株式会社ヌーラボは、2026年10月22日、お客様へのメール配信に利用している外部サービス「ブラストメール」（運営：株式会社ラクスライトクラウド）への不正アクセスにより、同社が登録しているお客様の情報が流出した可能性があると第一報で発表しました。対象になりうる情報として、メールアドレスのほか、一部ではスペースID・スペースキー、組織名、お客様番号（オンプレミスの場合のみ）を挙げています。翌23日の第二報では、ラクスライトクラウドからの報告として、現時点の調査では、ヌーラボが同サービスに登録しているお客様の情報は流出の対象に含まれていないと案内しています。第三者機関による調査は続いており、結果を受けて改めてお知らせするとしています。
この記事の要点
- ヌーラボが利用する外部メール配信「ブラストメール」で不正アクセスがあり、一部契約者の配信先リストが持ち出されたと運営から報告を受けた（第一報・10月22日）。
- 第一報時点では、ヌーラボ登録の顧客情報が対象に含まれるかは確認中。対象になりうるのはメールアドレスなど。パスワードやクレジットカードは対象外。Backlogなど本体への不正アクセスは確認されていない。
- 第二報（10月23日）では、現時点の調査でヌーラボ登録の顧客情報は流出対象に含まれていないとの報告を受けたと案内。第三者調査は継続中。
- ヌーラボはブラストメールの利用を停止。なりすましメールへの注意と、2段階認証の有効化を呼びかけている。
- 現時点ではヌーラボ顧客の流出は対象外とされているが、不審メールには注意する。
目次
何が起きたか
| 項目 | 内容 |
|---|---|
| 第一報 | 2026年10月22日。ブラストメールへの不正アクセスで、ヌーラボ登録の顧客情報が流出対象に含まれる可能性を案内（確認中） |
| 第二報 | 2026年10月23日。現時点の調査では、ヌーラボ登録の顧客情報は流出対象に含まれていないとの報告を受けた |
| 対象になりうる情報（第一報） | メールアドレス。一部はスペースID・スペースキー、組織名、お客様番号（オンプレミスのみ）。スペースID／キーだけではログイン不可 |
| 対象外とされるもの | パスワード、クレジットカード情報。Backlog／Cacoo／Nulab Flowbase／Nulab Passへの不正アクセスは確認されていない |
| サービスへの影響 | ヌーラボの各サービスはふだんどおり利用できるとしている。ブラストメール経由の配信は停止 |
| 運営側の状況 | ブラストメール運営（ラクスライトクラウド）側でも不正アクセスと情報持ち出しを確認。サービスは10月21日0時30分から停止中（ラクスのお知らせ） |
利用者がすること
| 対象 | すること |
|---|---|
| ヌーラボサービスを使っている人 | 現時点では顧客情報は流出対象外と案内されている。サービス自体はふだんどおり使える。公式の続報を確認する |
| 不審なメールへの注意 | ヌーラボやサービスを装ったメールが来る可能性がある。身に覚えのないリンクや添付を開かない。メールでパスワードやカード情報の入力を求められても応じない |
| アカウントの保護 | まだなら2段階認証を有効にする（ヌーラボが推奨） |
| 情報の確認 | 第一報・第二報と、ヌーラボのお知らせ一覧で続報を確かめる |
関連記事
- ロリポップ！、新規申し込みやWordPress簡単引っ越し・WebDAVを一時停止 サイバー攻撃を踏まえた予防措置
- JPCERT、AIペネトレーションテストツールの悪用を確認 不正アクセス注意喚起を更新
- AIエージェントのセキュリティ、1Password新機能 パスワードを見せずログイン
- PHPに重大な脆弱性、修正版を公開 WordPressなどのサイト運営者がすること
