講談社で、取引先を装ったフィッシングメールのリンクを社員がクリックしたことを契機に、社用メールアカウントが不正アクセスを受け、保存されていた連絡先情報が窃取され、その情報を用いたフィッシングメールが大量送信される事案が発生した。
事案の詳細
報道によると、2026年7月27日に講談社の社員が取引先を偽装したフィッシングメールを受信し、メール内のリンクをクリックしたうえで、表示された偽のログイン画面に認証情報（ID・パスワード）を入力した。その結果、当該社員が使用している社用メールアカウントの認証情報が攻撃者に渡り、不正ログインが可能な状態となった。
その後、2026年7月30日に攻撃者が当該社用メールアカウントに不正ログインし、アカウント内に保存されていた連絡先情報を最大3,812件窃取した。窃取されたのは、メールアドレスと一部の氏名を含む連絡先情報であると報告されている。
さらに、流出した連絡先情報のうち553件のメールアドレス宛てに、当該社員になりすましたフィッシングメールが送信されたことが確認されている。これらのメールは、社員本人が送信した正規の業務連絡であるかのように見せかけて送信されており、受信者の警戒心を下げる形で攻撃が継続された。
今回のポイントは、攻撃側が「取引先を偽装する」手口を用いて受信者の警戒心を下げ、リンクのクリックと偽ログイン画面への認証情報入力を誘導した点にある。メールの送信元や件名、文面が取引先を想起させる形で作られていたとされ、日常的な業務連絡に紛れ込む形で攻撃が行われた。
被害として確認されているのは、社用メールアカウントへの不正ログイン、連絡先情報（最大3,812件）の窃取と、それを踏まえたフィッシングメールの大量送信である。窃取された連絡先がそのまま攻撃の宛先リストとして転用され、関係者に対し偽装メールが拡散した構図が読み取れる。
影響と背景
連絡先情報が窃取されると、当該組織内にとどまらず、取引先や関係者へ波及しやすい。今回も、窃取された連絡先情報を使ってフィッシングメールが大量送信されたとされ、被害が「連絡網」を介して広がり得る性質が示された。取引先になりすます手口は、日常業務の連絡を装えるため、受信者が判断を誤りやすい点が影響を拡大させる要因となる。
また、攻撃者は正規のメールアカウントを乗っ取ったうえでフィッシングメールを送信しており、送信元アドレスやメールヘッダ上は正規の社員からの連絡のように見える状態になっていたと報じられている。このため、単純な送信元ドメインの確認だけでは見抜きにくく、技術的対策とあわせて運用面の対策が求められる事案といえる。
講談社は2026年8月3日付で本件を公表し、外部の第三者による不正アクセスにより社用電子メールから個人情報が流出したことを公表・謝罪している。公表時点で、当該メールアカウントについてはパスワード変更やセッション削除などの対処が行われ、その後の新たな不正アクセスは確認されていないと説明されているが、個別の受信者側でどの程度フィッシングメールが開封・利用されたかといった詳細は現時点で不明である。
対策・今後の展望
- 不審メールの見分けと確認手順の徹底：取引先を名乗っていても、リンクを開く前に、別経路（電話・公式サイト・既存の連絡チャネルなど）で真偽確認する手順を組織として徹底する。特に、ログインを要求するメールやパスワード再設定を促すメールについては、メール中のリンクではなく、ブックマークや公式サイトからアクセスする運用を標準とする。
- 連絡先情報の取り扱い強化：連絡先が一度流出すると拡散に転用され得るため、保存場所や共有範囲、アクセス権限を見直す。社用メールアカウントやアドレス帳、共有の連絡先リストに対しては、必要最小限の保存と適切な権限管理、多要素認証（MFA）の導入、異常なログインの監視などを行う。
- 被害拡大防止の初動：フィッシングが疑われる場合は、社内外への注意喚起を速やかに行い、同種メールの受信状況や二次被害の有無を確認する。特に、乗っ取られたアカウントから取引先や関係者へメールが送信された場合は、送信先リストを把握し、個別または一斉の注意喚起を行うことで、さらなる認証情報窃取の連鎖を防ぐ。
CSRIからの現場アドバイス
【現場で何が起きているか】CSRIが支援する中小企業のMDR運用や診断では、「取引先を装ったメール→リンククリック→偽ログイン画面への認証情報入力→メールアカウント乗っ取り→連絡先の持ち出し→社外へばらまき」の流れが繰り返し見られる。特にアドレス帳や共有の連絡先が権限管理なしで置かれ、未対策のまま放置されている例が多い。
【平易な解説】例えるなら、社内の電話帳を盗まれて、その番号に「知り合いのふり」をした電話が一斉にかかるようなものだ。つまり、最初のクリックで終わらず、盗まれた連絡先が次の攻撃の名簿として使われ、取引先まで巻き込まれる危険が高まる。今回のように、正規のメールアカウントを利用して送信されることで、受信者側からは本物かどうかの判別がさらに難しくなる。
【今週中にできること】まず、取引先名のメールでもリンクは開く前に「別の連絡手段で確認する」を社内ルールとして周知する。次に、連絡先の保存場所を洗い出し、共有フォルダやクラウドの公開範囲を担当者に点検させる。最後に、不審メールを見つけた時の報告先と手順（情報システム部門やセキュリティ担当窓口など）を一枚にまとめて配布し、誰でもすぐに報告できる体制を整える。
参照: 連絡先情報が窃取されフィッシングメール大量送信 ～ 取引先を偽装したフィッシングメールのリンクを講談社社員がクリック