講談社は2026年8月3日、社用メールアカウントが外部から不正アクセスを受け、最大3,812件の連絡先情報が漏えいしたと発表した。きっかけは、取引先を装ったフィッシングメールのリンクを社員がクリックし、表示された偽のログイン画面に認証情報を入力してしまったことだった。攻撃者はその3日後にアカウントへ侵入して連絡先を抜き取り、同じ社員になりすましたフィッシングメールを大量に送信した。件数の規模より、被害が社外へ連鎖した経路にこそ目を向けたい事案だ。
7月27日のクリックが、7月30日に動いた
同社の発表と報道によると、経緯はこうだ。
2026年7月27日、同社の社員が取引先を偽装したフィッシングメールを受信し、本文中のリンクをクリックした。遷移先は偽のログイン画面で、そこに認証情報を入力したことで、メールアカウントへの不正ログインを許した。
攻撃者が実際に動いたのは3日後の7月30日である。この日、攻撃者は同アカウントにログインして連絡先情報を窃取し、そこに含まれるメールアドレス宛に、この社員を装ったフィッシングメールを大量に送信した。異変に気づいた社員は同日中にログインパスワードを変更し、セッションを削除。以降、このアカウントへの不正アクセスは確認されていないという。
漏えいした可能性があるのは、最大3,812件の連絡先情報（メールアドレスと一部の氏名）。このうち553件のメールアドレス宛に、なりすましメールが実際に送られた。
同社は7月31日付で対象のメールアドレス宛に事案の概要、漏えいした個人情報の項目、問い合わせ窓口を通知し、個人情報保護法に基づく個人情報保護委員会への報告も完了したとしている。
「3日間」の意味
この事案で目を引くのは、認証情報が渡ってから攻撃者が動くまでに3日の間隔があったことだ。
窃取した認証情報がすぐに使われるとは限らない。フィッシングで集めた資格情報がまとめて第三者に渡り、後から順に試される流れは珍しくないし、攻撃者側が有用性を選別してから着手することもある。いずれにせよ、クリックした本人にとっては「特に何も起きなかった3日間」が存在したことになる。
ここに、この種の被害が見つかりにくい理由がある。偽ログイン画面に入力した直後は、画面がエラーになるか、本物のサイトに転送されるだけで、実害は目に見えない。「間違えたかもしれない」という自覚があっても、何も起きなければ記憶は薄れていく。そして数日後、本人の名前で外部にメールが飛ぶ。
今回、社員が同日中に異常を検知してパスワード変更とセッション削除まで実行したことで、以降の不正アクセスは確認されておらず、被害の拡大は防がれたとみられる。裏を返せば、気づくのがもう一日遅ければ、窃取された連絡先を足がかりに攻撃はさらに先へ進んでいた可能性がある。
パスワード変更だけでは足りない
対応の内容として押さえておきたいのは、パスワードの変更に加えて「セッションの削除」が実行されている点だ。
現在のクラウド型メールでは、一度サインインすると、その状態を保持するセッショントークンが端末やブラウザに残る。攻撃者がこれを取得していた場合、パスワードを変更しただけでは、既存のセッションを使ったアクセスが続いてしまうことがある。パスワードに加えてコード入力などを重ねる「多要素認証」を有効にしていても、認証を通過した後のセッションを奪われていれば同じことだ。
侵害されたアカウントの初動対応として、パスワードのリセットとセッション（サインイン状態）の一括無効化はセットで扱う必要がある。Microsoft 365やGoogle Workspaceといった主要なサービスは、管理者がユーザーのサインインを強制的に取り消す機能を備えている。手順を平時に確認し、手順書に落としておきたい。
メールアドレス帳は「次の攻撃の名簿」になる
もう一点、この事案が示しているのは、メールアカウントに保存された連絡先そのものが攻撃資産だということだ。
窃取されたのはメールアドレスと一部の氏名であり、クレジットカード情報や機微な個人情報が含まれていたわけではない。個人情報漏えいの「深刻度」という物差しで測れば、それほど高くはないように見えるかもしれない。
だが攻撃者の視点では、これは「この社員と実際にやり取りがある相手のリスト」である。実在する担当者の名前を差出人に据え、実際に取引のある相手だけに送るフィッシングメールは、無差別のばらまきとは受信者の警戒度がまるで違う。今回、553件のアドレスに送られたなりすましメールが、次の被害者を作るための投資であったことは想像に難くない。
そもそも今回の起点も「取引先を装ったメール」だった。攻撃が同じ形で連鎖していく構造が、そのまま見て取れる。
取引先からのメールを、どう疑うか
「不審なメールに注意」という呼びかけは、もはやほとんどの組織で行われている。それでも被害が続くのは、注意の対象が「見知らぬ差出人」に偏りがちだからだろう。実在する取引先の名前で、日常業務の文脈に沿った件名で届くメールを、受信者が最初から疑うのは難しい。
現実的な打ち手は、個人の注意力に賭けない方向にある。認証情報を入力する画面が本物かどうかを人間の目で判別させるのをやめ、フィッシング耐性のある認証方式——パスキーやFIDO2セキュリティキーのように、偽サイトでは原理的に認証が成立しない仕組み——へ移行することが最も効く。
加えて、外部から到達しうる範囲を平時から絞っておくこと。メールアカウントに何年分の連絡先が蓄積されているか、退職者や異動者のアカウントがどう扱われているか、送信数の急増を検知する仕組みがあるか。今回のように「1つのアカウント」が起点になる以上、1つ落ちたときに何が持ち出されるのかを見積もっておく意味は小さくない。
そして何より、「クリックしてしまったかもしれない」と社員が申告しやすい空気をつくることだ。処罰ではなく初動につなげる窓口があるかどうかで、被害が止まるまでの時間は変わる。今回の事案で、異変の察知から対処までが同日中に完了した事実は、迅速な初期対応の価値を物語っている。