Японский сервис массовых рассылок Blastmail подтвердил кражу данных всех своих заказчиков, а также информации о рассылках, включая списки получателей, по 288 договорам. Такой масштаб указан в обновлении оператора RAKUS Light Cloud от 23 октября. Число 288 относится к договорам с клиентами сервиса, а общее число затронутых подписчиков ещё не установлено.

По данным оператора, посторонние проникли на два сервера, обслуживающих программный интерфейс API, и выполнили там команды. Затем они подключились к системе учёта продаж и базе данных сервиса и вынесли информацию. Каким способом удалось первоначальное проникновение, ещё выясняют.

У всех заказчиков похищены сведения из системы учёта: названия организаций, имена контактных лиц, телефоны, электронные адреса, в том числе для выставления счетов, история договоров и платежей. Номера банковских карт оператор не хранил. Утечка списков рассылок подтверждена для части клиентов; расследование продолжается, поэтому объявленный охват может измениться.

Один из пострадавших клиентов, издательство ALC, 23 октября сообщило об утечке примерно 310 тысяч адресов получателей ALC News+. У части записей также были внутренние идентификаторы. Имена, адреса проживания, телефоны, пароли и данные карт для этой рассылки в Blastmail не загружались. ALC подтвердило попадание своих адресов в утечку 22 октября; вторичных злоупотреблений на момент сообщения не выявило. Эти 310 тысяч записей — лишь данные одной рассылки, а не итог всего инцидента.

Blastmail отключил панель управления и API 21 октября в 00:30 по японскому времени, отправку писем — примерно в 01:00. В отчёте от 23 октября сервис остаётся остановленным, срок возобновления работы не назван. Компрометация общего подрядчика одновременно раскрыла клиентские базы и прервала их использование для рассылок.