ラクスルの入稿システムに不正アクセス｜印刷物に記載した個人情報にも漏えいのおそれ

11月12日更新：ラクスルの第2報に基づき対象範囲・期間と再開状況を更新しました。不正取得された認証情報でクラウドデータへアクセスできた期間は11月7日3時頃〜11月8日1時頃で、同時刻頃に無効化したと説明されています。

ラクスルは2026年11月9日、印刷サービスのデータ入稿処理に関わるシステムへの不正アクセスを公表しました。保管していた印刷データなどに含まれる個人情報が流出したおそれがあります。11月12日の第2報では、対象は2025年3月から2026年11月8日までにラクスル Adobe Express連携で入稿された印刷データで、読み取られた可能性があるのは最大249ファイルと具体化されました。ファイル数は人数や個人情報の件数ではありません。

利用企業の担当者は、入稿したデータの内容と注文ごとの納品案内を確認してください。印刷データに関する漏えいのおそれと、サービス停止による納期への影響を分けて把握する必要があります。本稿は11月12日に確認したラクスルの公式発表に基づく整理で、新たに漏えいが確定したとする報道ではありません。

発覚は11月8日で公表は翌日

同社が事象を把握したのは11月8日0時20分ごろです。システムの認証情報が不正に取得され、保管データの一部へ外部からアクセスできる状態にあったことを確認しています。認証情報を取得された具体的な経路は公表資料からは確定できません。

確認後は、不正に使われた認証情報の無効化、攻撃に使われたアカウントの停止、関係サービスの一時停止などを実施しました。11月8日は発覚日、11月9日は公表日です。これらを攻撃開始日とみなしたり、侵入が一日で終わったと推測したりしないようにします。

対象は会員情報に限らず印刷物の中身

第1報では印刷データ、請求書、Web郵便などを調査対象としていましたが、第2報で漏えいのおそれが示されたのは、ラクスル Adobe Express連携で入稿された印刷データ内の氏名、会社名、住所、電話番号、メールアドレスなどです。印刷物には注文者以外の情報が入る場合があるため、会員登録の有無だけで対象外とは判断できません。

たとえば担当者が名刺制作を一括発注した場合、注文履歴を把握する人と、名刺に情報を記載された人は異なります。これは対象を理解するための仮想例であり、そのような注文で実際に漏えいが確認されたとする説明ではありません。

第2報の最大249ファイルは、ストレージの読み取り統計から通常処理と確認できた分を除いた上限です。249ファイルの流出が確定したという意味ではありません。同社サイト上でAdobe Expressを利用していない顧客、ダイレクトメール発送用の宛名リストは対象外とされています。

一方、同社はクレジットカード情報、ログインID、パスワードについては漏えいしていないことを確認したと説明しています。システム側の認証情報が不正取得されたことと、利用者のログイン情報が漏えいしたかどうかは別の事実です。

順次再開と残る停止サービスを区別

同社は11月8日から入稿を伴う一部サービスを停止し、11月9日7時から順次再開したと案内しています。第2報によると、ラクスル パッケージは11月10日12時、デザイン制作依頼サービスは11月11日12時に再開しました。Adobe Express連携とカタログサイトは安全確認後の再開予定です。

一部が再開したことを、全サービスの復旧や情報流出調査の完了と同じ意味にしないでください。発表ではデータチェックや出荷に通常より時間がかかる場合があり、お届け予定は注文ごとに案内するとしています。個別の注文が遅れるか、いつ届くかを本稿から判断することはできません。

本サイトの提案として、イベントや販促など利用日が決まっている案件では、注文番号、入稿日、必要な納品日、受け取った案内を社内で対応づけてください。代替手配が必要かは個別案内を確認して判断し、注文の重複や不要な再入稿を避けるためにも、まず現在の受付状況を確認することが有用です。

不審な再手続き要求に注意

公式発表時点で、本件に関連する個人情報の不正利用などの二次被害は確認されていません。同社は、それでもラクスルや関係事業者を装うメール、SMS、電話に注意するよう求めています。

利用者自身の手続きによらず、同社からメールやSMSでパスワードやクレジットカード番号の入力を求めることはないとしています。不審な連絡にあるURLへアクセスせず、認証情報を入力しないことが公式の注意事項です。

本サイトの提案として、入稿や出荷の遅延を理由に再決済やアカウント確認を急がせる連絡も、そのメッセージ内だけで判断せず、普段使う公式サイトや注文の案内から確認してください。今回そのような詐欺が発生したと確認したものではありません。

発注側が整理しておく情報

Web制作会社や企業の販促担当者にとって、今回の特徴は外部サービスへ渡した制作物の中に第三者の個人情報が含まれ得る点です。本サイトは、入稿したファイルと記載情報、発注元、注文履歴を確認できる範囲で整理することを提案します。

この確認は流出を自社で証明する作業ではなく、対象範囲が明らかになった際の照合に備えるものです。未確定の段階で全社員や全顧客の情報が流出したと通知するのではなく、確認済みの事実と調査中の範囲を分けて、必要な担当部門へ共有します。

同社は原因と影響範囲の調査を継続し、進捗に応じてWebサイトで続報を知らせるとしています。問い合わせは公式発表に掲載されたフォームで「個人情報保護相談窓口」を選ぶ案内です。対象データに関する相談と注文の納期確認では用件を整理し、必要以上の個人情報を不審な連絡先へ送らないようにしてください。