ラクスル6,412件の情報漏えいの可能性、氏名・電話番号・メールアドレス・相談内容で何をされるのかまとめました

ネット印刷の「ラクスル」を運営するラクスル株式会社は、2026年10月16日に、Web制作ツール「Studio」への不正アクセスに関連して、各種サービス案内用サイトのフォームに入力された情報6,412件が外部に漏えいした可能性があると公表しました。漏れた可能性があるのは、氏名・所属先組織・電話番号・メールアドレス、そしてフォームに入力された相談内容や予算などです。

一方で、同社は印刷通販サイト「ラクスル」の会員情報・注文情報・支払い情報は対象外だとしています。ただ、「漏えいの可能性」という段階なので、「対象外だから安心」とは言い切れません。この記事では、①漏れた情報で何をされるのか、②このサービスで認証が使われる場所はどこか、③会社がまず見直すとよい所、の3つにお答えします。

何が起きたか

Studioの公表文によると、同社は10月14日午前2時30分ごろに全ユーザーを一括ログアウトさせ、10月17日には暗号化に使う鍵を新しいものに切り替えました［2］。暗号化して保存していた情報も、復号に使う鍵が読み出されたため、内容を知られた可能性があるとしています［2］。

今回の件で気をつけたいのは、対象がフォームに入力された送信内容だという点です。会員情報は対象外とされていますが、資料請求やセミナー申込み、見積もりの相談などでフォームに入力した人は、会員登録の有無にかかわらず、その情報が対象に含まれうると考えてください。「会員ではないから関係ない」とは言い切れません。

同社の公表文では、影響範囲の確認を続けること、対象者へ個別に連絡すること、Studio社からの情報収集を続けること、新しい事実が分かれば随時更新することが書かれています［1］。公表の段階が変われば、この記事も直す必要があります。

漏れた情報で何ができてしまうか

これは一般論です。フォームの相談内容を見た人が、どの程度具体的に悪用するかは分かりません。ただ、相談内容と予算まで知られると、普通の業務連絡との区別がつきにくくなります。

特に、氏名と所属先と相談内容がそろうと、「先日ご相談いただいた件です」と話を続けられてしまいます。受け手は相手が本当に問い合わせ先かどうかを判断しにくくなります。電話番号とメールアドレスが一緒に出た場合は、同じ相手から別の経路で連絡が来ることも考えられます。どれも、今の時点では確認された被害ではなく、起こりうることとして考えてください。

このサービスで認証が使われる場所

Studioの公表文では、APIキーやトークン、パスワード保護ページのパスワードなども対象に含めて注意を呼びかけています［2］。同じ公表文は、流出の可能性がある情報として、Googleスプレッドシート連携の認証情報、Webhook通知のURL、ライブプレビューのURL、カスタムプロキシのプロキシキーなども挙げています［2］。これらは外部サービスとの連携で使われる「鍵」や「URL」です。この記事の対象はラクスルですが、Studioを使って作られたサイトの運営者は、同じ注意が必要です。

利用者がやるとよいこと

1. 差出人が知らない会社やサービスの名前で、相談への返信を求めるメールは、リンクを押さず、公式サイトの連絡先から確かめる。
2. 電話で「先日のお問い合わせの件で」と言われても、その場で手続きや支払いの話に応じず、折り返す番号を公式サイトで確かめる。
3. 同じパスワードを他のサービスでも使っている場合は、変更する。Studioの公表文も、同じパスワードを他のサービスで使っている場合は、そちらも変更するよう求めています［2］。
4. ラクスルのアカウントを持っている場合は、同じパスワードを使い回していないかを確かめる。2段階認証が使えるかどうかは、公式サイトの案内で確かめる。
5. 不審なメールのURLにアクセスしたり、パスワードなどの認証情報を入力したりしない。同社も、当社や関係事業者を装った不審なメールや電話に注意するよう呼びかけています［1］。Studioからのメールに認証情報の入力を求めるリンクはないとされています［2］。

同社は、対象者への個別連絡、影響範囲の確認を続けること、新しい事実が分かれば随時更新することを公表しています［1］。自分が対象かどうかは、届いた個別の連絡で確かめてください。

会社がまず見直すとよい所

1. 外部のクラウドツールに、フォームの送信内容を保存していないか。保存しているなら、どのツールに何が残っているかを一覧にする。連携先のAPIキーやWebhookの通知先URLも、その一覧に入れておく。
2. そのツールの管理者アカウントに、2段階認証やパスキーがあるか。今回の公表文には、認証の強化についての記載はありません［1］。管理画面にログインできる人を絞り、その人たちが認証を確かめられる状態にしておくことが、まず確かめたい点です。
3. ツールから届く通知や連携のAPIキーを、いつ誰が発行したか分かる状態にしておく。Studioの公表文は、APIキーや連携の見直しを利用者に求めています［2］。
4. フォームの通知先メールアドレスを、担当者個人ではなく共有の受信箱にしているかを確かめる。退職や異動のあとも、通知が一人のアカウントに残っていると、そこから情報が漏れるおそれがあります。
5. 問い合わせへの返信を、社内で誰が、どの経路で行うかを決めておく。「本物の問い合わせ者への返信」と「なりすましの連絡」を、社内で区別できるようにしておくと、利用者からの問い合わせにも速く答えられます。

認証の観点から

当社Infront Securityの電話番号認証は、利用者がワンタップで指定の番号に発信し、その発信者番号と端末の情報をサーバー側で照合して本人を確かめます。電話番号を知っていても、その回線から発信できなければ認証は通りません。偽サイトは利用者の電話回線を持っていないため、フィッシングに耐性のある方式です。

フォームに入力された電話番号やメールアドレスは、今回のように外に出る可能性があります。だからこそ、入力された情報だけで本人だと判断しない仕組みが要ります。

今回の件で確認できなかった点も残っています。ラクスルの2段階認証の設定方法、Studioの管理画面の認証方式、会社ごとにフォームの情報がどう扱われているかは、各社の公式窓口で確かめる必要があります。

お問い合わせはこちら