メール配信サービス「ブラストメール」に不正アクセス。契約者情報と一部の配信先リストが持ち出される

01発表されている事実

1. 2026年10月21日 0:30ごろ

   サービスを停止。管理画面とAPIが使えなくなる。1:00ごろからメール配信も停止

2. 10月21日

   不正アクセスを発表（長野県の発表による）。エックスサーバーは同日に委託先から報告を受けたとしています

3. 10月23日

   エックスサーバーや長野県など、利用者側の発表が相次ぐ

4. 10月27日 12:30

   最新の更新。前回の報告以降、新たに漏えいが判明した顧客はいないとする

持ち出された情報は、契約者の会社名、担当者名、電話番号、メールアドレス、請求先メールアドレス、契約・支払いの履歴などです。一部の契約者では、配信先のリストなど配信に関する情報も漏れました。契約者情報以外の漏えいが確認された契約は345件で、個別の連絡は済んでいるとしています。クレジットカード番号は保持していないため対象外です。10月27日時点で再開の日時は決まっていません。

利用者側の発表では、エックスサーバーがニュースやキャンペーンの配信を希望した利用者のメールアドレスの漏えいを確認し（氏名・会社名は漏えいの可能性）、ブラストメールの利用をやめて自社のシステムに移ると発表しました。長野県は、委託先が運営する3つのサイトの登録者（約1,200件、約2,900件、約200件）の氏名やメールアドレスなどが対象になり得るとしています。

02読者への影響

メルマガを送っていた会社は、読者のメールアドレスなどを預かる立場として、本人への通知や個人情報保護委員会への報告を判断する必要があります。読者の側には、実在する会社の名前で、普段届くメルマガに似せた偽のメールが届くおそれがあります。

03今すぐやること

1. ブラストメールの契約者は、同社からの個別連絡の有無を確かめ、配信先リストの漏えいが対象かを確認する
2. 対象なら、読者への通知文と問い合わせ窓口を用意する。委員会への報告は同社と連名でもできると案内されています
3. 自社のサイトやSNSで「当社を名乗る不審なメールに注意」と告知する。メルマガで送るURLの形を決めておくと、読者が見分けやすくなります
4. 読者として受け取った人は、普段のメルマガでもログインやカード情報を求めるリンクは開かず、公式サイトをブックマークから開く
5. 配信サービスが止まった間の連絡手段を決めておく

なりすましメールを減らす送信ドメイン認証（DMARCなど）や、社員向けの訓練は図鑑の「メールセキュリティ・訓練」で比べられます。委託先の管理は「取引先から対策を求められた」も参考になります。

04今後の発表

同社は次回の報告を10月28日12時ごろとし、外部機関の調査の完了めどは判明次第知らせるとしています。件数は調査で変わる可能性があります。