ラクスル不正アクセスで「入稿データ」に漏えいのおそれ｜名刺・DMの外注データを発注側はどう管理するか

はじめに
何が起きたのか
なぜ「身近な外部サービス」が盲点になるのか
発注側として作っておきたい仕組み
社員の名刺データも忘れずに
まとめ
参考

はじめに

2026年11月9日、ネット印刷サービス「ラクスル」を運営するラクスル株式会社が、データ入稿の処理に関わるシステムへの不正アクセスにより、個人情報が漏えいしたおそれがあると公表しました。

この件で注目したいのは、漏えいのおそれがある情報の中身です。会員のIDやパスワードではなく、利用者が印刷のために入稿したデータ、つまり名刺やはがき、チラシに印刷する予定だった内容です。名刺なら自社の社員の情報、DMはがきなら自社の顧客の宛名が入っています。

多くの会社にとって、ネット印刷は「システム」ではなく「備品の発注」に近い感覚で使われているはずです。この記事では、発注側を支援するコンサルタントの立場から、こうした身近な外部サービスに渡しているデータをどう管理するかを考えます。

何が起きたのか

ラクスル株式会社の公表（2026年11月9日）と、それを伝えた報道（ITmedia NEWS、ビジネス＋IT、いずれも同日）をもとに整理します。

発覚：2026年11月8日0時20分頃
対象：「ラクスル」のデータ入稿の処理に関わるシステム
経緯：システムの認証情報が不正に取得され、保管されていたデータの一部に外部からアクセスできる状態になっていた。認証情報が取得された経緯は調査中
漏えいのおそれがある情報：入稿された印刷データや請求書、「Web郵便」などのデータに記載された氏名、会社名、住所、電話番号、メールアドレスなど。名刺やはがきなど、注文者以外の人の情報が含まれる場合がある
漏えいしていないことを確認した情報：クレジットカード情報、ログインID、パスワード
件数・期間：件数は集計中。対象期間は「調査中～2026年11月8日」
対応：不正に使われた認証情報の無効化とアカウントの停止。11月8日からデータ入稿を伴う一部サービスを止め、11月9日7時から順次再開（一部サービスは停止を継続）。個人情報保護委員会へ報告する予定
二次被害：公表時点では確認されていない

公表はあくまで「漏えいのおそれ」であり、実際にどのデータが持ち出されたかは調査中です。件数や期間は今後の続報で変わる可能性があります。

なぜ「身近な外部サービス」が盲点になるのか

このニュースを見て「うちは基幹システムではないから関係ない」と感じた方もいるかもしれません。ただ、支援先の会社で外部サービスの棚卸しをすると、毎回のように同じ構図が見つかります。

1. 情シスの台帳に載っていない

ネット印刷やオンラインのDM発送、名刺作成のサービスは、総務や営業、マーケティングの担当者が会社のカードや請求書払いで直接申し込むことが多いサービスです。金額が小さく、契約書も交わさない（利用規約への同意だけ）ため、情シスが管理する委託先の一覧にはまず載っていません。

2. 「システム」ではなく「消耗品」として見られている

名刺の発注は、事務用品の購入と同じ扱いになりがちです。しかし中身を見ると、社員の氏名・携帯番号・メールアドレスを外部のサーバーに預けています。DMはがきなら、顧客リストそのものを渡しています。扱っているのは個人データなのに、調達の手続きは消耗品の購入と同じ、というずれが生まれます。

3. 渡したデータの「その後」を誰も知らない

入稿したデータが納品後どれくらい保管されるのか、どの条件で削除されるのかを把握している発注担当者は多くありません。便利な「再注文」機能は、裏を返せば過去のデータが残っているということです。今回の公表でも対象期間の始まりは調査中とされており、いつまでさかのぼって影響が出るかは、保管の仕組み次第になります。

発注側として作っておきたい仕組み

ここからが本題です。ニュースで一般的に言われる「パスワードを使い回さない」「不審なメールに注意」は利用者個人としての対策です。発注側の組織として整えておきたいのは、次の5つです。

1. 「個人データを渡している外部サービス」の一覧を作る

まず、契約書の有無や金額に関係なく、「個人データを外に出しているサービス」を洗い出します。進め方の例です。

1. 経理の支払いデータ（カード明細・請求書）から、印刷、郵送、メール配信、フォーム作成、名刺管理などのサービス名を抜き出す

2. 各部門に「顧客や社員の名前・住所・連絡先を入れて使っているサービス」を聞き取る

3. 一覧に、サービス名、利用部門、渡しているデータの種類、アカウントの管理者を書く

完璧な一覧を目指す必要はありません。事故が起きたときに「うちは使っていたか」「何を渡していたか」をその日のうちに答えられる状態が目標です。

2. 小口の利用でも「個人データを渡すなら申請」のルールにする

金額で線を引く調達ルールだと、少額のネットサービスはすり抜けます。そこで判定の基準を「金額」ではなく「渡すデータ」に置きます。顧客リストや社員情報を外部サービスにアップロードする場合は、金額にかかわらず簡単な申請（どのサービスに、何のデータを、何件）を出してもらう形です。

申請といっても、重い審査にする必要はありません。チェック項目は「そのサービスのプライバシーポリシーと保管期間を確認したか」「アカウントは個人ではなく部門で管理しているか」程度で十分です。目的は、情報の出口を把握することにあります。

3. 渡すデータを最小にし、使い終わったら消す

DMの宛名印刷のように顧客リストを渡す場合は、必要な項目だけに絞ったファイルを作ってから入稿します。社内の顧客データベースから全項目を書き出したファイルをそのまま渡すのは避けたいところです。

あわせて、サービス側に削除の機能があれば、納品後に入稿データを削除する手順を業務に組み込みます。削除できない場合や保管期間が分からない場合は、その事実を一覧に書いておきます。「どのくらい残るか分からない」と分かっていること自体が、事故時の判断材料になります。

4. 取引条件の確認を「委託先管理」の流れに乗せる

規約に同意するだけのサービスでも、顧客の宛名を渡して印刷・発送してもらうのであれば、個人データの取扱いを外部に任せていることになります。どこまでを正式な委託先管理の対象にするかは会社ごとの判断ですが、少なくとも利用量の多いサービスについては、規約やセキュリティに関する公開情報を年に一度確認する対象に加えておくと安心です。

条件交渉ができる規模の取引であれば、データの返却・削除や事故時の連絡について書面で取り決めます。この観点は、発注側が押さえておきたいNDAのポイントの記事でも整理しています。

5. 「委託先で事故が起きた日」の初動を決めておく

今回のように委託先が公表したとき、発注側が最初に悩むのは「自社の顧客に何か伝えるべきか」です。その判断を早くするために、次の3点を事前に決めておきます。

誰が集約するか：委託先からの連絡や報道を受け取り、一覧と照合する担当（情シス、総務、個人情報保護の担当など）
何を確認するか：利用の有無、利用期間、入稿したデータの種類と件数、委託先の続報の予定
誰が判断するか：自社の顧客や社員への案内、問い合わせ窓口の設置を決める責任者

委託先の発表は「件数は集計中」「期間は調査中」から始まることがほとんどです。続報を待つ間に、自社側の利用実績を先に固めておけるかどうかで、対応の速さが変わります。

社員の名刺データも忘れずに

見落とされやすいのが、社員の名刺です。名刺の入稿データには、社員の氏名や携帯電話番号、メールアドレスが入っています。今回のように名刺の情報が対象に含まれるおそれがある場合、社員本人への案内や、なりすましメールへの注意喚起も検討が必要です。

顧客情報だけでなく、社員情報も「外部に渡している個人データ」として一覧に含めておくと、こうした場面で抜け漏れが起きにくくなります。

まとめ

ラクスルの件は、会員情報ではなく「利用者が入稿したデータ」に漏えいのおそれが出た事案です。名刺やDMのように、日常の発注の中で外部に渡しているデータは、情シスの管理から外れやすい領域です。

発注側にできるのは、個人データを渡している外部サービスの一覧を持つこと、金額ではなく渡すデータで申請の要否を決めること、渡すデータを絞って使い終わったら消すこと、そして委託先で事故が起きた日の初動を決めておくことです。いずれも大きな予算はかかりません。まずは経理の支払いデータから、印刷・郵送系のサービスを洗い出すところから始めてみてください。

参考

執筆者プロフィール：SIer（元請け）とITコンサルファーム（発注側支援）、両方の立場でプロジェクトに従事（通算9年）。要件定義からベンダーマネジメントまで一貫して対応し、基幹システム刷新・DX推進プロジェクトに多数従事。