TENGA、米国拠点の従業員メールアカウントに不正アクセス——取引先・個人宛に迷惑メール送信、国内通販顧客情報の流出は否定

項目	内容
発生日	検知日は公表されていない（2026年2月18日にSecurity NEXTが報道）
対象組織・業界	株式会社TENGA（アダルトグッズの製造・販売）
攻撃手法	米国拠点の従業員1人のメールアカウントへの不正アクセス
情報源	Security NEXT（2026年2月18日）

概要

アダルトグッズの製造・販売を手がける株式会社TENGAは、米国拠点の従業員1人のメールアカウントが外部から不正アクセスを受け、当該アカウントとやり取りがあった企業および個人のメールアドレス宛てに迷惑メールが送信されたことを公表しました。同社は、国内の公式通信販売サイトを利用した顧客の個人情報の流出については否定しています。

SNS上で不正確な情報が広まっていることも背景に、事実関係の整理とともに情報発信を行った形です。具体的な不正アクセスの検知日、被害を受けたアカウント数などの詳細は公表されていません。

経緯

• 米国拠点の従業員1人のメールアカウントに外部からの不正アクセスを検知（時期非公表）
• 該当アカウントとやり取りのあった企業・個人宛てに迷惑メールが送信される
• 2026年2月18日: Security NEXTが事案を報道。同社はSNS上で広まった一部情報を否定

原因

侵入経路や攻撃手法の詳細は公表されていません。

考えられる原因（推測）

以下は公表事実から考えられる仮説であり、TENGAが公表したものではありません。

1. 認証情報の窃取・使い回し: 特定の1アカウントに絞った不正アクセスは、フィッシング・情報窃取型マルウェア・他サービスからの認証情報流出・使い回しといった経路が最頻の入り口です
2. MFA未適用または回避: 海外拠点でSaaS型メール（Microsoft 365/Google Workspace等）を利用している場合、拠点ごとにMFA適用状況が異なることは珍しくありません。1アカウントが単独で乗っ取られた事実は、少なくとも当該アカウントのMFAが有効でなかった可能性を示唆します
3. なりすまし攻撃の踏み台化: 不正アクセス後にビジネスメール詐欺（BEC）や迷惑メール大量送信の踏み台として利用されるのは、この種の侵害の典型パターンです

対策

組織が学ぶべきこと

1. 海外拠点のアカウント管理は本社と同一水準にする: 本件で侵害されたのは米国拠点の1アカウントのみです。海外拠点は本社のセキュリティ基準（MFA・条件付きアクセス・監査ログ収集）から漏れやすく、単独で侵害されて本社取引先への迷惑メール送信の起点になることがあります。

2. 「迷惑メール送信」の背後にある情報アクセスを見る: メール送信は目に見える結果ですが、乗っ取り期間中には受信箱・共有ドライブ・連絡先の閲覧が同時に行われている前提で調査する必要があります。「迷惑メールが送られただけ」で済ませない事実確認が重要です。

3. 「連絡先に迷惑メール」被害の受信側への説明責任: 取引先・個人からは「TENGAから怪しいメールが来た」と受け止められる可能性があります。事実関係の説明と、迷惑メール本文の共有・注意喚起を早期に行うことで、二次被害（メールリンククリックによるフィッシング被害）を抑えられます。

ヤグラの視点 — 「同じメールが誰に届いたか」を追える体制

メールアカウントが乗っ取られると、被害はアカウント本人のみでは終わりません——乗っ取られたアカウントが「取引先・個人の連絡先リスト」を持っているため、次に狙われるのは取引先です。本件の「取引先・個人宛に迷惑メールが送信された」という結果は、まさにこの「二人目・三人目の被害者」が生まれる典型です。組織として問われるのは、（1）そもそも本件のような迷惑メールが送信された事実を早期に検知できたか、（2）誰に何が送信されたかを自動調査で洗い出し、受信側に注意喚起できたか、の2点です。迷惑メールを受け取った側が「怪しい」と1クリックで報告し、報告されたメールがAIで分析され、同じメールが社内の誰に届いているかまで自動で追える体制があれば、二次被害の拡大は数分で止められます。（関連: PhishAI）

今後の対応

被害を受けたアカウント数、迷惑メールの送信先件数、侵入経路の解明に関する続報を注視し、判明次第、本記事に追記します。

更新履歴

日時	内容
2026-02-18	第一報を公開