「Backlogに登録している自分のメールアドレスは漏れた？」「パスワードは変えたほうがいい？」と気になっている方に向けて、公式発表に書かれていることだけを整理しました。内容は、株式会社ヌーラボが2026年10月22日に公表した第一報と、10月23日に公表した第二報（調査結果）、メール配信サービス「ブラストメール」の提供元の発表の原文を、2026年10月24日に確認したものです。公式発表に書かれていないことは「公式発表に記載なし」と明記しています。
【結論】ヌーラボは2026年10月23日の第二報で、ブラストメールの運営会社から「現時点の調査では、当社が同サービスに登録しているお客様の情報流出が対象に含まれていない旨の報告を受けました」と公表しました。
- 10月22日の第一報で流出した可能性があるとされた情報は、ヌーラボのサービスを利用している人のメールアドレスと、一部の人のスペースID・スペースキー・組織名・お客様番号（オンプレミスの場合のみ）。第一報の時点では、対象に含まれるかは「現在確認中」だった
- パスワードとクレジットカード情報は対象外。Backlog・Cacoo・Nulab Flowbase・Nulab Passなどヌーラボのサービスへの不正アクセスは確認されておらず、サービスの利用にも影響はない（第一報）
- 第三者機関による調査が続いていて、ヌーラボはその結果を受けて改めて知らせるとしている。ヌーラボを装った不審なメールのリンクや添付ファイルは開かない（第一報のお願い）
📋 2026年 国内の情報漏えい・サイバー攻撃 一覧（毎日更新）
公式発表のあった事案を299件掲載。自分が対象かどうかは、各事案の「自分は対象？」の記事で確認できます。
直近の公表:
自分は対象？公式発表でわかること早見表
今回の件は、Backlogなどヌーラボのサービスそのものへの不正アクセスではありません。ヌーラボがメール配信に使っていた外部サービス「ブラストメール」（運営：株式会社ラクスライトクラウド）で第三者による不正アクセスが起き、「一部の契約者の配信先リストが外部に持ち出された」との報告を受けた、という件です（第一報）。
| 知りたいこと | 公式発表に書かれていること |
|---|---|
| ヌーラボの利用者の情報は含まれる？ | 第二報：運営会社から「現時点の調査では、当社が同サービスに登録しているお客様の情報流出が対象に含まれていない旨の報告」を受けた。第三者機関による調査は継続中 |
| 対象となり得た情報（第一報） | ヌーラボのサービスを利用している人のメールアドレス／一部の人はスペースID、スペースキー、組織名、お客様番号（オンプレミスの場合のみ） |
| 対象外の情報 | パスワード、クレジットカード情報（第一報） |
| Backlogなどのサービス | Backlog、Cacoo、Nulab Flowbase、Nulab Passをはじめとするサービスへの不正アクセスは確認されていない。サービスの利用に影響はない（第一報） |
| ブラストメール経由のメール | ヌーラボはブラストメールの利用を停止し、同サービスを経由したメール配信を止めている（第一報） |
| 自分が対象かを調べるページ | 公式発表に記載なし（第一報は「お客様ごとの対象の有無については、現時点ではお答えできません」） |
| 問い合わせ先 | ヌーラボの公式サイトの「お問い合わせ窓口」（受付時間：平日9時〜18時） |
お知らせは、ヌーラボ「外部メール配信サービスへの不正アクセスに伴う、お客様情報の流出の可能性について（第一報）」と、同「外部メール配信サービスへの不正アクセスに伴う、お客様情報の流出の可能性に関する調査結果について（第二報）」として、ヌーラボの公式サイトのお知らせに掲載されています。
第一報と第二報で変わったこと
第一報は「なりすましメールへの注意喚起を優先し、確認を待たずに現時点で判明している内容をお知らせします」として、確認の途中で出されたものです。
| 項目 | 第一報（10月22日） | 第二報（10月23日） |
|---|---|---|
| ヌーラボが登録した情報が対象に含まれるか | 「現在確認中」（10月22日16時現在、運営会社に確認中） | 運営会社から、現時点の調査では対象に含まれていない旨の報告を受けた |
| 流出の有無・範囲・件数 | 「現在確認中」 | 件数や範囲の記載なし |
| 今後の調査 | 運営会社に流出の有無と対象範囲の確認を求めている | 運営会社が第三者機関による調査を進めており、その結果を受けて改めて知らせる |
| 利用者へのお願い | 不審なメールのリンク・添付ファイルを開かない、2段階認証の有効化をすすめる、など | 記載なし（第一報のお願いを取り消す記載もない） |
第二報は「現時点の調査では」という条件つきで、第三者機関の調査は続いています。結果によって内容が変わる可能性もあるため、続報はヌーラボの公式サイトで確かめてください。
流出した可能性があるとされた情報
第一報の「流出した可能性のある情報」は、「当社がブラストメールに登録している、以下の情報です」として次のように書かれています。
| 区分 | 公式発表どおりの内容 |
|---|---|
| 対象となり得た情報 | ヌーラボサービスを利用しているお客様のメールアドレス |
| 一部の人のみ | 上記に付随するスペースID、スペースキー、組織名、お客様番号（オンプレミスの場合のみ） |
| 含まれない情報 | パスワード、クレジットカード情報 |
| 件数 | 第一報：流出の有無、対象となるお客様の範囲および件数は「現在確認中」／第二報：記載なし |
スペースID・スペースキーだけではログインできない
第一報は「スペースIDおよびスペースキーはログインURLの一部であり、これらの情報だけでログインすることはできません」としています。パスワードは対象に含まれていません。
気をつけること（なりすましメール）
ヌーラボのお願い（第一報のとおり）
第一報の「お客様へのお願い」は次の4つです。第二報にはお願いの再掲はありませんが、取り消す記載もありません。
- 不審なメールに注意する：「当社や当社サービスを装った不審なメールが送られる可能性があります」
- リンクや添付ファイルを開かない：「身に覚えのないメールに記載されたリンクや、添付ファイルを開かないでください」
- パスワードなどの入力を求めるメールは疑う：ヌーラボは、メールでパスワード、ログイン情報、クレジットカード情報の入力をお願いすることはないとしています
- 2段階認証を有効にする：「まだ設定されていない場合は、2段階認証の有効化をおすすめします」
ヌーラボを名乗るメールが届いたら、本文のリンクからログインせず、ブックマークしたBacklogやヌーラボの公式サイトから開いて確かめると安全です。メールの送信元の表示は偽装されることもあります。
2段階認証の設定（ヌーラボのヘルプ）
ヌーラボのヘルプ「2段階認証の設定」によると、2段階認証を有効にすると、メールアドレスとパスワードを入力した後に、追加で認証コードの入力が求められます。認証方法は、認証アプリ、セキュリティキー、SMS、Eメールから選べ、バックアップの認証方法も設定するよう案内されています。
Backlogで使う場合、Backlogヘルプ「2段階認証」は、2段階認証を設定すると「ファイル、Git（HTTPS）、Subversion、RSSを利用する際に、特別なパスワードが必要になります」としています。
公的機関の一般的な注意（ヌーラボの案内ではありません）
IPA（情報処理推進機構）の「企業組織を狙うメールを悪用した攻撃の手口とその対策」は、「メールを悪用した攻撃は、組織の誰もがターゲットとなり得ます。そのため、組織全体に対策を浸透させる必要があります」としています。管理者の方は、チームのメンバーにも不審なメールへの注意を伝えておくと役立ちます。
経緯と公表の履歴
第一報によると、ヌーラボは2026年10月21日、株式会社ラクスライトクラウドから「ブラストメールへの不正アクセスにより、メール配信に関する情報が外部に流出した可能性があるとの報告」を受けました。ヌーラボは配信に必要なメールアドレス等の情報をブラストメールに登録していて、同サービスの利用停止、運営会社への確認の要請、個人情報保護委員会への報告手続きを進めているとしています。
| 日付 | 公表・出来事 |
|---|---|
| 2026年10月21日（水）0時30分 | ブラストメールが緊急停止（ラクスの第1報）。メールの配信は1時頃から停止（ブラストメールのお知らせ） |
| 2026年10月21日（水） | ラクスが第1報・第2報を公表。ヌーラボが、ラクスライトクラウドから、メール配信に関する情報が流出した可能性があるとの報告を受ける |
| 2026年10月22日（木） | ヌーラボが第一報を公表（16時現在、対象に含まれるかを確認中・ブラストメールの利用を停止） |
| 2026年10月23日（金） | ヌーラボが第二報を公表（現時点の調査では対象に含まれていない旨の報告を受けた・第三者機関の調査は継続） |
| 2026年10月24日（土）13時20分 | ブラストメールのお知らせが更新（次回の報告は10月25日10時頃の予定） |
| 2026年10月24日（土）確認時点 | ヌーラボのお知らせ一覧に、第二報より後の続報は掲載なし |
背景：ブラストメールの不正アクセス（提供元の発表）
ブラストメールを提供するラクスライトクラウドの親会社、株式会社ラクスの第2報（2026年10月21日）によると、ブラストメールのすべての契約者の会社名・担当者名・メールアドレスなどが外部に持ち出され、「一部のお客さまについては、配信先リストなど、メール配信に関する情報の漏えいも確認しております」とされています。原因は外部の第三者によるAPI用サーバー2台への侵入で、侵入経路の詳細は調査中です。
ブラストメールのお知らせ（2026年10月24日13時20分更新）は、契約者情報以外の情報漏えいが確認された契約件数を344件、個別の連絡が完了した件数を344件としています（いずれも現時点の数値）。サービス再開の日時は「未定」です。これはブラストメール全体の数字で、ヌーラボの第二報に件数の記載はありません。
同じブラストメールの不正アクセスをきっかけに公表された別の会社の事案は、eポイントモール（東北電力フロンティア）の情報漏えい可能性で、公式発表をもとに整理しています。
公式発表に記載がないこと（2026年10月24日確認）
次のことは、ヌーラボの第一報・第二報に書かれていません。推測では埋めず、記載なしとして扱います。
- ヌーラボがブラストメールに登録していたメールアドレスの件数と、サービス別（Backlog・Cacooなど）の内訳
- 第二報の「現時点の調査」がどのような方法・範囲の調査か
- 第三者機関の調査が終わる時期と、次の報告の予定日
- 自分が対象かを調べる照会ページや、利用者への個別の連絡の有無
- ブラストメール経由で止まっているメールの種類と、配信の再開時期（ブラストメールの利用を再開するかどうか）
- 個人情報保護委員会への報告手続きのその後
- 不審なメールなどの二次被害の有無、補償
- ブラストメールへの侵入経路の詳細（ブラストメール側も「調査中」）
続報の見方
ヌーラボは第二報で「同社は現在、第三者機関による調査を進めており、当社はその結果を受けて改めてお知らせします」としています。第一報・第二報ともヌーラボのお知らせ一覧に掲載されています。「調査結果」をうたうメールが来ても、リンクは開かず、公式サイトのお知らせと照らし合わせてください。
ほかの事案（メールアドレスが対象になった情報漏えい）
メールアドレスが対象になったカプコン（CAPCOM ID）の情報漏えい、メールマガジンの配信を止めたJR九州Web会員のメール漏えい可能性、外部のシステムへの不正アクセスだったフジテレビの不正アクセスも、公式発表をもとに整理しています。そのほかの事案は2026年 国内の情報漏えい・サイバー攻撃 一覧（毎日更新）で確認できます。
よくある質問
ヌーラボの件で、Backlogに登録した自分のメールアドレスは流出しましたか？
A. ヌーラボは2026年10月23日の第二報で、ブラストメールの運営会社から、現時点の調査ではヌーラボが同サービスに登録しているお客様の情報流出が対象に含まれていない旨の報告を受けたと公表しています。第三者機関による調査は続いていて、ヌーラボはその結果を受けて改めて知らせるとしています。
パスワードやクレジットカード情報は流出しましたか？
A. 第一報は、パスワードとクレジットカード情報は本件の対象に含まれないとしています。流出した可能性があるとされたのは、メールアドレスと、一部の人のスペースID、スペースキー、組織名、お客様番号（オンプレミスの場合のみ）です。
スペースIDやスペースキーを知られると、ログインされますか？
A. 第一報は、スペースIDとスペースキーはログインURLの一部で、これらの情報だけでログインすることはできないとしています。ヌーラボは、まだ設定していない場合は2段階認証の有効化をすすめています。
Backlogなどのサービスはこのまま使えますか？
A. 第一報は、Backlog、Cacoo、Nulab Flowbase、Nulab Passをはじめとするヌーラボのサービスへの不正アクセスは確認されておらず、サービスの利用に影響はないとしています。不正アクセスがあったのは、ヌーラボがメール配信に使っていた外部サービスのブラストメールです。
自分が対象かどうか、ヌーラボに問い合わせれば分かりますか？
A. 第一報は、お客様ごとの対象の有無については現時点では答えられないとし、第二報以降で順次案内するとしていました。第二報に個別の照会方法の記載はありません。本件の問い合わせは、ヌーラボの公式サイトのお問い合わせ窓口（平日9時〜18時）で受け付けています。
あわせて読みたい：リンツの情報漏えい、自分は対象？（10/23発表）
あわせて読みたい：同じ10月23日に公表されたモスカードの情報流出
まとめ
- ヌーラボは2026年10月22日の第一報で、メール配信に使う「ブラストメール」への不正アクセスにより、利用者のメールアドレスなどが流出した可能性があると公表した
- 10月23日の第二報では、運営会社から、現時点の調査ではヌーラボが登録している情報は対象に含まれていない旨の報告を受けたと公表。第三者機関の調査は続いている
- 対象となり得たのはメールアドレスと、一部の人のスペースID・スペースキー・組織名・お客様番号（オンプレミスの場合のみ）。パスワードとクレジットカード情報は対象外
- Backlogなどのサービスへの不正アクセスは確認されておらず、利用に影響はない
- ヌーラボを装った不審なメールのリンクや添付ファイルは開かず、2段階認証を設定していなければ有効にしておく
この記事は、2026年10月23日のヌーラボの第二報と、2026年10月24日13時20分更新のブラストメールのお知らせまでの情報（2026年10月24日確認）で書いています。第三者機関の調査結果などで内容が変わる可能性があるため、続報が出た場合はヌーラボの公式のお知らせを優先してください。
📋 2026年 国内の情報漏えい・サイバー攻撃 一覧（毎日更新）
公式発表のあった事案を299件掲載。自分が対象かどうかは、各事案の「自分は対象？」の記事で確認できます。
直近の公表:
出典
- 株式会社ヌーラボ「外部メール配信サービスへの不正アクセスに伴う、お客様情報の流出の可能性について（第一報）」（2026年10月22日・2026年10月24日確認）
- 株式会社ヌーラボ「外部メール配信サービスへの不正アクセスに伴う、お客様情報の流出の可能性に関する調査結果について（第二報）」（2026年10月23日・2026年10月24日確認）／お知らせ一覧
- 株式会社ラクス「【第1報】当社子会社が提供する『ブラストメール』における不審なアクセスの検知およびサービス停止について」／同「【第2報】…不正アクセスによる情報漏えいおよびサービス停止について」（いずれも2026年10月21日）
- 株式会社ラクスライトクラウド「【重要】ブラストメールの緊急停止および個人情報漏えいに関するお詫びとご報告」（2026年10月24日13時20分更新）
- Nulabサポート「2段階認証の設定」／Backlog ヘルプセンター「2段階認証」
- IPA（独立行政法人情報処理推進機構）「企業組織を狙うメールを悪用した攻撃の手口とその対策」（2026年8月3日公開）
コメント