じほう、クラウドメールが不正ログイン、アドレス帳を悪用したフィッシング送信の踏み台に

項目	内容
発生日	未公表
対象組織・業界	株式会社じほう（医薬分野の出版事業）
攻撃手法	クラウドメールサービスの一部アカウントへの不正ログイン、アドレス帳の悪用
情報源	Security NEXT（2026年3月2日）

概要

2026年3月2日、医薬分野の出版事業を手がけるじほうは、クラウドメールサービスの一部アカウントが第三者に不正ログインされ、アドレス帳に登録されていた最大890件のメールアドレスが閲覧・取得された可能性があると公表しました。取得されたアドレスに対し、じほうを装うフィッシングメールが送信されており、同社のアカウントがフィッシング攻撃の踏み台として利用されました。

経緯

• 不正ログイン発生（時期未公表）
• アドレス帳登録先へフィッシングメール送信
• 2026年3月2日: 事態を公表、不正ログイン経路を遮断
• 送信先に対して経緯報告と謝罪を実施

原因

初期侵入の手口（認証情報の窃取経路）は公表されていません。

考えられる原因（推測）: クラウドメール（Microsoft 365・Google Workspace等）のアカウント乗っ取りは、(a) フィッシングメールで認証情報を詐取、(b) 他サービスからのパスワード使い回しの悪用、(c) MFA未設定または回避可能な設定、といった経路が典型です。特にMFAが設定されていない、あるいはSMS認証のみで設定されている場合、認証情報が漏れた時点で乗っ取りに繋がります。乗っ取り後の攻撃者は、メール本文・連絡先・過去のやり取りを閲覧できるため、「本物の取引先を装った文面」を作成しやすくなるのが特徴です。

対策

組織が学ぶべきこと

1. アドレス帳は「攻撃者の顧客リスト」に転用される

メールアドレス自体は流出しても直ちに損害が出るわけではありませんが、「じほうと取引がある人のリスト」として悪用されると、その全員に対して信憑性の高い攻撃が仕掛けられます。アドレス帳の管理範囲・エクスポート制御が新たな論点になります。

2. MFA必須化の遅れが被害を拡大させる

クラウドメールのMFA必須化は、業界を問わず基本対策として推奨されていますが、運用の煩雑さから未実施の組織が今も残ります。特定の重要アカウント（役員・広報・営業）だけでも先行してMFA必須化する段階的な導入が現実解です。

3. 「踏み台にされた企業」としての説明責任

自社が攻撃を受けたことより、自社の名前でフィッシングが送られたことの説明のほうが、取引先との関係では重要になります。踏み台化を検知した時点で、被害者と加害者の両側面を意識した説明を用意する必要があります。

ヤグラの視点 — 「同じメールが誰に届いたか」を自動で追える体制を持てるか

じほうの事案の要点は、単一アカウントの乗っ取りがアドレス帳経由で最大890人分の攻撃対象リストに化けた点です。攻撃者はこのリストに対してフィッシングメールを送信し、じほうを装って認証情報や個人情報を狙います。

このタイプの被害は、じほう側の対応（乗っ取り検知・遮断）だけでは終わりません。アドレス帳の受取人側（取引先・関係者）のうち、実際に何人が開封し、URLをクリックし、認証情報を入力したか——これを把握するには、送信元企業と受信側企業の間で連携が取れる仕組みが必要です。

ヤグラの PhishAI は、報告された不審メールについて「同じメールが社内の誰に届いているか」をAIが自動調査し、アイデンティティ製品との連携で開封・クリック・認証情報入力の可能性まで確認します。踏み台にされる側・される側の両方で、この体制の有無が二次被害の規模を大きく左右します。

今後の対応

じほうは不正ログイン経路の遮断、原因および影響範囲の調査を継続しています。フィッシングメール送信先には経緯報告と謝罪を実施済みです。

更新履歴

日時	内容
2026-07-30	過去アーカイブとして記事化（キュレーション）