ラクスル株式会社は2026年11月9日、ネット印刷サービス「ラクスル」のデータ入稿処理に関わるシステムが不正アクセスを受け、印刷データや請求書などに記載された個人情報が外部に流出したおそれがあると発表した。システムの認証情報が不正に取得され、保管データの一部に外部からアクセスできる状態だったことを確認。対象件数は集計中で、名刺やはがきなど印刷物に記載された第三者の情報も含まれ得る。クレジットカード情報とログインID、パスワードは漏えいしていないことを確認したという
印刷所の倉庫の鍵が、知らない誰かの手に渡っていた、という話である。しかも倉庫の中身は注文票だけではない。名刺、はがき、請求書——他人の名前と住所が刷り込まれた「紙の前段階」が、束になって置いてある。注文した覚えのない人まで巻き添えになり得るのが、印刷データという保管物の厄介なところだ。
※個人の感想です
ラクスルは、インターネットで注文を受け付ける印刷通販サービスです。利用者が印刷物のデータを入稿（アップロード）し、同社が印刷して届ける仕組みで、名刺やチラシ、はがきなどを発注する個人や企業が広く使っています。
同社の発表によると、侵害されたのは、そのデータ入稿の処理に関わるシステムです。2026年11月8日0時20分ごろに不正アクセスを把握し、調査を進めたところ、システムの認証情報が第三者に不正に取得され、同社が保管するデータの一部に外部からアクセスできる状態になっていたことが分かりました。同社は、不正に使われた認証情報の無効化、不正アクセスに使われたアカウントの停止、関係するサービスの一時停止といった措置を講じたとしています。認証情報がどのような経緯で取得されたのか、外部から実際にどのデータが取得されたのかは、11月9日の公表時点で調査が続いています。
今回の発表で最も注意が必要なのは、漏えいのおそれの範囲の決め方です。同社は、対象となり得る情報として、入稿された印刷データのほか、請求書や「Web郵便」などのデータに記載された氏名、会社名、住所、電話番号、メールアドレスなどを挙げています。
印刷物の場合、注文した人と、印刷物に名前が載る人は一致しません。企業の担当者が発注した名刺に載る従業員、はがきの宛先に書かれた送付先、請求書に記載された取引先の担当者など、注文手続きに一切関わっていない人の情報が、データの中に含まれ得ます。つまり「ラクスルに会員登録していないから関係ない」とは言い切れない構造です。企業側は、過去に発注した名刺やダイレクトメールなどについて、誰の情報を記載したデータを預けたかを確認する必要があります。
一方で、線引きも公表されています。クレジットカード情報、ログインID、パスワードについては漏えいしていないことを確認した、と同社は明記しています。ここでいう「不正に取得された認証情報」は同社のシステム側のもので、利用者のログインIDやパスワードが漏れたという発表ではありません。また、現時点で本件に関連する個人情報の不正利用などの二次被害は確認されていない、としています。
同社は安全確認のため、2026年11月8日からデータ入稿を伴う一部サービスを停止しました。11月9日7時より順次再開していますが、発表時点で次の4サービスは停止が続いています。
停止の影響により、データチェックや出荷に通常より時間がかかる場合があるとし、届け予定は注文ごとに案内するとしています。原因と影響範囲の調査は継続中で、個人情報保護委員会へ報告する予定であり、進捗に応じて同社Webサイトで続報を出すとしています。
なお、ラクスルは2026年10月16日にも、外部のWeb制作サービス「Studio」への不正アクセスの影響で、フォーム送信情報6,412件に漏えいの可能性があると公表しています。ただし当時、同社は印刷通販サイト「ラクスル」の会員情報・注文情報・支払い情報は対象外と説明しており、今回の事案は印刷データの入稿処理システムが対象で、環境も情報の種類も異なります。2つの事案が同じ攻撃者によるものだという発表はありません。
同社は、ラクスルや関係事業者を装った不審なメール、SMS、電話への注意を呼びかけています。同社がメールやSMSでパスワードやクレジットカード番号の入力を求めることはない、と明言しています。実務上は、次の点が確認の軸になります。
IT Postでは、この件の本質は「印刷データは、注文情報ではなく、他人の個人情報の保管庫だった」という点だと考えます。名刺1枚のデータには、本人の氏名、所属、連絡先がそのまま入っている。はがきの宛先データは、送り先の一覧そのものです。入稿データは印刷が終われば役目を終えたように見えますが、保管されている限り、中身は個人情報の束のままです。
もう1つは、件数がまだ出ていない段階での公表のされ方です。同社は「集計中」「調査中」を隠さず、漏えいしていないことを確認した項目（カード情報、ログインID、パスワード）を先に切り分けて示した。対象が確定してから出すより、切り分けを先に出すほうが、利用者は「自分は何を心配し、何を心配しなくてよいか」を判断できます。IT Postでは、件数の確定を待たずにこの切り分けを公表した点は、初動として評価できると考えます。ただし、対象件数と対象期間の開始時点が出る続報が、この件の重さを最終的に決めます。
今後の確認点は、対象件数と対象期間の開始時点、認証情報が取得された経緯、実際に外部へ取得されたデータの範囲、そして停止中の4サービスの再開時期です。対象期間が長くさかのぼる場合、過去の発注分まで確認範囲が広がります。
IT Postでは、新しい公式情報が確認できれば、本記事を更新します。
「一次情報」は資料の出所を示す区分で、編集部による独立した実測や、すべての主張の実証を示すものではありません。確認の範囲や未確認の点は、本文の説明と併せてご覧ください。
NTTドコモは2026年11月9日の第四報で、My docomoの手続きを同日午後3時頃から順次再開したと発表。流出は最大29万4,839回線分で、対象者全員に本人確認書類の番号が含まれる。あんしんセキュリティの変更・解約やd払いの停止解除など一部の手続きと、ドコモオンラインショップは緊急メンテナンスが続く。再開範囲と残る停止を整理する
8月28日に不正アクセスを確認、9月1日公表。役職員など最大1万9000件、社外関係者最大3万6000件の計5万5000件に漏えいの可能性。狙われたのは資格情報で、なりすましメールへの警戒が要る
三井住友海上火災保険は2026年11月9日、中堅・中小企業向け情報提供サイト「MSコンパス」への不正アクセスにより、顧客情報約2万3,000件が漏えいしたと発表した。対象は会員登録者、同社主催セミナーの申込者（対象期間は2023年11月から2026年11月）、問い合わせフォーム利用者で、法人名、法人番号、役職、氏名、メールアドレス、電話番号、売上高、従業員数などが含まれる。同社は11月3日に一部システムのアクセスを制御し、11月6日にサイト全体を一時閉鎖した。クレジットカード情報と口座情報は含まれていない
三井住友海上火災保険は2026年11月9日、自動車保険のロードサービス業務などを委託するプレステージ・コアソリューション（PCS）への不正アクセスにより、一部の自動車保険の顧客情報約22万8,000件が漏えいしたと発表した。対象は氏名、住所、電話番号に加え、車両情報（登録番号、車台番号等）と事故・故障の受付に関する情報。クレジットカード情報と口座情報は含まれず、現時点で不正使用は確認されていない。PCSは10月29日に不正アクセスを検知し、三井住友海上は11月4日に報告を受けた
株式会社ニトリホールディングスは2026年11月9日、同社が管理するシステムへの不正アクセスで、個人会員・購入者・法人会員の情報やECモールの注文データ最大3,762万件が流出した可能性があると発表。11月6日に判明し、10月中旬〜下旬のアクセスの可能性も確認。対象と対応を整理する
株式会社ラフールは2026年11月9日、組織サーベイ「ラフールサーベイ」の旧システムへの不正アクセスで、利用企業182社の従業員2万4,232名分の情報が第三者に取得されたと発表。原因はプログラムに直接書き込まれたアクセスキーで、2019年に開発委託先の開発者がテスト用イメージを公開していた。対象と経緯を整理する
Bing検索からのクリック数にもとづく（集計期間: 2026年9月26日〜2026年10月23日）
