株式会社小田原エンジニアリングは2026年9月15日、ドイツ子会社へ出向していた従業員1名のメールアカウントが第三者による不正アクセスを受け、取引先の個人情報を含むメールが閲覧された可能性があると発表した。不正アクセスは2026年3月27日から8月31日まで継続しており、閲覧が確認できたメールは現時点で約3,500通にのぼる。さらに攻撃者は、読み取ったやり取りを踏まえて同社従業員になりすまし、取引先へ入金を指示するメールを送信していた。侵害されたアカウントは1つだが、被害はすでに社外へ広がっている。
気づくまでに5カ月かかった
対象となったのは、ドイツ子会社であるOdawara Automation Deutschland GmbHへ出向していた従業員が使用するメールアカウントである。同社の発表によると、不正アクセスの痕跡を確認したのは2026年8月31日である。その後の監査ログ（誰がいつシステムへアクセスしたかの記録）の取得・解析によって、第三者が同年3月27日から8月31日までの約5カ月間にわたり、当該アカウントへ継続的にアクセスしてメールを閲覧していたことが判明した。
閲覧が確認できているメールは約3,500通。同社は、最も古いもので2018年に送受信されたメールが含まれるとしている。侵入が始まったのは今年3月だが、その時点でメールボックスに保存されていた過去のメールも閲覧の対象になったためである。つまり影響が及びうる範囲は、侵入期間の5カ月にとどまらず、最長で8年前までさかのぼるやり取りにまで広がっている。
なお同社は、約3,500通という数字は調査により判明した現時点の範囲であり、今後増減する可能性があるとしている。取引先の健康状態など機微性の高い個人情報や、クレジットカード情報などの直接二次被害につながる情報が含まれていた事実は、現時点では確認されていないという。
最初にどのような手段でアカウントへ侵入されたのかについては、公表資料に記載がない。認証情報がどこで、どのように攻撃者の手に渡ったのかは明らかにされていない。
読まれた情報が、そのまま詐欺の材料になった
この事案が単なる情報漏えいで終わらなかったのは、攻撃者が閲覧しただけでは済まさなかったからである。
同社は、不正アクセスを行った第三者が同社の従業員になりすまし、取引先宛てに入金を指示するメールを送信した事案が確認されたと明らかにしている。同社は、この第三者が正規のやり取りを閲覧していたとみている。そして実際に、一部の取引先で金銭的な被害が生じている。
被害が発生した取引先の数や金額は、9月15日時点の公表資料では明らかにされていない。同社は当該取引先と連携して被害の拡大防止に取り組むとともに、その他の取引先についても被害の有無を含めて個別に調査を進めているとしている。
同社は取引先に対し、振込先口座・支払条件・担当者・連絡先の変更が同社名で連絡された場合は、そのまま手続きを進めずに問い合わせ窓口へ連絡するよう求めている。また、差出人アドレスをドメインまで確認すること、パスワードや認証情報、クレジットカード情報をメールや電話で尋ねることはない旨も周知している。
手口はビジネスメール詐欺と重なる
情報処理推進機構（IPA）は、ビジネスメール詐欺（Business E-mail Compromise：BEC）を、偽の電子メールを組織・企業に送り付け、従業員を騙して攻撃者の用意した口座へ送金させる詐欺の手口だと説明している。
今回確認された経緯は、この類型と重なる。攻撃者は数カ月かけて正規のやり取りを読み、取引の文脈を把握したうえで、送金を促すメールを送っている。進行中の取引の文脈を踏まえて書かれた偽メールは、不特定多数にばらまかれる詐欺メールに比べて見分けるのが難しくなる。
ただし、同社の公表資料に「ビジネスメール詐欺」という表現は使われていない。また、なりすましメールが侵害された正規のアカウントから送信されたのか、類似ドメインなど別の送信元から送られたのかも公表されていない。
発覚後の対応と、二カ国の当局への報告
同社は8月31日に事案を把握した後、当該メールアカウントのパスワード変更と全セッションの強制ログアウトを実施した。あわせて拠点外アクセス時の多要素認証（パスワードに加えて別の手段で本人確認を行う仕組み）を必須化し、不正に用いられたドメインのメール送受信をブロックする設定を行っている。
さらに、監査ログの取得・解析による影響範囲の調査、外部からの不正なログイン試行がその後成功していないことの確認（日次監視を継続中）、他の従業員アカウントに同様の被害がないことの確認を実施したとしている。
ここで注意しておきたいのは、公表されているのは「拠点外アクセス時の多要素認証を必須化した」という事後の措置であり、事案発生前に多要素認証が一切導入されていなかったかどうかまでは公表資料から読み取れない、という点である。
また同社は、顧問弁護士に相談のうえ、日本の個人情報保護委員会と、ドイツの監督当局であるBayerisches Landesamt für Datenschutzaufsicht（バイエルン州データ保護監督局）の双方へ本件を報告している。出向者のアカウントが海外拠点にある場合、インシデント対応は日本国内の報告義務だけでは完結しない。
メールボックスは資料庫として狙われている
この事案から読み取るべきは、メールアカウントが1つ侵害されただけでも、被害が自社の中で止まらないということである。
攻撃者が手に入れたのは個人情報そのものというより、誰と誰がいくらの取引をどういう文面で進めているのかという文脈だった。その文脈は、そのまま偽の入金指示を本物らしく見せるための材料になる。つまり業務用メールボックスは、年月とともに攻撃者にとっての資料庫として価値を増していく。数年前のメールを消さずに残しておくことのリスクは、こうして表面化する。
技術的な対策として押さえておきたいのは、パスワードを変更しても既存のセッションが有効なまま残る場合があるという点である。同社が「パスワード変更」と「全セッションの強制ログアウト」を並べて公表しているのは、この2つをセットで実施しなければ侵入者を締め出せないからだ。認証情報の更新とセッションの失効は、切り離して考えてはいけない。
もう一点は、メールの防御と支払業務の統制を別々の問題として扱わないことである。振込先の変更をメールのやり取りだけで確定させない、既知の電話番号など別の経路で確認する、といった経理側の手順があれば、メールが乗っ取られても金銭被害までは届かない。情報システム部門の管轄と経理部門の管轄の隙間が、この手口の狙い目になっている。
そして、同社が3月27日という侵入開始日を特定できたのは、監査ログが残っていて解析できたからである。ログを取得していなければ、5カ月分の影響範囲は不明としか公表できなかった。検知が遅れた事案において、事後に影響範囲を確定できるかどうかは、平時のログ設計で決まる。
同じ手口に、自社は備えられていますか？