小田原エンジニアリング、ドイツ子会社出向者のメールが5か月間読まれる — なりすまし入金指示で取引先に金銭被害
| 項目 | 内容 |
|---|---|
| 発生日 | 不正アクセス: 2026年3月27日〜8月31日（約5か月）／検知: 2026年8月31日 |
| 公表日 | 2026年9月15日 |
| 対象組織・業界 | 株式会社小田原エンジニアリング（神奈川県足柄上郡松田町／モーター用巻線設備の開発・製造）。侵害されたのは同社ドイツ子会社 Odawara Automation Deutschland GmbH へ出向していた従業員1人のメールアカウント |
| 影響件数 | 対象は当該従業員1人と取引先担当者との間で送受信されたメールの内容。閲覧が確認されたのは 約3,500通（最も古いもので2018年に送受信されたメール）で、今後の調査により増減する可能性があると説明されている。対象となった個人の人数は公表されていない。機微性の高い個人情報（健康状態等）、およびクレジットカード情報等の直接二次被害を生じさせる情報が漏えいした事実は、現時点で確認されていない。一部の取引先で金銭被害が発生（金額は非公表） |
| 攻撃手法 | 従業員1人のメールアカウントへの不正アクセス（侵入経路は非公表）→ 約5か月にわたるメールの閲覧 → 閲覧した取引内容を踏まえ、同社従業員になりすまして取引先へ入金を指示するメールを送信 |
| 情報源 | 株式会社小田原エンジニアリング「不正アクセスによる情報漏えいに関するお詫びとお知らせ」（2026年9月15日）、サイバーセキュリティ.com（2026年9月16日）、セキュリティ対策Lab（2026年9月15日）、株式会社アクト（2026年9月15日） |
株式会社小田原エンジニアリング（神奈川県足柄上郡松田町／モーター用巻線設備の開発・製造）は2026年9月15日、同社のドイツ子会社 Odawara Automation Deutschland GmbH へ出向していた従業員1人のメールアカウントが第三者による不正アクセスを受け、取引先担当者の個人情報を含むメールが閲覧されたと公表しました。
不正アクセスは2026年3月27日から8月31日までの約5か月間にわたって続いていました。対象は当該従業員1人と取引先担当者との間で送受信されたメールの内容で、現時点で閲覧が確認されているのは約3,500通、最も古いものには2018年に送受信されたメールが含まれています。侵入が始まったのは今年3月ですが、その時点でメールボックスに保存されていた過去のメールも閲覧の対象になったため、影響の及ぶ範囲は最長で8年前までさかのぼります。この約3,500通は調査で判明した範囲であり、今後の調査により増減する可能性があると同社は説明しています。
被害はメールを読まれたことにとどまりません。第三者は正規のやり取りを閲覧したうえで同社従業員になりすまし、取引先へ入金を指示するメールを送信しており、一部の取引先で金銭的な被害が発生しています。被害額は公表されていません。同社は被害が確認された取引先と連携して拡大防止に取り組んでおり、その他の取引先についても被害の有無を含めて個別に調査を進めているとしています。
一方で、機微性の高い個人情報（健康状態等）が含まれていた事実、およびクレジットカード情報等の直接二次被害を生じさせる情報が漏えいした事実は、いずれも現時点では確認されていないとしています。同社は顧問弁護士に相談のうえ、日本の個人情報保護委員会と、ドイツの監督当局である Bayerisches Landesamt für Datenschutzaufsicht へ報告しています。
- 2026年3月27日: 第三者による当該メールアカウントへの不正アクセスが始まる（この時点では気づかれていない）
- 2026年3月27日〜8月31日: 第三者がアカウントに継続的にアクセスし、メールを閲覧。閲覧が確認されたのは約3,500通で、2018年に送受信されたものも含まれる
- 時期不明: 第三者が閲覧したやり取りを踏まえ、同社従業員になりすまして取引先へ入金を指示するメールを送信。一部の取引先で金銭被害が発生
- 2026年8月31日: 当該アカウントで不正アクセスの痕跡を確認
- 発覚後（同日以降）: パスワードの変更と全セッションの強制ログアウト、拠点外アクセス時の多要素認証の必須化、不正に用いられたドメインのメール送受信のブロック設定を実施。あわせて監査ログの取得・解析による影響範囲の調査、外部からの不正なログイン試行がその後成功していないことの確認（日次監視を継続中）、他の従業員アカウントに同様の被害がないことの確認を実施
- 2026年9月15日: 同社が事案を公表。顧問弁護士に相談のうえ、日本の個人情報保護委員会とドイツの監督当局へ報告。取引先に対し、振込先・支払条件・担当者・連絡先の変更連絡を受けた際はそのまま手続きを進めず問い合わせ窓口へ連絡するよう依頼
侵入の手段は公表されていません。以下は、公表された事実から他の組織が学べることです。
1. メールの保存期間を決め、期間を過ぎたものは受信箱から外す
Section titled “1. メールの保存期間を決め、期間を過ぎたものは受信箱から外す”閲覧されたメールには2018年送受信分が含まれていました。侵入は2026年3月ですが、その時点で受信箱に残っていた過去のメールがまとめて読まれたためです。保存期間を決めて、過ぎたものを別の保管先へ移すか削除しておけば、同じことが起きたときに読まれる範囲をその期間分に抑えられます。
2. 出向者・駐在者のアカウントにも、拠点外アクセスの多要素認証を必須にする
Section titled “2. 出向者・駐在者のアカウントにも、拠点外アクセスの多要素認証を必須にする”IDとパスワードだけで入れる状態では、どこかで漏れた認証情報がそのまま使えます。海外子会社への出向者のように現地で業務を回しているアカウントは、本社のID管理の棚卸しから抜けやすい部類です。対象を「本社の従業員」ではなく「自社のドメインでメールを送受信するすべてのアカウント」で数え直すと、必須化が届いていない範囲が見つかります。
3. 入金先の変更は、メール以外の経路で確認する
Section titled “3. 入金先の変更は、メール以外の経路で確認する”取引先に届いた入金指示は、進行中のやり取りの続きとして書かれていました。文面や送信元アドレスで見分けられるとは限りません。振込先口座や支払条件の変更連絡を受けたら、メールに書かれた連絡先ではなく契約時に交換した電話番号へかけ直して確認するという取り決めを、社内規程と取引先との合意の両方に入れておきます。同社も公表にあわせて、同様の依頼を取引先へ出しています。
ヤグラの視点 — 5か月気づかなかったことが、被害を社外まで広げた
Section titled “ヤグラの視点 — 5か月気づかなかったことが、被害を社外まで広げた”被害を拡大させたのは、侵入そのものよりも、その後約5か月にわたってメールを閲覧され続けたことです。
攻撃者は窃取した正規のID・パスワードを使ってログインするため、認証ログ上は「成功」として記録されます。端末側だけを見ても、通常の利用と見分けることは容易ではありません。
そこで重要になるのが、ログインの成否だけでなく、ログイン後の「振る舞い」を継続的に監視することです。たとえば、接続元の国や地域、アクセスする時間帯、1日に閲覧するメールの件数などを平常時と比較すれば、通常とは異なる利用の兆候を早期に捉えられる可能性があります。
一方、こうした手がかりとなるログは、メール基盤やID基盤、ネットワーク機器など複数のシステムに分散しています。これらを人手で日々突き合わせ、異常を見つけ続ける運用には限界があります。
AIを活用して複数のログを24時間365日横断的に監視することで、異常の兆候を継続的に分析し、検知から初動までの時間を短縮できます（→ ヤグラ AI SOC）。
- 最初にアカウントへ侵入された手段（フィッシングによる認証情報の窃取か、認証情報の使い回しか、他の経路か）
- 閲覧されたメールに含まれる個人情報の項目と、対象となった人数
- 取引先で発生した金銭被害の件数と金額、および回復の見込み
- 被害の有無を個別に調査中とされている他の取引先で、新たな被害が判明するかどうか
- 約3,500通という閲覧確認数が、調査の進展によってどう動くか
- 日本の個人情報保護委員会およびドイツ Bayerisches Landesamt für Datenschutzaufsicht への報告を受けた対応
判明次第、本記事に追記します。
| 日時 | 内容 |
|---|---|
| 2026-09-17 | 第一報を公開 |
