TEIKOKUのシンガポール子会社、Microsoft 365アカウントが不正アクセスされスパム踏み台に

項目	内容
発生日	2026年4月24日（不審メール報告が集中）、2026年6月2日（公表）
対象組織・業界	TEIKOKU（シンガポール販売子会社「TEIKOKU SOUTH ASIA」・キャンドモータポンプ製造）
攻撃手法	従業員のMicrosoft 365アカウントへの不正アクセス、スパム踏み台化
情報源	Security NEXT（2026-06-02）、TEIKOKU 公式

概要

キャンドモータポンプ製造のTEIKOKUは、シンガポール販売子会社「TEIKOKU SOUTH ASIA」において、従業員1人のMicrosoft 365アカウントが不正アクセスを受け、当該アカウントから同子会社の取引先向けに迷惑メールが送信されたことを、2026年6月2日に公表しました。

問題のアカウントを通じて同アカウント宛のメールが第三者によって閲覧された可能性もあります。同社はすべてのアカウントを強制ログアウトさせパスワードを変更、迷惑メール送信先に対して注意喚起の連絡を実施しています。

経緯

• 2026年4月24日: 取引先から不審メールの報告が集中、事案を認知
• 2026年4月〜: 全アカウント強制ログアウト、パスワード変更、送信先への注意喚起
• 2026年6月2日: TEIKOKUが事案を公表

原因

不正アクセスの具体的な手口・初期侵害の経路は公表されておらず調査中です。

考えられる原因（推測）

以下は公表事実から考えられる仮説であり、同社が発表したものではありません。

1. フィッシングによる認証情報詐取: 海外拠点の従業員に対するフィッシングでMicrosoft 365の認証情報が奪われるパターンは、近年の海外子会社事案で頻繁に見られる侵害シナリオです
2. 多要素認証未適用アカウントの狙い撃ち: 本社側でMFAを標準化していても、海外グループ会社では適用が徹底されない、または移行途上のケースがあり、そこがピンポイントの標的になる構造があります
3. 踏み台化による二次感染リスク: 乗っ取られたアカウントから取引先へ迷惑メールを送る手口は、送信元が「実在の関係者」であるため受信側で警戒されにくく、取引先の側で認証情報詐取・マルウェア感染につながる二次被害を生みます

対策

組織が学ぶべきこと

1. 「同じメールが誰に届いたか」を短時間で調べる仕組み: 踏み台化されたアカウントからは、取引先・関係者に対して大量のメールが送信されます。同じメールが自社の他の従業員や、他の取引先に届いていないかを短時間で調べられる体制が、二次被害の連鎖を断つ鍵になります。人手で全メールログを追うことは現実的ではなく、AIによる自動調査が現実解です。

2. 海外子会社のクラウド認証統制: Microsoft 365等のクラウドメールは本社・海外拠点を問わず利用される一方、アカウント管理・MFA適用の徹底度は拠点ごとに差が出やすい構造があります。グループ横断でアカウント状況を可視化し、MFA未適用・休眠アカウント・権限過多を検知できる運用が、海外子会社発の踏み台化を減らします。

3. 「取引先への注意喚起」を運用手順化する: 踏み台化された時点で、被害は自社内で完結せず取引先に飛び火します。どの範囲に、どのような表現で注意喚起を出すかを事前に決めておくことで、公表・通知の初動を短縮できます。

ヤグラの視点 — 影響範囲の自動調査、そして二次被害の連鎖を止める

メールアカウントの乗っ取り事案でもっとも重要なのは、「乗っ取り自体」ではなく「誰に何が届いたか」の把握です。TEIKOKUのケースでは、取引先から不審メール報告が集中したことで事案が顕在化しています。この構造は、報告を受け取る側の体制が対応スピードを規定することを示しています。報告を1クリックで上げられる仕組み、上がった報告をAIが分析して「同じメールが自社の誰・どの取引先に届いたか」を数分で自動調査する仕組み、そこから対処対象を特定して封じ込める仕組み——この一連の流れが、二次被害の連鎖を止める骨格になります。「人間による調査30分」を「AIが平均2分」に短縮することで、踏み台化されたアカウントから広がる被害の面積を最小化できます（→ PhishAI）。

今後の対応

侵入経路の詳細、閲覧された可能性のあるメールの範囲、他アカウントへの影響有無、取引先の被害状況の続報を注視し、判明次第本記事に追記します。

更新履歴

日時	内容
2026-06-02	第一報を公開