環境省のメルマガ6種類、配信サービスへの不正アクセスで登録者情報が漏えいの可能性

2026/10/25 情報収集中重大公共・非営利 #不正アクセス #サプライチェーン

項目	内容
公表日	2026年10月23日（環境省）
対象組織	環境省（環境省が関わるメールマガジン6種類）
委託先	メール配信サービス「ブラストメール」（株式会社ラクスライトクラウド）
漏えいのおそれ件数	最大約2万2,000件（報道による。環境省の発表文に件数の記載はなし）
攻撃手法	配信サービスへの不正アクセス（侵入経路は調査中）
情報源	環境省報道発表（2026年10月23日） / ブラストメールお知らせ / 時事ドットコム / NHK

概要

環境省は2026年10月23日、同省が関わるメールマガジンの配信先情報が漏えいした可能性があると公表しました。配信に使っていたサービス「ブラストメール」が、第三者の不正アクセスを受けたためです。

対象のメールマガジンは6種類です。時事通信とNHKによると、対象の登録者情報は最大約2万2,000件です。

環境省は、現時点で漏えいは確認されていないと説明しています。漏えいの有無は、提供事業者の調査を踏まえて確認するとしています。時事通信によると、個人情報の不正利用も確認されていません。

漏えいした可能性がある項目は、メールマガジンごとに異なります。

メールマガジン	漏えいの可能性がある項目
地球環境パートナーシッププラザ（GEOC）	メールアドレス・属性
地域循環共生圏	メールアドレス・氏名・属性
東北環境パートナーシップオフィス（EPO東北）	メールアドレス
福島環境再生プラザ	メールアドレス
関東ESDセンター	メールアドレス・属性
きんき環境館	メールアドレス・氏名・所属・都道府県市区町村・備考（登録動機）

経緯

2026年10月21日0時30分: 提供事業者が、配信サービスの管理画面とAPIを停止
同日1時ごろ: メールの配信も停止
2026年10月23日: 環境省が公表。6種類とも配信・管理作業ができない状態で、再開時期は未定
2026年10月24日: 提供事業者が続報を公表。調査は継続中

提供事業者の発表では、外部の第三者がAPI用のサーバー2台に侵入しました。そこから販売管理システムとサービスのデータベースに接続し、データを持ち出したとしています。

全契約者の契約者情報が持ち出され、一部の契約者では配信先リストも漏えいしました。契約者情報の項目は、会社名・担当者名・電話番号・メールアドレス・請求先メールアドレス・契約と支払いの履歴などです。配信先リストなどの漏えいを確認した契約者は344件で、提供事業者は全件に個別に連絡したとしています。侵入経路の詳細は調査中です。

環境省のメールマガジンが、この344件に含まれるかは公表されていません。

対策

本件の侵入経路は公表されていないため、以下は外部の配信サービスを使う組織に共通する対策です。

本件では、同じ配信サービスでも、メールマガジンごとに預けていた項目が異なりました。メールアドレスだけのものもあれば、氏名・所属・登録動機まで預けていたものもあります。

配信サービスに登録する項目は、配信に必要なメールアドレスを基本にします。氏名や登録動機などの管理用の情報は、自組織の側で持ちます。委託先が不正アクセスを受けても、漏えいの対象をメールアドレスにとどめられます。

ヤグラの視点 — 委託先を装う連絡から、運営担当者を守る

本件で持ち出されたのは、登録者の情報だけではありません。全契約者の担当者名とメールアドレスも含まれ、メールマガジンを運営する側も偽の連絡の宛先になると考えられます。しかも配信の停止が続き、運営担当者は委託先からの再開の連絡を待っています。「再開のお知らせ」「再ログインのお願い」を装う連絡は、この時期ほど疑われにくいと考えられます。

そこで、委託先からの連絡はメールのリンクから開かず、ブックマークした管理画面か公式のお知らせで確かめると決めておきます。不審な連絡は1か所に報告し、同じ連絡がほかの担当者にも届いていないかを確かめます。委託先の被害の後に偽の連絡が届いた例は、委託先でつないだまとめ記事の手間いらずの件にもあります。報告されたメールの配信先を洗い出す仕組みは、その確認を速める道具の一つです。（→ PhishAI）

今後の対応

環境省の配信先リストが、漏えいを確認した契約に含まれるか
侵入経路と、不正アクセスの期間
環境省やブラストメールを名乗る不審なメールの発生有無
メールマガジン配信の再開時期

判明次第、本記事に追記します。

更新履歴

日時	内容
2026-10-25	第一報を公開