株式会社TENTIAL、メール送信サービスのアクセスキーを不正利用され自社アドレスから約11万通のフィッシングメール
| 項目 | 内容 |
|---|---|
| 発生日 | 2026年7月25日20時〜7月26日5時（フィッシングメールが送信された時間帯） |
| 公表日 | 2026年7月28日（報道は2026年8月14日および8月24日） |
| 対象組織・業界 | 株式会社TENTIAL（スポーツウェアやコンディショニング製品、衣料品・寝具の企画・販売／製造） |
| 影響件数 | 送信されたフィッシングメールは約110,000通。悪用された自動送信アドレスは3件（noreply@tential.jp、info@tential.jp、noreply@kencoco.com）。顧客データベースへの不正アクセスや個人情報の漏えいは確認されていない |
| 攻撃手法 | 同社が利用するメール送信サービスの認証情報（アクセスキー）を第三者が不正利用し、同社の正規メール送信環境からフィッシングメールを送信。アクセスキーが漏えいした経緯は公表されていない |
| 情報源 | 株式会社TENTIAL「【注意喚起】メール送信サービスの認証情報不正利用による不審メール（フィッシングメール）にご注意ください」（2026年7月28日）、ScanNetSecurity（2026年8月14日）、Security NEXT（2026年8月24日） |
スポーツウェアやコンディショニング製品を手がける株式会社TENTIALは2026年7月28日、同社が利用するメール送信サービスの認証情報（アクセスキー）が第三者に不正利用され、同社の正規メール送信環境からフィッシングメールが送信されたと公表しました。
悪用されたのは、同社が使用する自動送信メールアドレス3件（noreply@tential.jp、info@tential.jp、noreply@kencoco.com）です。送信されたフィッシングメールは約110,000通で、件名には「Abonnement PrimeVideo」など複数の種類が確認されています。
不正な送信が行われたのは2026年7月25日20時から7月26日5時までです。同社は検知後、直ちに不正なアクセスキーを無効化し、不正送信の経路を遮断しました。
現時点で顧客データベース等への不正アクセスや個人情報の漏えいは確認されていないとしています。同社は影響範囲の調査を継続するとし、利用者に対しては、リンクを開いていなければメールを削除する、開いてしまった場合はブラウザを閉じる、情報を入力してしまった場合はパスワードを変更する、添付ファイルを開いた場合はセキュリティスキャンを実施する、という段階ごとの対応を案内しています。
- アクセスキーが第三者に渡った経緯と時期: 公表されていない
- 2026年7月25日20時〜7月26日5時: 同社の正規メール送信環境から約110,000通のフィッシングメールが送信される
- 検知後: 不正利用されたアクセスキーを無効化し、不正送信の経路を遮断
- 2026年7月28日: 株式会社TENTIALが注意喚起として公表。影響範囲の調査を継続するとする
- 2026年8月14日・8月24日: 報道により広く伝えられる
判明している事実: 同社が利用するメール送信サービスの認証情報（アクセスキー）が第三者に不正利用されたことです。そのアクセスキーがどこから、いつ第三者の手に渡ったのかは公表されていません。顧客データベースへの不正アクセスは確認されていないとされています。
考えられる原因（推測）
Section titled “考えられる原因（推測）”送信元として悪用されたのが noreply@ を含む自動送信用のアドレスであることから、業務システムが注文確認や会員向けの通知を送るために使っていた経路がそのまま使われたと読めます。人が操作するメールアカウントではなく、プログラムが使う経路です。
この形の悪用で効いてくるのは、受け取る側から見て「正規の送信元から来たメール」と区別がつかないという点です。送信ドメインの正当性を検査する仕組みは、そのドメインの送信環境から出たことを確かめるものなので、環境ごと使われた場合には差が出ません。件名に「Abonnement PrimeVideo」といった、同社と無関係のサービスを装うものが並んでいた一方、送信元だけは本物だったことになります。
顧客データベースへの不正アクセスが確認されていない点については、アクセスキーで到達できる範囲がメールの送信機能に限られていた可能性が考えられます。ただし、キーの権限設定は公表されていません。
組織が学ぶべきこと
Section titled “組織が学ぶべきこと”1. プログラムが使う認証情報に、権限と有効期限を設定する
Section titled “1. プログラムが使う認証情報に、権限と有効期限を設定する”悪用されたのは人のログインではなく、システムがメールを送るためのアクセスキーです。この種のキーは一度発行すると設定ファイルや環境変数に置かれたまま長く使われ、権限も「とりあえず全部」になりがちです。送信だけができて宛先リストは読めない、有効期限が切れれば止まる、といった設定を入れておけば、漏れたときに使える範囲が縮みます。本件で顧客データベースへの影響が確認されていないのは、この範囲が結果的に狭かったためと考えられます。
2. 自社ドメインからの送信量を、平常時の水準と比べて見る
Section titled “2. 自社ドメインからの送信量を、平常時の水準と比べて見る”9時間で約11万通が送られています。通常の業務であれば、時間帯ごとの送信量にはおおよその幅があり、そこから大きく外れれば異常として拾えます。メール送信サービスの管理画面には送信数の推移が出るので、しきい値を決めて通知させるだけで気づける種類の異常です。送信の中身を見る必要はありません。
3. 自社ドメインが偽装に使われたときの案内を用意しておく
Section titled “3. 自社ドメインが偽装に使われたときの案内を用意しておく”同社は、リンクを開いていない場合から情報を入力してしまった場合まで、段階ごとの対応を案内しています。受け取った側は「本物のアドレスから来たのに偽物」という状況に置かれるので、削除してよいのか、パスワードを変えるべきなのかを自分では判断できません。この案内文は、事案が起きてから書くと時間がかかります。雛形を用意しておく対象に、自社ドメインの偽装を含めておく必要があります。
ヤグラの視点 — 影響範囲の自動調査：本物のアドレスから届いたメールは、見分け方では止まらない
Section titled “ヤグラの視点 — 影響範囲の自動調査：本物のアドレスから届いたメールは、見分け方では止まらない”受け取る側から本件を見ると、届いたのは noreply@tential.jp からのメールです。送信元をいくら確かめても偽装は見つかりません。実際に、そのドメインの送信環境から出ているからです。「差出人のアドレスをよく見る」「ドメインの綴りを確認する」といった手順は、この形の攻撃では機能しません。
では受け取る側は何をするか。中身で判断した誰かの一報を、組織全体の防御に変えることです。11万通のうち何通が自社に届いたかは、受け取った側にしか分かりません。1人が「取引先のアドレスから、身に覚えのない定期購入の案内が来た」と気づいた時点で、同じメールが社内の誰に届いているのかを割り出し、まだ開いていない人に先に届ける。この順序で動ければ、被害は最初の1人で止まります。
そのために決めておくことは2つです。ひとつは、迷ったメールを1クリックで報告できる窓口を1か所にすること。転送先を探している時間に2人目が開きます。もうひとつは、報告された1通と同じメールの配信先を、受け取った本人に聞かずに割り出せる状態にしておくこと。件名も送信元も本物なので、検索の条件としては使えます（→ ヤグラ PhishAI）。報告から洗い出しまでを数分で回せるかどうかが、この種の攻撃で分かれ目になります。
- アクセスキーが第三者に渡った経緯と時期
- 約110,000通の送信先の範囲（自社の顧客が含まれていたかどうか）
- 顧客データベースへの影響についての最終的な確認
- 再発防止策の公表内容
判明次第、本記事に追記します。
| 日時 | 内容 |
|---|---|
| 2026-08-26 | 2026年7月28日の公表内容および2026年8月14日・24日の報道をもとに記事を公開 |