講談社、従業員が取引先を装ったフィッシングメールでメールアカウント侵害 — 連絡先最大3,812件が窃取、553件へフィッシング再配信
| 項目 | 内容 |
|---|---|
| 発生日 | フィッシング受領: 2026年7月27日／認証情報窃取: 2026年7月30日／検知: 同日 |
| 公表日 | 2026年8月3日 |
| 対象組織・業界 | 株式会社講談社（大手出版社／メディア・エンタメ） |
| 攻撃手法 | 取引先を装ったフィッシングメール → 偽ログイン画面での認証情報詐取 → メールアカウント不正アクセス → アドレス帳等からの連絡先窃取 → 窃取した宛先へのフィッシング再配信 |
| 情報源 | 講談社 公式（2026年8月3日）、Security NEXT（2026年8月4日） |
大手出版社の株式会社講談社は2026年8月3日、従業員1名がフィッシング被害を受け、業務メールアカウントの認証情報を詐取された結果、最大3,812件の連絡先情報（メールアドレス・一部氏名）が窃取された可能性を公表しました。攻撃者は窃取した連絡先のうち553件宛に、講談社従業員を装ったフィッシングメールを再配信しています。
フィッシングメールは取引先を装った内容で、偽のログイン画面へ誘導するものでした。従業員本人が異常に気づいて同日に対応し、ログインパスワードの変更とセッション削除を実施。個人情報保護委員会への報告も完了しています。
- 2026年7月27日: 従業員1名が取引先を装ったフィッシングメールを受領、偽ログイン画面で認証情報を入力
- 2026年7月30日: 攻撃者がメールアカウントに不正アクセス、アドレス帳等から連絡先3,812件（最大）を窃取。そのうち553件宛に講談社を装ったフィッシングメールを再配信
- 2026年7月30日（同日）: 従業員本人が異常に気づき、ログインパスワード変更・セッション削除で対応
- 2026年8月3日: 講談社が公表、個人情報保護委員会へ報告完了を明記
- 2026年8月4日: Security NEXT が報道
判明している事実: 取引先を装ったフィッシングメールにより従業員が偽ログイン画面で認証情報を入力、メールアカウントへの不正アクセスに繋がった。フィッシングメールの詳細な文面・偽サイトのドメインは公表されていません。
考えられる原因（推測）
Section titled “考えられる原因（推測）”以下は公表事実から考えられる仮説であり、講談社が公表したものではありません。
- 取引先詐称型フィッシングの典型パターン: 取引・業務連絡を装ったメールから、正規サービスのログインページを模した偽サイトへ誘導するパターンは近年最も多い形態です。多要素認証（MFA）未設定、または回避された（AiTM／中間者攻撃）ケースが典型
- 窃取された「連絡先3,812件」が示すアカウント権限: メールアカウント侵害で3,812件のアドレスにアクセスできたことは、業務メールアドレス帳・過去メールから抽出したものと推測されます。出版業界は著者・取引先・寄稿者等 多数の外部連絡先を持つ構造があります
- 「553件へのフィッシング再配信」の狙い: 攻撃者は連絡先を単に窃取するだけでなく、講談社の名義・ドメインを使って別のフィッシングメール送信の踏み台として利用しています。連絡先窃取から数時間〜数日以内に転送している例が多く、被害者の周辺への二次攻撃の起点になります
組織が学ぶべきこと
Section titled “組織が学ぶべきこと”1. 取引先詐称型フィッシングは「フィッシング訓練」の主要シナリオへ: 認証情報詐取は近年のインシデントで最も多い起点です。取引先・請求書・共有通知・業務ツール通知を装ったメールから偽ログインへ誘導するパターンを、訓練シナリオに継続的に組み込む必要があります。MFA（できれば FIDO2 等の耐フィッシング方式）と、認証ログの「普段と違う国・端末・時間帯」検知を組み合わせて多層防御にすることが基盤になります。
2. 「異変に気づいた従業員の即時報告」が二次被害を止める: 本件で 3,812件の窃取に対してフィッシング再配信が 553件で止まったのは、当該従業員が同日に異常に気づき、パスワード変更・セッション削除まで実行したことが大きく効いています。もし報告が翌日以降にずれ込んでいれば、攻撃者はより多くの宛先にフィッシングを配信できていたはずです。
3. 連絡先データの端末外保持と最小権限: メールアカウント経由で3,812件のアドレスに到達できた構造そのものが、次のリスクです。業務アドレス帳・過去メールをローカルコピーで保持せず、権限を細分化しておく設計、および Gmail/Exchange 側で「同一アカウントからの大量送信」検知ルールを組んでおくことが、同種被害の連鎖を止める備えになります。
ヤグラの視点 — クリック率ではなく報告率で測る：「異変を伝えられる文化」が被害の広がりを決める
Section titled “ヤグラの視点 — クリック率ではなく報告率で測る：「異変を伝えられる文化」が被害の広がりを決める”フィッシング訓練の成果は、しばしば「クリック率」で語られます。しかし本件で被害を止めたのはクリックしなかった従業員ではなく、クリックしてしまったあとに「異常に気づいて同日に報告した」従業員でした。認証情報を入力してしまう瞬間そのものをゼロにするのは、AIによる巧妙化する偽ログインページを前提にすると現実的ではありません。むしろ 「入力してしまった後、どれだけ早く気づいて報告できるか」が、二次配信・大量流出への広がりを決めます。訓練の設計は、「クリックしない」だけでなく、「入力してしまったとき何をすれば止まるか」「報告先はどこか」「叱られない」の3点を体験させることに軸を移すべきです。（関連: 不審メールのワンクリック報告と影響範囲の自動分析は PhishAI を、認証情報詐取・SMS/電話・ClickFix 型を含むマルチチャネル訓練は ヤグラ アウェアネス を参照）
- フィッシング再配信を受けた553件の宛先での二次被害（さらなる情報窃取、なりすまし送金指示、マルウェア感染等）の発生有無
- 窃取された3,812件全体への今後の悪用の兆候（別ドメインからのなりすましメール等）
- 講談社側の再発防止策の具体的な内容（MFA導入、訓練プログラム更新、認証監視強化）
判明次第、本記事に追記します。
| 日時 | 内容 |
|---|---|
| 2026-08-05 | 第一報を公開 |