日本適合性認定協会（JAB）、職員メールアカウントが不正アクセスされなりすまし不審メールを送信

項目	内容
発生日	2026年6月16日（不審メール送信確認日）
対象組織・業界	公益財団法人日本適合性認定協会（JAB／認定機関）
攻撃手法	職員メールアカウントへの不正アクセス→なりすましメール送信
情報源	サイバーセキュリティ.com（2026年8月3日）

概要

公益財団法人日本適合性認定協会（JAB）は2026年7月31日、同協会職員1名のメールアカウントが第三者による不正アクセスを受け、なりすましと思われる不審メールが複数の送信先へ送信されたことを公表しました。送信された不審メールの件名は「文件审查」（中国語表記）で、外部の複数宛先に到達したことが確認されています。

JABは日本の適合性評価機関（試験所・検査機関・認証機関）を認定する公的性格の強い財団法人で、審査業務の性質上、外部組織との連絡が多いことが被害拡大の背景として推測されます。

経緯

• 2026年6月16日: 不審メール送信が確認された日
• 2026年7月31日: JAB公式サイトで公表・注意喚起を実施
• 送信先の一部で不達を確認、一方で複数の宛先に到達した事実も確認されている
• 送信先には個別のお詫びと注意喚起を実施

原因

不正アクセスの初期侵入経路は公表されていません。JABは「不正アクセスを受けた」とだけ説明しており、フィッシングによる認証情報窃取か、パスワードリスト攻撃か、あるいは別経路かは明かされていません。

考えられる原因（推測）: 職員メールアカウント1つの侵害で外部への不審メール送信が発生していることから、(a) 業務用メールでのフィッシング被害による認証情報窃取、(b) 使い回しパスワードのリスト攻撃、(c) MFA未適用または回避、といったパターンが典型的です。件名が中国語表記である点、審査業務で海外関係者との連絡機会が多い点を踏まえると、業務メールの偽装フィッシング経由での窃取という筋書きは十分に考えられます。

対策

組織が学ぶべきこと

1. 1アカウントの侵害は「1人の問題」で終わらない

本件は「職員1名のメールアカウントが侵害された」だけで済んだ事案ではありません。侵害後、そのアカウントから外部の複数宛先に不審メールが送信され、受信者側で開封・クリック・返信のいずれかが起きれば二次被害の連鎖が始まります。「うちの職員が1人騙されただけ」と矮小化せず、「同じアカウントから送られた他のメールはどれか」「同じ手口で他の職員も狙われていないか」を必ず横に広げて確認する必要があります。

2. 送信済みメールボックスの精査

侵害されたアカウントから、いつ・誰に・どんな内容のメールが送られたかを送信済みボックスとメールログから網羅的に洗い出すのが影響範囲確定の第一歩です。攻撃者が「送信後に送信済みから削除する」ことも珍しくないため、メールサーバ側のログ（送信履歴）と、受信側の受信ログの照合が必要になります。

3. 「不達」の意味に注意

「一部メールが不達だった」ことは、それだけで安心材料になりません。到達しなかった宛先は攻撃者にとってはノイズですが、到達した宛先は既に開封されている可能性があるというのが実際のリスクです。到達件数を明示し、その全てに個別連絡が行き渡ったかを確認するのが説明責任の観点で重要です。

ヤグラの視点 — 影響範囲の自動調査：「同じメールが誰に届いたか」を数分で洗い出す

メールアカウント乗っ取り型の事案で最初にやるべきは、侵害された当該アカウントから外に出て行ったメールを、送信先ごとに全件洗い出すことです。本件のように「複数の宛先に送信された」だけでは、受信者側の対処が始まりません。誰に何が届き、誰が開き、誰が返信したか——その全体像がなければ、二次被害の芽を潰しきれません。

騙される前提に立てば、報告の間口を1クリックまで下げ、報告されたメールをAIが数分で分析し「同じメールが社内の誰に届いているか」まで自動調査する体制が二次被害の連鎖を断つ鍵になります。ヤグラの PhishAI は、Gmail/M365アドインからのワンクリック報告を起点に、危険度判定・過去類似攻撃との相関・影響範囲調査までを自動化し、人手なら30分かかる調査を平均2分に短縮します。

今後の対応

JABは再発防止に向けたセキュリティ対策強化を表明していますが、初期侵入経路の公表・被害受信側での二次被害の有無・不審メール内容の詳細については続報を待つ必要があります。認定機関という公的性格の強い組織からの不審メールは、受信側の警戒心を下げやすいため、認定を受けている試験所・検査機関・認証機関への波及リスクも注視されます。

更新履歴

日時	内容
2026-08-03	初稿公開