アデコ、「SESマッチングサービス」のメールアカウントが不正アクセス、迷惑メール送信に悪用

項目	内容
発生日	未公表
対象組織・業界	アデコ（人材サービス）
攻撃手法	「SESマッチングサービス」のメールアカウントへの不正アクセス、迷惑メール送信の踏み台化
情報源	Security NEXT（2026年2月20日）

概要

2026年2月20日、人材サービス会社のアデコは、同社が提供する「SESマッチングサービス」のメールアカウントが外部からの不正アクセスを受け、意図しない迷惑メールの送信に利用されたと公表しました。同社の顧客データへのアクセスは確認されていません。

経緯

• 不正アクセス発生（時期未公表）
• 内容確認 → 対策実施
• 2026年2月20日: 事態を公表、パスワード変更・アカウント停止・SESマッチングサービス停止を実施
• 受信者に対し「添付ファイルや本文中のURLを開かないよう」注意喚起

原因

初期侵入の手口・認証情報詐取経路は公表されていません。

考えられる原因（推測）: サービス用のメールアカウント（info@, noreply@, サービス名を冠したアカウント等）は、(a) 認証情報が業務のため広く共有されている、(b) MFAが設定されていない、(c) 退職者が知り得た認証情報がそのまま残っている、といった構造的な脆さがあります。加えて、こうしたアカウントは正規のマーケティングメール・お知らせメールを大量送信するため、「アカウントから大量メールが送信されている」ことが即座に異常として検知されにくい特徴があります。

対策

組織が学ぶべきこと

1. 「共有メールアカウント」のガバナンス

info@ support@ サービス名を冠したアカウントは、業務効率上は共有せざるを得ませんが、認証情報の管理範囲・アクセスログの記録・MFAの設定は個人アカウント以上に厳格に運用する必要があります。誰が最後にログインしたか、どのIPからログインしたかを追える体制が求められます。

2. 「大量送信の兆候」を早期に捕まえる

サービスアカウントは正規のメール送信が多いため、迷惑メール送信への転用は数時間〜数日気づかれないことがあります。送信レート・送信先ドメインの分布・送信時刻の異常をルール化するか、AIで学習させて逸脱を検知する仕組みが有効です。

3. サービス停止という判断

アデコは「SESマッチングサービス」自体を一時停止しています。サービス停止は事業への影響が大きい判断ですが、二次被害の拡大を止めるためには早期の停止判断が重要です。この判断を平時から想定しておく（誰が権限を持ち、どの手順で決めるか）ことが、対応速度を左右します。

ヤグラの視点 — 報告のハードルとワンクリック化。踏み台になる側・される側の両方に必要な視点

サービスアカウントからの迷惑メール送信は、受信者側から「変なメールが来た」と報告してもらうことが、送信元企業の側で最初の検知シグナルになるケースが少なくありません。しかし、多くの受信者は「怪しいメール」を報告する経路を知らず、削除するかスパム扱いにするだけで終わってしまいます。

送信元企業側で、公式サイト・SNS等に「不審な連絡があった場合の報告窓口」を明示することは基本ですが、受信側の企業でも、社員がワンクリックで報告できる経路を持っているかどうかが、二次被害の連鎖を早く断てるかを決めます。両側に「1クリック報告→AI分析→影響範囲確認」の流れがあれば、踏み台被害は数時間で封じ込められます。

ヤグラの PhishAI は、Gmail・Microsoft 365メーラーへのアドインでワンクリック報告を提供し、報告されたメールをAIが平均2分で分析、同じメールが社内の誰に届いているかまで自動調査します。踏み台にされる側・される側の両方で、報告の間口を1クリックまで下げる運用が、この種の被害の連鎖を止めます。

今後の対応

同社は当該アカウントのパスワード変更・アカウント停止・SESマッチングサービスの停止を実施し、原因調査を継続しています。

更新履歴

日時	内容
2026-07-30	過去アーカイブとして記事化（キュレーション）