要点
- ネット印刷のラクスルで、第三者が不正アクセスし、入稿された印刷データなどの個人情報が漏れたおそれがある。
- 名刺やはがきに載っている人など、注文者ではない第三者の情報も含まれうる。
- 対象の件数は集計中で、いつからの情報が対象かも調査中だ。
何が起きたか
ラクスルは2026年11月9日、個人情報の漏えいのおそれについて発表した。同社の発表によると、不正アクセスに気づいたのは11月8日の0時20分ごろ。対象は、データ入稿の処理に関わるシステムだ。
発表では、まず同社システムの認証情報（システムに入るための鍵のようなもの）が不正に取得されたという。その結果、保管しているデータの一部が、外から見られる状態になっていた。
漏れたおそれがあるのは、次の種類のデータに含まれる情報だ。
- 印刷データ（名刺、はがきなどの入稿データ）
- 請求書
- Web郵便のデータ
中身としては、氏名、会社名、住所、電話番号、メールアドレスなどが挙げられている。
一方、ラクスルによると、クレジットカード情報、ログインID、パスワードは漏れていないと確認した。9日時点では、この件による二次被害（情報の悪用など）も確認されていないという。
ここで重要なのは、注文した本人の情報とは限らない点だ。名刺なら、そこに印刷された社員の名前や連絡先が入稿データに含まれる。はがきなら、宛名の相手の住所や名前が入る場合がある。ラクスルも、注文者以外の人の情報が含まれる場合があると認めている。つまり、ラクスルを使ったことがない人の情報も対象になりうる。
対応として、ラクスルは不正に使われた認証情報を無効にし、侵入に使われたアカウントを止めた。あわせて、入稿を伴う一部のサービスを8日から止めた。9日7時から順次再開したが、次の4つは9日時点でも止まっている。
- ラクスル パッケージ
- ラクスル Adobe Express連携
- デザイン制作依頼サービス
- カタログサイト
ラクスルは、個人情報保護委員会（個人情報の扱いを監督する国の機関）に報告する予定としている。
侵入の経路や、攻撃者がどれだけのデータを実際に持ち出したかは、発表では明らかになっていない。
日本の利用者への影響
ラクスルは日本の印刷通販で、企業も個人も名刺やチラシ、はがきの注文に使っている。影響を受けるのは日本の利用者だ。件数は集計中で、現時点では規模は分からない。
対象期間は「調査中から2026年11月8日まで」とされ、過去に注文した人も含まれうる。サービス停止の影響で、データチェックや出荷に通常より時間がかかる場合もある。お届け予定は注文ごとに案内されるという。
今すぐやること
- 自分や自社がラクスルで、名刺・はがき・チラシなどを注文したか確かめる。過去の注文履歴も見る。
- 入稿データに他人の情報（社員、取引先、宛名の相手）が入っていたか確認する。入っていた場合、社内の担当部署や、相手への連絡が必要か考える。
- ラクスルの続報を、同社サイトで定期的に見る。対象かどうかの通知が来たら、内容に従う。
- ラクスルや関係する事業者の名をかたる、不審なメール・SMS・電話に気をつける。ラクスルは、メールやSMSでパスワードやカード番号の入力を頼むことはないと案内している。怪しい連絡に付いたURLは開かず、認証情報も入力しない。
- 不安があれば、ラクスルの問い合わせフォームで「個人情報保護相談窓口」を選んで連絡する。混み合って返事が遅れる場合がある。
背景
印刷通販は、顧客が作った原稿をそのまま預かる。名刺や封筒、はがきは、もともと個人名や住所が載るものだ。そのため、サービスの利用者でない人の情報が、データに入りやすい。
ラクスルでは過去にも似た件があった。2022年2月には、ラクスル事業の印刷パートナー企業で不正アクセスがあり、個人情報が流出した可能性が報じられている。今回は、ラクスル自身のシステムの認証情報が取られたと、同社は説明している。
技術者向けの詳細
- 発覚: 2026年11月8日 0:20ごろ（日本時間とみられる）
- 対象: データ入稿の処理に関わるシステム
- 原因（ラクスルの説明）: システムの認証情報の不正取得。保管データの一部に外部からアクセスできる状態があった
- 対象情報: 印刷データ、請求書、Web郵便データ内の氏名・会社名・住所・電話番号・メールアドレス等
- 漏えいなしと確認: クレジットカード情報、ログインID、パスワード
- 対応: 認証情報の無効化、侵入に使われたアカウントの停止、関係サービスの一時停止
- 停止継続（9日時点）: ラクスル パッケージ、ラクスル Adobe Express連携、デザイン制作依頼、カタログサイト
- 侵入経路、持ち出しの有無と量、件数は未公表（調査中）
- 続報はラクスルの Web サイトで公表される予定
