共同通信社、職員アカウントの不正利用で約6,000件の連絡先情報が閲覧された可能性 — ニュース配信・編集システムへの影響は確認されず

項目	内容
発生日	不正アクセスの発生時期は未公表／判明: 2026年8月4日（外部からの情報提供を受け調査）
公表日	2026年8月5日
対象組織・業界	一般社団法人共同通信社（通信社／メディア・エンタメ）
攻撃手法	一部職員のアカウントが第三者に不正利用され、当該アカウントのメール・保存ファイルが閲覧された可能性（アカウントを奪われた経路は未公表）
情報源	共同通信社 公式お知らせ（2026年8月5日）、Security NEXT（2026年8月6日）、ITmedia NEWS（2026年8月5日）、INTERNET Watch（2026年8月5日）

概要

一般社団法人共同通信社は2026年8月5日、電子メールなどの業務環境において、不正アクセスによる情報漏えいの可能性が判明したと公表しました。同社が管理するアカウント情報のうち、計約6,000件が閲覧された可能性があるとしています。

公表された内訳は次の2区分です。

• 職員等に関する情報 約3,000件
• 加盟社・取引先等に関する情報 約3,000件

いずれも含まれるのは氏名、メールアドレス、所属部署名、役職名などで、パスワード情報が漏えいした事実は現時点では確認されていないとされています。

発覚の契機は同社自身の検知ではなく、2026年8月4日に外部から受けた情報提供でした。これを受けて調査したところ、一部職員のアカウントが第三者に不正利用された可能性が判明し、当該アカウントに保存されていたメールやファイルも閲覧された可能性があるとされています。

一方で同社は、ニュース配信システムや編集システムなど主要業務システムへの影響は確認されていないこと、加盟社のシステムや業務に直接影響する事実も現時点では確認されていないことを明記しています。共同通信社は加盟する新聞社・放送局へニュースを配信する通信社であり、配信の停止や記事の改変といった事態には至っていないという整理です。

経緯

• 発生時期: 不正アクセスがいつ始まったかは公表されていません
• 2026年8月4日: 外部からの情報提供を受けて調査を開始。一部職員のアカウントが第三者に不正利用された可能性を確認
• 対応として、不正利用に関係した可能性のある設定の停止、関係アカウントの安全対策の強化、アクセス記録の調査を実施
• 2026年8月5日: 公表。同日時点で確認された範囲として対象区分・件数を開示
• 2026年8月6日: Security NEXT が報道
• 影響範囲の特定と原因究明は継続中

原因

判明している事実: 一部職員のアカウントが第三者に不正利用され、そのアカウントのメール・保存ファイルが閲覧された可能性があること。そのアカウントがどのように奪われたのか（フィッシング、情報窃取型マルウェア、認証情報の使い回し、多要素認証の回避など）は公表されていません。攻撃者の身元・目的も公表されていません。

同社は「不正利用に関係した可能性のある設定を停止した」としていますが、その設定が何を指すかは公表されていません。

考えられる原因（推測）

以下は公表された事実から考えられる仮説であり、共同通信社が公表したものではありません。

1. 1アカウントの侵害で「6,000件」に届く構造: 閲覧されたのは特定のデータベースではなく、職員アカウントのメールと保存ファイルとされています。業務メールのやり取りとアドレス帳・添付ファイルには、職員・加盟社・取引先の氏名と所属と連絡先が自然に蓄積されます。つまり本件は「大規模な顧客DBが抜かれた」型ではなく、1人分の業務メールボックスが、そのまま数千件規模の関係者名簿だった型と考えられます。件数の大きさは、被害アカウント数の多さを必ずしも意味しません。

2. 正規アカウントでのアクセスは、検知シグナルが立ちにくい: 有効なIDでのログインとメール閲覧は、業務行為と形が同じです。ウイルス対策製品やEDRは検体を見つけるものであり、「本人のIDで、本人らしくない読み方をしている」ことは検知対象になりません。この形態の検知は、認証ログとメール監査ログの中で普段と違う接続元・時刻・大量のメール検索やファイルのダウンロードといった振る舞いを異常として拾えるかにかかります。

3. 外部からの情報提供が起点だったことが示す時間差: 発覚が外部指摘であったという経緯は、攻撃者がアカウントを利用していた期間を、社内の監視では捉えられていなかった可能性を示します。侵入時期は公表されておらず、検知までの空白期間の長さは現時点では分かりません。

4. 報道機関という業務特性がメール経由の攻撃と相性が悪い: 通信社の業務は、面識のない相手からのメールや添付ファイルを日常的に受け取ることを前提に成り立っています。取材依頼・情報提供・広報リリースの受け皿として外部からの受信を絞りにくい組織では、「不審なメールは開かない」という運用だけで入口を塞ぐことに構造的な限界があります。ただし、本件のアカウント侵害がメール経由であったかは公表されていません。

対策

組織が学ぶべきこと

1. 「アカウント1つ」を情報資産として棚卸しする: 本件で閲覧対象になったのはシステムではなく、1つのアカウントに紐づくメールとファイルでした。多くの組織は個人情報保護の対象を「顧客DB」「人事システム」の単位で管理していますが、実際には業務メールボックスが最大の非構造化データベースになっています。誰のアカウントがどの範囲の関係者情報を抱えているのか、退職者・異動者のメールがどれだけ残っているのかを把握しておくことが、侵害時の影響範囲説明の速度を決めます。

2. 「主要業務システムへの影響なし」を早い段階で言い切る: 共同通信社は公表の第一報時点で、ニュース配信システム・編集システムへの影響が確認されていないことを明示しました。報道機関にとって「配信された記事が本物か」は事業の根幹であり、ここに疑義が残ることは、漏えい件数以上に重い損害になり得ます。この種の切り分けを短期間で言い切れるかどうかは、平時のシステム分界とアクセスログの保全設計に依存します。業務メール環境と基幹系が同じ認証基盤・同じ権限で繋がっていれば、「メールだけの被害」と言い切ること自体ができません。

3. 侵害されたアカウントの「読まれた範囲」まで調べる: アカウントの無効化とパスワード変更は初動として必要ですが、それだけでは「何を読まれたか」は分かりません。メールの検索履歴、ファイルのダウンロード履歴、メール転送ルールの追加、外部アプリへの認可（OAuth同意）の有無まで確認しないと、攻撃者が残した居座り手段を見落とします。同社が「不正利用に関係した可能性のある設定を停止した」としている点は、この確認が行われていることを示唆します。

4. 連絡先の漏えいは「次の攻撃の材料」として扱う: 氏名・所属部署・役職・メールアドレスが揃った名簿は、そのまま標的型メールの宛名リストになります。パスワードが漏れていないことは重要な事実ですが、連絡先だけでも次の攻撃は成立します。対象者への注意喚起は、法令上の通知義務としてではなく、二次攻撃の予防措置として設計すべきものです。

ヤグラの視点 — 二次攻撃の連鎖を断つ：奪われたのは名簿ではなく、信用の宛名帳である

本件で漏えいの可能性があるのは、氏名・メールアドレス・所属部署・役職という、単体では「機密」に見えない情報です。クレジットカード番号でもパスワードでもない。それでもこの組み合わせが重いのは、共同通信社の連絡先情報が、加盟社・取引先との間で「このアドレスから来たメールは本物である」という前提を共有している宛名帳だからです。

漏れた側の被害は自組織で終わりません。次に想定すべきは、共同通信社の職員名・部署名・役職を正確に名乗り、実在する担当者宛に届く一通です。役職と所属が合っていて、文面の日本語が破綻していなければ、受け手が違和感を持つ手がかりはほとんど残りません。生成AIによって「巧妙な日本語のメールを大量に作る」コストがほぼゼロになった以上、漏えいした連絡先の価値は、漏えいした瞬間ではなく数週間後に最大化します。

だからこそ、この種の事案で組織が用意しておくべきなのは、漏えい元の再発防止策だけではありません。なりすましの一通が届いたときに、それが「誰に届いたか」を数分で答えられる体制です。人は騙される前提に立ち、騙された後にいかに早く封じ込めるかに軸足を移すということです。PhishAI は、不審メールをワンクリックで報告できる間口を用意したうえで、報告されたメールをAIが分析し、同様のメールが社内の誰に届いているかを自動で調査します。人間の調査で30分かかる作業を平均2分に短縮するという設計です。二人目・三人目の被害者が出る前に対象者を特定できるかどうかが、時間差でやってくる二次攻撃の連鎖を断てるかを決めます。→ PhishAI

そのうえで、本件のように正規アカウントでの閲覧という形態は、メール対策だけでは検知できません。認証ログ・メール監査ログを横断して「本人のIDだが本人らしくない振る舞い」を拾う監視が、外部からの通報を待たずに気づくための前提になります。→ ヤグラ AI SOC

今後の対応

• 職員アカウントが不正利用された経路（初期侵入経路）の公表
• 不正利用が行われていた期間の特定と、検知までの空白期間の長さ
• 「約6,000件」とされた対象件数の増減、および対象アカウント数の開示
• パスワード情報の漏えい有無に関する最終的な判断
• ニュース配信システム・編集システムへの影響なしという判断の維持
• 加盟社・取引先を宛先とするなりすましメール等の二次被害の発生有無

判明次第、本記事に追記します。

更新履歴

日時	内容
2026-08-07	第一報を公開