ヌーラボ（Backlog）、ブラストメール不正アクセスで情報流出の可能性｜第二報で「現時点で対象外」

「Backlog」や「Cacoo」を提供するヌーラボは10月22日、メール配信に使っていた外部サービス「ブラストメール」が不正アクセスを受けたことに伴い、利用者のメールアドレスなどが流出した可能性があると発表しました。翌23日の第二報では、運営元から「現時点の調査では、ヌーラボが登録した情報は流出の対象に含まれていない」との報告を受けたと公表しています。

Backlogなどのヌーラボのサービス自体への不正アクセスは確認されておらず、サービスはそのまま利用できます。この記事では、ヌーラボの第一報・第二報と、ブラストメールを運営するラクスライトクラウドの発表をもとに整理します。

結論：現時点ではヌーラボ分の流出は「対象外」
流出した可能性があるとされた情報
ヌーラボの対応
発端：メール配信サービス「ブラストメール」への不正アクセス
利用者がやるべきこと
公表内容から読み取れること（考察）
関連記事
まとめ
出典

結論：現時点ではヌーラボ分の流出は「対象外」

項目	第一報（10月22日）	第二報（10月23日）
ヌーラボが登録した情報の流出	可能性あり。有無・範囲・件数は確認中	現時点の調査では流出の対象に含まれていない
ヌーラボのサービスへの不正アクセス	確認されていない	（変更なし）
パスワード・カード情報	対象外	（変更なし）
今後	判明次第、公式サイトで案内	ラクスライトクラウドが第三者機関の調査中。その結果を受けて改めて案内

第二報の「対象外」は、あくまで「現時点の調査」での報告です。第三者機関の調査結果によって変わる可能性は残っています。

流出した可能性があるとされた情報

第一報で対象になりうるとされたのは、ヌーラボがブラストメールに登録していた次の情報です。

ヌーラボのサービスを利用している人のメールアドレス
一部の利用者については、それに付随するスペースID、スペースキー、組織名、お客様番号（オンプレミス版の場合のみ）

スペースIDとスペースキーはログインURLの一部で、これだけではログインできないとしています。パスワードとクレジットカード情報は対象に含まれていません。

ヌーラボの対応

ヌーラボは10月21日にラクスライトクラウドから報告を受け、ブラストメールの利用を停止しました。同サービスを経由したメール配信も止めています。ラクスライトクラウドに流出の有無と範囲の確認を求めるとともに、個人情報保護委員会への報告手続きを進めているとしています。

発端：メール配信サービス「ブラストメール」への不正アクセス

ブラストメールは、ラクス子会社のラクスライトクラウドが提供するメール配信サービスです。同社の発表（10月25日10時更新）によると、10月21日0時30分からサービスを緊急停止しており、再開時期は未定です。

外部の第三者が、同社のAPI用サーバー2台に侵入してコマンドを実行し、そこから販売管理システムとサービスのデータベースに接続してデータを持ち出した
販売管理システムから、ブラストメールの全契約者の情報（会社名、担当者名、電話番号、メールアドレス、請求先メールアドレス、契約と支払いの履歴など）が持ち出された
一部の契約者では、配信先のリストなど配信に関する情報も漏えいし、該当は344件（いずれも個別連絡済み）
侵入経路の詳細は調査中

ヌーラボはブラストメールを利用していた契約者の一社にあたります。ヌーラボの第二報は、ヌーラボが登録していた配信先のリスト（利用者のメールアドレス）が、この344件に含まれていなかったことを指すものとみられます（この点は筆者の推測です）。

利用者がやるべきこと

ヌーラボは、同社やサービスを装った不審なメールが届く可能性があるとして、次の点を呼びかけています。

身に覚えのないメールのリンクや添付ファイルを開かない
ヌーラボがメールでパスワード、ログイン情報、クレジットカード情報の入力を求めることはない
まだ設定していなければ、2段階認証を有効にする

Backlogは業務のプロジェクト管理に使われることが多いサービスです。スペースIDや組織名を含むメールは、社内の正規の通知と見分けにくい場合があります。ログインは、メールのリンクからではなく、ブックマークや自分で入力したURLから行うのが安全です（筆者の考えです）。

公表内容から読み取れること（考察）

ここからは、公式発表をもとにした筆者の考察で、推測を含みます。

今回の件は、自社のシステムが無事でも、メール配信のような外部サービスに預けた情報から流出が起こりうることを示しています。ヌーラボの第一報は、流出が確定する前の段階で、対象になりうる情報の種類まで具体的に示していました。翌日には「対象外」の報告を受けて第二報を出しており、利用者に早く知らせることを優先した対応といえます。

一方で、ブラストメール側では全契約者の情報が持ち出されています。ヌーラボのように契約者として登録していた会社名や担当者の連絡先は、販売管理システム側の情報として流出の対象になっている可能性があります。ヌーラボの発表は、配信先として登録した利用者の情報についてのものです。こうした委託先の事故では、「自社の顧客情報」と「自社の契約情報」の両方を確認する必要があります。

この1か月は、Commune、IDCフロンティア、ショップサーブなど、複数の企業が共通して使う外部サービスが攻撃され、利用企業に影響が広がる事案が続いています。外部サービスに預けるデータを必要な範囲に絞ることが、改めて重要になっています。

2026年9月〜10月の情報漏洩まとめ

まとめ

ヌーラボは、メール配信サービス「ブラストメール」への不正アクセスに伴い、利用者のメールアドレスなどが流出した可能性を公表しました。その後、現時点の調査ではヌーラボが登録した情報は流出の対象に含まれていないとの報告を受けています。Backlogなどのサービスへの不正アクセスはなく、パスワードやカード情報も対象外です。

第三者機関の調査は続いているため、ヌーラボの続報を確認しつつ、ヌーラボを装う不審なメールに注意し、2段階認証を設定しておきましょう。