メールサービスを提供する株式会社あっぷらぼは2026年10月12日、同社が運用するメールサーバーが外部から不正アクセスを受けたと発表した。10月11日に、メールサーバーのデータベースを管理するためのパスワードが突破されたことを確認したもので、利用者のメールアドレスと、暗号化して保存していたパスワード情報の一部が参照された可能性があるという。同社は原因を、管理用の接続経路を絞り込んでいなかった自社の設定上の不備だと説明し、利用者にメールパスワードの変更を求めている。
管理用パスワードが外から突破された
同社の発表によると、不正アクセスが確認されたのは2026年10月11日である。メールサーバーのデータベース管理用パスワードが外部から突破され、不正にアクセスされた。
原因について同社は、管理用の接続経路を絞り込んでいなかったという自社の設定上の不備だと説明している。「お客様に起因するものではございません」として、利用者側の過失ではないことも明記した。
調査の結果、参照された可能性があるのは次の情報だという。
- メールアドレス
- 暗号化して保存しているパスワード情報の一部
影響を受けた可能性のある件数は、発表の時点では公表されていない。同社は、現時点で不正アクセスの継続は確認されていないとしている。
暗号化されていても「単純なパスワード」は解読のおそれ
パスワードは暗号化した状態で保存されているため、そのまま使われることはないと同社は説明する。一方で、短いパスワードや単純なパスワードは、時間をかければ解読されるおそれがあるとし、これがパスワードの変更を求める理由だとしている。
同社は、特に次に当てはまる利用者に早めの変更を呼びかけている。
- 8文字以下のパスワードを使っている
- 英字だけ、または数字だけのパスワードを使っている
- 氏名・会社名・電話番号・生年月日などを含むパスワードを使っている
- 他のサービスと同じパスワードを使っている
新しいパスワードの目安としては、12文字以上で英大文字・英小文字・数字・記号を組み合わせること、辞書にある単語や氏名・会社名をそのまま含めないこと、他のサービスで使い回さないことを挙げた。パスワードを変えた後は、メールソフトやスマートフォンの設定も更新する必要がある。古いパスワードのまま接続を続けると認証の失敗が繰り返され、一時的に接続が制限される場合があるという。
同社が講じた対策
同社は発表の中で、すでに次の対策を実施したとしている。
- 不正アクセスに使われた接続経路の遮断
- データベース管理用パスワードを推測できない値に変更
- 管理用の接続を、同社および社内ネットワークからだけに制限
- 海外および匿名化ネットワーク経由のメール接続の遮断
- 普段と異なる場所からのログインを検知して遮断する仕組みの導入
「管理用の入り口」がインターネットから見えていないか
同社が原因として挙げたのは、管理用の接続経路を絞っていなかったという設定上の不備である。限られた場所からだけ使えばよい管理用の入り口に外部から接続でき、そこでパスワードを突破された形だ。仕組みとしては単純だが、それだけに多くの組織に当てはまりうる。
JPCERT/CC（日本の情報セキュリティ事案の調整機関）は2026年10月8日に公開し、9日に更新した注意喚起で、国内で相次ぐ不正アクセスについて、既知の脆弱性だけでなく機器の管理不備も狙われている可能性があると指摘した。対策の1つとして、業務上必要のない管理機能などがインターネットに公開されている場合は公開を止めるよう求めている。今回の事案は、この指摘と重なる例といえる。
メールのパスワードが解読されれば、メールボックスの中身を読まれたり、そのアカウントから取引先にフィッシングメールを送られたりするおそれがある。メールは取引先とのやり取りや各種サービスのパスワード再設定にも使われるため、影響が1つのアカウントにとどまらないおそれがある。
企業の情報システム担当者にとって、確認すべき点は大きく2つある。1つは、自社のサーバーや機器の管理画面、データベースの管理用ポート（管理のための通信の接続口）などが、インターネットから到達できる状態になっていないか。もう1つは、外部のメールサービスやホスティングを使っている場合に、利用者として講じられる対策、つまり使い回しのない長いパスワードの設定や、提供されていれば多要素認証（パスワードに加えてスマートフォンなど別の要素で本人を確かめる仕組み）の有効化が済んでいるかである。委託先や利用先が管理するサービスでも、推測されにくいパスワードを設定することは、利用者側でできる対策になる。
同じ手口に、自社は備えられていますか？