした可能性があると発表しました。漏えいした可能性のある情報はメールマガジンごとに違い、メールアドレスだけのものから、氏名、所属、都道府県市区町村、登録動機を含むものまであります。発表の時点で、漏えいがあったとは確認されていません。件数は公表されていません。

Q. 環境省のメールマガジンを受け取っていましたが、パスワードを変える必要はありますか？

対象の6誌はログイン用のパスワードを設定しないメールマガジンで、発表の表にもパスワードは挙げられていません。今回の件を理由にパスワードを急いで変える必要はありません。ただし、同じメールアドレスを他のサービスのログインIDにしていて、パスワードを使い回している場合は、使い回しをやめ、重要なサービスには二段階認証を設定しておくと、アドレスが外に出たときの被害を抑えられます。

Q. 自分が対象かどうかは、どうすれば分かりますか？

今回の件には、ログインして確かめるマイページがありません。6誌（GEOC、地域循環共生圏、東北EPO、福島環境再生プラザ、関東ESDセンター、きんき環境館の各メールマガジン）のいずれかに登録した覚えがあるか、受信箱でそれらの名前を検索して受け取っていたかを確かめます。登録していれば対象の候補です。環境省の発表に読者への個別通知の記載はないため、続報は環境省の報道発表資料と各事務局のサイトで確かめます。

Q. 環境省やブラストメールを名乗るメールが届いたら、どうすればよいですか？

本文のリンクを開かず、添付ファイルも開かず、個人情報を入力したり返信したりしません。本物の事務局は今回の件でログインや本人確認を求めていませんし、6誌にログインの仕組みはありません。読者はブラストメールと契約関係がないため、ブラストメールから読者へ直接メールが届く理由もありません。確かめたいときは、メールのリンクではなく、環境省や事務局の公式サイトを自分で開いて、同じお知らせが載っているかを見ます。