スペース、従業員メールアカウントが乗っ取られ取引先等へフィッシングメール2,329件を送信

項目	内容
発生日	2026年6月9日（フィッシングメール受信）
対象組織・業界	株式会社スペース
攻撃手法	フィッシング→メールアカウント乗っ取り→フィッシングメールの大量送信
情報源	サイバーセキュリティ.com（2026年7月8日）

概要

この事案の怖さは、被害の大きさではなく構造にあります。フィッシングの被害者が、6日後には2,329件のフィッシングの「送信元」になっていました。

スペースは、従業員1名のメールアカウントが第三者に不正利用され、取引先を含む複数の宛先にフィッシングメール2,329件が送信されたことを公表しました。発端は、従業員が取引先を装ったフィッシングメール内の偽サイトに、メールアドレスとパスワードを入力したことでした。

攻撃者はこうして「実在する会社の、本物のアドレス」を手に入れ、次の獲物への釣り針として使います。取引先にとって、そのメールを疑う理由はほとんどありません。

経緯

• 2026年6月9日: 従業員がフィッシングメールを受信し、偽サイトで認証情報を入力
• 6月15日: 2,329件のフィッシングメール送信を確認
• 6月17日: フォレンジック調査を開始、関係機関へ連絡
• 6月29日: 公表

原因

取引先を装ったフィッシングメール内の偽サイトで、従業員が認証情報を入力したこと。多要素認証（MFA）は事後に全社導入されており、当時は未適用だったとみられます。

対策

組織が学ぶべきこと

1. MFAは「乗っ取りの防波堤」: パスワードが漏れてもMFAがあれば乗っ取りは大半防げます。本件後の対応（MFA全社導入・全社員パスワードリセット）は、本来は事前にやっておきたい標準装備です。

2. 「同じメールが誰に届いたか」を即答できるか: 侵害の起点となったフィッシングメールは、他の従業員にも届いていた可能性があります。1件の報告から類似メールの着信範囲を洗い出せる体制が、二人目の被害者を防ぎます。

3. 踏み台化したら、取引先への通知が最優先: 自社名で送られたフィッシングは取引先で今も生きています。恥ずかしさより速さ——注意喚起の早さが、取引先の被害と自社の信用毀損を最小化します。

ヤグラの視点 — 6月9日と6月15日の間

発端の受信から送信確認まで6日。この間のどこかで「怪しいメールを踏んだかもしれない」という報告が上がっていれば、連鎖は断てた可能性があります。ヤグラの PhishAI は、不審メールのワンクリック報告を起点に、AIが数分で危険度を分析し、同様のメールが社内の誰に届いているかを自動調査します。「報告しやすさ」と「報告後の速さ」の両方が、この6日間を数時間に変える鍵です。

今後の対応

対策実施済みのため、本件はクローズとして扱います。

更新履歴

日時	内容
2026-07-14	第一報を公開