講談社で起きた“メール侵害の連鎖” 3812件の情報漏えいから得る教訓：1通のフィッシングメールで取引先も危険に

講談社の従業員が取引先を装ったフィッシングメールにだまされ、社用メールアカウントが不正利用された。被害は認証情報の窃取だけでなく、流出した連絡先情報がそのまま新たな攻撃に利用される事態に発展したという。いつ被害に遭ってもおかしくないこの問題への対処法とは。

[＠IT]

　講談社は2026年8月3日、外部の第三者による不正アクセスを受け、従業員の社用メールに保存されていた個人情報が漏えいしたと発表した。

　漏えいした可能性があるのは、社用メール内の連絡先情報に含まれるメールアドレスと一部の氏名で、件数は最大3812件。このうち553件のメールアドレスに対し不正アクセスを受けた従業員のメールアカウントを悪用したフィッシングメールが送信された。同社は関係者に謝罪するとともに、確認されたいきさつや対応状況を公表した。

流出した連絡先情報を悪用　従業員になりすましたフィッシングメールを送信

　発端は2026年7月27日、従業員が取引先を装ったフィッシングメールのリンクをクリックしたことだった。表示された偽のログイン画面に認証情報を入力した結果、その情報が攻撃者に窃取され、社用メールアカウントへの不正ログインを許した。

　攻撃者は2026年7月30日に社用メールに不正ログインし、保存されていた連絡先情報を最大3812件窃取した。その後、流出した連絡先のうち553件のメールアドレスに対し、不正アクセスを受けた従業員のメールアカウントを悪用してフィッシングメールを送信した。

　同日、従業員が異常に気付き、ログインパスワードの変更と既存セッションの削除を実施した。講談社によると、その後は当該メールアカウントへの不正アクセスは確認されていないという。

　講談社は情報漏えいを確認した後、社内で初期対応を実施した。漏えいした可能性があるメールアドレスの利用者には、2026年7月31日に電子メールで概要を通知した。通知では、漏えいした可能性がある情報がメールアドレスと一部の氏名であることに加え、本人が取るべき対応や問い合わせ窓口を案内している。

　また、同社は個人情報保護法に基づき個人情報保護委員会へ報告を実施したほか、不正アクセスの原因を調査・特定し、再発防止策を講じるとしている。

　今回の事案では、フィッシングメールによる認証情報の窃取を起点に社用メールアカウントが侵害され、保存されていた連絡先情報が持ち出された。さらに、その情報を利用して実在する従業員のメールアカウントから新たなフィッシングメールが送信されるという、二次被害につながった点が特徴だ。

　メールアカウントが侵害されると、アドレス帳や過去のメールの内容が悪用され、実在する送信元を装った信頼性の高いフィッシング攻撃に発展する恐れがある。今回の事案は、流出した連絡先情報がそのまま次の攻撃に悪用された典型例といえる。

　こうした被害を防ぐには、電子メールに記載されたリンクから認証情報を入力するのではなく、ブックマークや公式Webサイトからログインする習慣を徹底することが重要だ。また、多要素認証（MFA）を有効にすることで、認証情報が漏えいした場合でも不正ログインを防げる可能性が高まる。

　企業側には、メールサービスへの異常なログインや大量送信を検知する仕組みの導入に加え、フィッシングメールを想定した継続的な従業員教育や訓練が求められる。メールアカウントは社内外の信頼関係を担う重要な資産であり、一度侵害されると自社だけでなく取引先や顧客を巻き込む二次被害につながりかねないため、認証情報の保護と早期検知の体制強化が重要となる。