株式会社八十二長野銀行は2026年10月19日、10月7日に発生した職員のメールアカウントへの不正アクセスについて、情報が漏えいした可能性のある範囲を特定したと発表した（第2報）。対象は個人34名、法人取引先627社、その他の関係機関11機関で、法人取引先のうち96社については、同行との取引に関する情報が含まれる。口座情報や暗証番号の漏えいは確認されていないとしている。
海外企業を装うフィッシングメールが起点
同行の発表によると、10月7日、職員1名が、過去に業務上の接点があった海外企業を装う相手から送られたフィッシングメール（実在の相手を装ってだまし、認証情報などを盗み取ろうとするメール）を受信し、認証の操作を行った。同行はこの手口を「正規の認証機能を悪用する手口」と説明している。この操作によって、第三者による職員のメールアカウントへの不正アクセスが発生した。
同行は同日中にこのアカウントへの不正アクセスを遮断した。その後の調査で、アカウント内の一部の電子メール情報などが第三者に漏えいした可能性があることが分かった。この職員以外のアカウントへの不正アクセスは確認されていない。同行は10月8日に第1報を公表し、その時点では流出した可能性のあるメールアドレスを35名分としていた。
閲覧されたメールから範囲を特定
同行はアクセスログなどを解析し、第三者に閲覧されたメールを確認したうえで、漏えいの可能性がある範囲を次のとおり特定した。
- 個人34名：法人取引先や関係機関に所属する人の氏名、勤務先名、電話番号、メールアドレス
- 法人取引先627社：531社は社名と海外拠点名、96社は同行との取引に関する情報
- その他の関係機関11機関：機関名などと、メールアドレス35件（第1報の35名分）
個人34名、法人取引先のうち96社、その他の関係機関11機関への個別連絡は完了しており、531社への連絡は進めている。現時点で、不正利用による被害の申し出はないという。
1つのメールアカウントに集まる取引先情報
今回の事案は、職員1人のメールアカウントへの侵入でも、閲覧されたメールの範囲によっては600社を超える取引先の情報に影響が及び得ることを示している。業務メールには、取引先の社名や連絡先、取引の内容がやり取りの履歴として蓄積されやすい。
同行の説明によれば、今回のフィッシングメールは過去に接点のあった企業を装い、正規の認証機能を悪用するものだった。こうした手口は、受け取った側が不審だと気づきにくい。メールアカウントへの不審なログインを早く検知する仕組みや、認証操作を求めるメールへの対応手順を、あらためて確認しておきたい。
同じ手口に、自社は備えられていますか？