ブラストメールに不正アクセス　全契約者の情報が外部へ

何が起きたのか

ラクスの発表によると、第三者がラクスライトクラウドのAPI用サーバー2台に侵入してコマンドを実行し、販売管理システムとサービスのデータベースに接続してデータを持ち出しました。

侵入経路の詳細は調査中とされています。

漏えいした情報

販売管理システムから持ち出されたのは、全契約者の次のような情報です。

• 会社名、担当者名、電話番号
• メールアドレス、請求先メールアドレス
• 契約・支払いの履歴など

クレジットカード番号は同社が保持していないため、対象外としています。

また、一部の顧客では、配信先リストなどメール配信に関する情報も漏えいした可能性があり、該当する顧客には個別に連絡するとしています。

利用する自治体や企業にも影響

ブラストメールを使ってメールを配信していた自治体や企業からも、影響の公表が相次いでいます。まとめ記事によると、10月23日時点で影響を公表した組織・サービスは51件に上ります（漏えいが確定した数ではなく、対象となり得る規模も含みます）。たとえば次のような発表がありました。

• 岡崎市（防犯情報メール）：登録メールアドレス約2万6,000件に漏えいの可能性
• 東北電力フロンティア（eポイントモール）：委託先経由で、最大約10万件のメールアドレスなどが対象となる可能性
• 横浜市（GREEN×EXPO 2027 市出展エリア）：ボランティア応募者6,334人の氏名・メールアドレスに漏えいの可能性

自社が直接攻撃されていなくても、利用しているサービスを通じて自社の顧客や登録者の情報が影響を受けることがある、という事例です。