京都府のボランティアや学び直し講座にも影響 メール配信ブラストメールに不正アクセス

メール配信サービス「ブラストメール」への不正アクセスの影響が、京都府の事業にも広がっています。京都府は10月22日と23日、ワールドマスターズゲームズ2027関西の京都エリアのボランティアと、働く人の学び直しを支える京都府生涯現役クリエイティブセンターで、登録した人の情報が漏れた可能性があると発表しました。どちらも、運営を任せている会社がブラストメールを使っていました。

何が起きた? 委託先が使うメール配信サービスに不正アクセス

ブラストメールは、株式会社ラクスの100%子会社、株式会社ラクスライトクラウドが運営するメールの一斉配信のサービスです。運営元によると、2026年10月21日0時30分から全てのサービスを止めていて、メールの配信も1時ごろから止まっています。再開の時期は未定です。

京都府が発表した2件は次のとおりです。

ボランティアの件は、府と京都市の実行委員会が合同で募集しているものです。府は個人情報保護委員会にすぐに報告し、漏れた可能性がある全員に連絡するとしています。

生涯現役クリエイティブセンターの件は、10月22日に運営元から委託先に「一部の契約者について配信先のリストなどの漏えいが確認されている」という知らせが届きました。10月23日の時点で、センターの受講生などの情報が漏えいの対象に含まれるかどうかは、まだ確定していません。今のところ、二次被害は確認されていないとしています。

京都府と京都市が共同で設けた「京の食文化ミュージアム・あじわい館」でも、同じブラストメールの件で、登録したメールアドレス約1,500件が漏れた可能性があります。くわしくは京都市、あじわい館のメール約1,500件に漏えいの恐れ 不審メールに注意にまとめています。

ブラストメールの件全体(運営元の報告と、H.I.S.ホテルホールディングスや新潟日報社など、ほかに影響を発表した会社や自治体)は、メール配信のブラストメールに不正アクセス 全契約者の情報と一部の配信先が流出にまとめています。

運営元の報告 全ての契約者の情報が持ち出された

ラクスライトクラウドの10月23日17時の時点の報告によると、外部の第三者が同社のAPI用のサーバー2台に入り込んでコマンドを動かし、そこから販売管理のシステムとサービスのデータベースにつないで、データを持ち出しました。侵入の経路は調べている途中です。

• 全ての契約者(ブラストメールを契約している会社など)の会社名、担当者名、電話番号、メールアドレス、請求先のメールアドレス、契約と支払いの履歴などが持ち出された
• 一部の契約者については、配信先のリストなど配信に関する情報の漏えいも確認した。契約者の情報以外の漏えいが確認された契約は、23日17時の時点で288件で、全てに個別に連絡した
• クレジットカードの番号は持っていない
• 社内の調査は10月24日10時ごろに終える予定で、専門の機関による外部の調査も進めている

暮らしと仕事への影響

ボランティアに応募した人や、センターで学んだ人のメールアドレスが漏れていると、京都府や大会、講座の事務局を名乗る偽のメールが届くおそれがあります。京都府も、関連した詐欺などの悪意あるメールが送られるおそれがあると注意を呼びかけています。

ブラストメールは、自治体や会社がお知らせやメールマガジンを送るのに使われています。自分が登録したお知らせのメールが、どこの配信サービスを通っているかは、ふつうは分かりません。京都府の2件以外にも、今後、同じ件で発表が続く可能性があります。

今日からできること

1. 大会や講座の事務局を名乗るメールのリンクは開かない: 「確認のため再登録を」などと求められても、公式のページを自分で開いて確かめます。
2. パスワードやカードの番号を返信しない: 迷ったら、メールの中の連絡先ではなく、下の問い合わせ先に電話で確かめます。
3. 登録したメールアドレスと同じパスワードを使い回していたら変える: メールアドレスが分かると、ほかのサービスへのなりすましのログインを試されることがあります。

大阪・関西では

ワールドマスターズゲームズ2027関西の京都エリアのボランティアは、京都府と京都市の実行委員会が合同で募集し、ボランティアセンターを運営しています。この件の問い合わせは、京都府文化生活部スポーツ振興課(075-414-4251、075-414-4207)です。

京都府生涯現役クリエイティブセンターは、働く人の学び直し(リカレント教育)を支えるため京都府が京都経済センター3階(京都市下京区)に設けた拠点です。受講生などの問い合わせは、センター(075-741-8600)で受け付けています。

たとえば、仕事のかたわら京都でセンターの講座を受け、大会のボランティアにも応募した人なら、両方の事務局を名乗るメールが届くかもしれません。どちらも、届いたメールではなく、府やセンターの公式のページと電話で確かめるのが確実です。

事務局を名乗るメールが来ても、リンクは押さんと電話で確かめてな。