アーク東短オルタナティブ、従業員へのフィッシング攻撃契機で顧客情報流出の可能性

項目	内容
発生日	2025年9月25日〜10月3日（不正アクセス期間）
対象組織・業界	株式会社アーク東短オルタナティブ（個人向け金融関連サービス）
攻撃手法	従業員へのフィッシング攻撃 → 不正アクセス
情報源	Security NEXT（2026年1月16日）

概要

個人向け金融関連サービスを提供するアーク東短オルタナティブは、2025年9月末〜10月初にかけて、同社従業員がメールによるフィッシング攻撃を受け、その後に第三者が不正アクセスを実行した事案について、2026年1月16日に報道されました。

顧客の氏名・メールアドレスが流出した可能性があり、対象顧客・取引先への通知を進めています。フィッシングメールは正規ドメインと酷似したドメインから、「同社従業員を装って」送信されていたと同社は説明しています。

経緯

• 2025年9月25日〜10月3日: 不正アクセス期間
• 2025年10月1日: フィッシング確認日
• 外部事業者によるセキュリティ診断を実施、関係当局へ報告
• 2026年1月16日: Security NEXTが報道
• 対象顧客・取引先への通知を進行中

原因

侵入起点は「同社従業員がフィッシング攻撃を受け、正規ドメインと酷似したドメインを用いたフィッシングメールに反応した」ことと公表されています。具体的にどの認証情報が窃取され、どのシステムに不正ログインされたかの技術的詳細は明らかにされていません。

考えられる原因（推測）: 「正規ドメインと酷似したドメイン」「同社従業員を装う」の組み合わせは、いわゆるホモグラフ攻撃（lを1に、oを0に置き換える等）や、正規ドメイン似の別TLDドメインを用いる古典的手口の可能性が高いと考えられます。侵入後は、(a) メールアカウントの認証情報を窃取→ログイン→顧客情報を含むメール・添付を閲覧、(b) 業務システムへの認証情報流用、(c) 多要素認証未適用のクラウドサービスへの直接ログイン、が典型的な展開パターンです。

対策

組織が学ぶべきこと

1. 金融サービス業における「対顧客担当者」のリスク

本件はアーク東短オルタナティブという個人向け金融サービス事業者で発生しました。金融業では、顧客との日常的なやり取りを担う担当者（対顧客部門）は、外部からのメールを開かないわけにいかない業務構造にあります。取引先・顧客・関係機関からのメール量は多く、そのなかから偽物を見抜く負荷は高い。訓練も、業務量の多い部門ほど「本物と紛れた偽物」への耐性を高める内容にする必要があります。

2. 「同社従業員を装う」フィッシングの意味

攻撃者が「同社従業員を装う」形でメールを送っていたということは、事前に組織構造や従業員名・肩書きをある程度把握していた可能性があります。上司や同僚を装われると、部下・現場担当者は返信・添付開封・URLクリックのハードルが下がります。役職や社内関係性を踏まえたリアリティのある訓練シナリオでなければ、実戦で機能しません。

3. 「フィッシング → 不正アクセス → 顧客情報」の三段構え

本件の被害連鎖は、フィッシングで認証情報が窃取され、それが顧客情報アクセスに転用される三段階です。各段階に対策があります: (a) 訓練で「そもそも認証情報を入力させない」、(b) 認証情報が漏れても多要素認証で二重の壁を作る、(c) 不正ログインを検知する監視体制。ひとつが破られても次で止められる冗長設計が金融業には期待されます。

ヤグラの視点 — 役職別・部門別のリアリティ：画一シナリオでは金融の現場は突破される

本件で攻撃者は「同社従業員を装って」フィッシングメールを送っていました。この事実は、攻撃者が組織内の関係性を把握したうえで、特定の受信者に刺さるシナリオを組み立てていることを示します。画一的な「怪しいメールに気をつけましょう」型の訓練では、この種の攻撃には対抗しきれません。

金融業のように部門ごとの業務内容とリスクプロファイルが大きく異なる組織では、訓練シナリオも部門別・役職別に設計する必要があります。営業担当者への「顧客からの見積り依頼」を装ったメール、経理担当者への「取引先からの請求書」を装ったメール、経営層への「規制当局からの照会」を装ったメール——それぞれで警戒すべきポイントは異なります。

ヤグラの ヤグラ アウェアネス は、最新のAI攻撃手口を反映した訓練シナリオを、対象者の業務文脈に合わせて提案する仕組みを持ちます。「うちの現場ならこう来る」を訓練の中に入れられるかが、フィッシング耐性の実態を決めます。

今後の対応

対象顧客・取引先への通知が進行中で、流出の実害（成りすまし・二次フィッシング等の連鎖被害）がないかの継続監視が焦点です。

更新履歴

日時	内容
2026-07-30	初稿公開（1月16日Security NEXT報道時点）