仕事のメールは、自分だけでは守れない漏えいのニュースから考えるアカウントの守り方
公開
この記事の目次
自分は怪しいメールも開いていない。パスワードを誰かに教えた覚えもない。
それでもある日、サービス会社から「メールのパスワードを変更してください」と案内が届くことがあります。
利用者のパソコンや操作に問題がなくても、メールを提供している「大元のシステム」への攻撃が影響することがあるからです。
2026年6月、KDDIがインターネット接続事業者（ISP）向けに提供していたメールシステムへの不正アクセスが判明しました。7月に公表・更新された調査結果によると、約1,223万人分のメールアドレスと、そのうち約762万人分のパスワードの漏えいが確認されています。
影響を受けたのは、KDDIの共通システムを利用していた複数のプロバイダです。BIGLOBEや@nifty、J:COMなど、仕事や私生活で使われている身近なサービスが含まれていました。
ただし、漏えいした情報や対応は、サービスによって異なります。
- BIGLOBE
- 約502万人分のメールアドレスなどと、約463万人分のパスワードの漏えいを確認。案内後も対象のパスワードを変更していない利用者に対し、強制的なパスワードリセットを実施しました。
- J:COM NETメール
- 調査の結果、漏えいが確認されたのはメールアドレスであり、パスワードの漏えいは確認されなかったと発表しました。
この事件から考えたいのは、被害の大きさだけではありません。
「会社のメールを安全に使えるかどうかは、自分たちが気をつけているだけでは決まらない」ということです。
仕事の連絡、ネット予約、ホームページの管理画面、公式SNS。いくつものサービスに、同じ仕事用メールアドレスを登録していないでしょうか。
そのメールを守ることがなぜ大切なのか、実際の事件を手がかりに考えてみます。
メールのパスワードが漏れたら、すぐに乗っ取られるの？
すぐに乗っ取られるとは限りません。ただし、同じパスワードを使っている別のサービスまで狙われる危険があります。
情報が漏えいしたことと、実際にアカウントが乗っ取られたことは別です。パスワードが流出したとしても、誰かがそれを使ってログインに成功したとは限りません。追加の本人確認が設定されていたり、すでにパスワードが変更されていたりすれば、被害を食い止められる場合もあります。
KDDIの事件も、「約762万人分のメールボックスがすべて乗っ取られた」という発表ではありません。
ただし、メールアドレスとパスワードの組み合わせが攻撃者の手に渡れば、不正ログインを試されるおそれがあります。そこで確認したいのが、パスワードの使い回しです。
仕事用メールと同じパスワードを、ほかのサービスでも使っていませんか？
例えば、Instagramや予約システム、通販サイトでも同じものを使っている場合です。攻撃者は、手に入れたIDとパスワードの組み合わせを使い、ほかのサービスにもログインを試みます。これを「パスワードリスト攻撃」と呼びます。
一つのサービスから漏れた情報が、別のサービスの入口を開けるために使われてしまうのです。
サービスごとに異なるパスワードを使えば、使い回しによって被害が広がる危険を減らせます。
ただし、メールそのものを乗っ取られ、ほかのサービスの「パスワード再設定」を悪用される危険は別にあります。パスワードを分けることに加え、仕事用メールへのログインも守る必要があります。
仕事のメールを乗っ取られると、何が起きるの？
やり取りを盗み見られるだけでなく、本人になりすまして偽の請求書を送られるおそれがあります。
毎日の仕事メールを少し思い浮かべてみてください。
お客様からの問い合わせ、取引先への見積書、仕入先から届く請求書、これからの契約の相談。
一つのメールボックスに、会社の仕事や信用に関わる情報が集まっているはずです。
第三者が侵入した場合、過去のメールを読まれるだけでなく、そのアカウントから偽のメールを送られることがあります。例えば、取引先へ請求書を送った後に、次のような連絡をされる手口です。
「先ほどお送りした請求書ですが、振込先の口座が変更になりました。恐れ入りますが、こちらへお振込みをお願いいたします」
取引先から見れば、普段やり取りしている担当者の本物のアドレスから届いたメールです。
過去のやり取りを盗み見られていれば、担当者名や案件名、取引内容、支払う予定の金額まで、正しく書かれていることもあります。文章に違和感があるかどうかだけで判断するのは難しくなります。
このように取引先や経営者などを装い、偽の口座へお金を振り込ませる手口を「ビジネスメール詐欺（BEC）」と呼びます。実際のアカウントを乗っ取るもののほか、差出人を偽装したり、よく似たメールアドレスを使ったりする手口もあります。
IPA（情報処理推進機構）も、2026年8月に公開した資料で、こうしたメールを悪用する攻撃と対策を紹介しています。
小さな会社でも、メールで請求書や見積書をやり取りする機会はあるはずです。取引先が偽の口座へ振り込んでしまえば、金銭的な損失だけでなく、信頼関係にも影響します。
振込先の変更など、お金に関わる連絡については、確かめ方を社内で決めておくと役立ちます。
相手のメールボックスが乗っ取られていれば、確認の返信にも攻撃者が答えられます。本文や署名の電話番号も、攻撃者の連絡先に書き換えられているおそれがあります。手元の名刺や取引先台帳など、今回のメールとは別に保管している連絡先へ確認します。
メールを取られると、ほかのサービスまで危なくなるの？
仕事用メールが、多くのサービスの「パスワード再設定」の窓口になっているからです。
ホームページの管理画面、Googleマップの店舗情報、Instagram、ネットショップ、クラウドストレージ。利用するときに、仕事用のメールアドレスを登録していないでしょうか。
パスワードを忘れた際、「登録されているメールアドレスに、再設定用のURLを送ります」と案内するサービスは少なくありません。
そのため、メールボックスを乗っ取られると、再設定メールを攻撃者に読まれ、別のサービスのログイン情報まで変更されるおそれがあります。
追加の本人確認や復旧方法はサービスによって異なるため、メールを読めれば何でも変更できるわけではありません。それでも、再設定の窓口となるメールを優先して守る必要があります。
あわせて確認したいのが、会社全体を管理する「管理者アカウント」です。
例えばGoogle Workspaceでは、特権管理者などの強い権限を持つアカウントは、利用者の追加・停止やセキュリティ設定の変更ができます。こうしたアカウントが不正に使われれば、影響がほかの従業員にも広がるおそれがあります。
- 日常業務用のアカウント
- メールの送受信や、通常の仕事を行う。
- 管理用のアカウント
- 利用者や会社全体の設定を、必要な権限の範囲で管理する。
小さな会社では、同じ人が両方の役割を担当することもあります。その場合でも、日常業務用と強い管理権限を持つアカウントを分ければ、普段の操作に伴う危険を小さくできます。
「管理者だから何でもできるようにする」のではなく、担当する作業に必要な権限を割り当てることが大切です。
パスワード以外にも、盗まれると困る情報があるの？
あります。パスワードのハッシュ値や、ログイン状態・外部連携に使われる情報も、確認が必要です。
2026年9月、画像共有サービス「Gyazo」で、画像アップロードサーバーの脆弱性を悪用した不正アクセスが発生しました。
運営元のHelpfeelの発表によると、流出したユーザー関連データは約2,362万件です。この中には、メールアドレスを登録していない匿名ユーザー約1,801万件が含まれています。メールアドレスの登録があったユーザーは約562万件とされており、「約2,362万人分のメールアドレスが漏れた」という意味ではありません。
漏えいした項目には、メールアドレスのほか、次のような情報が含まれていました。利用状況によって、各ユーザーに関係する項目は異なります。
- パスワードのハッシュ値
- パスワードに一定の計算を行って得られる値。
- ログインセッションID
- ログイン済みであることを識別するためのデータ。
- X（旧Twitter）との連携用トークン
- 外部サービスとの連携に使う認証情報。
ハッシュ値は、復号して元に戻すことを前提とした「暗号化」とは異なります。ただし、元のパスワードが単純だったり、保管に使う計算方法が弱かったりすると、候補を繰り返し試して元のパスワードを推測される危険があります。
また、有効なセッションIDが盗まれると、パスワードを入力する手順を経ずに、ログイン状態を悪用される場合があります。外部連携用のトークンも、種類や与えられた権限によって、できることが変わります。
Gyazoの件では、9月25日の第二報で、流出したトークンだけでXアカウントへの不正ログインや操作を行うことはできないと確認されたこと、予防措置として関連する認証情報を無効化したことが説明されています。Google連携について、公表された漏えい項目はログイン用のメールアドレスです。
「連携情報が漏れた」という言葉だけで、ほかのサービスのパスワードまで漏れたと判断することはできません。何の情報が漏れ、それを使って何ができるのかを、公式発表で確かめることが必要です。
同時に、普段使っているアプリについても、「どのサービスと連携させ、何を許可しているか」を見直すきっかけになります。
どうして、これほど多くのアカウントが一度に影響を受けるの？
複数のサービスが、共通のシステムを使っていることがあるからです。
KDDIの事件で狙われたのは、利用者一人ひとりのパソコンやスマートフォンではありません。複数のインターネット接続事業者が利用する、共通のメール基盤でした。
KDDIの報告では、組み込まれていた第三者製ソフトウェアの脆弱性が悪用されたとされています。その脆弱性は、不正アクセスが判明した6月17日時点で、開発元も把握していなかったと説明されています。このような、対策が整う前に悪用される未知の脆弱性は「ゼロデイ脆弱性」と呼ばれます。
共通の基盤に問題が起きると、その上で動く複数のサービスに影響が及ぶことがあります。
利用者が、提供会社の内部システムを直接修正することはできません。だからこそ、外部サービスを使うときは、管理する役割を確認しておく必要があります。
- サービス提供会社が管理すること
- 提供するサーバーやソフトウェアの更新、システムの監視、脆弱性が見つかった際の対応など。
- 利用する会社が管理すること
- 誰にアカウントを渡すか、どの権限を与えるか、パスワードや本人確認をどう設定するか、不要な外部連携が残っていないかなど。
具体的な分担は、サービスの仕組みや契約によって異なります。自社のパソコンやスマートフォンの更新も、利用する側で確認することの一つです。
「どこまでを提供会社に任せ、どこを自分たちが管理するか」。この区切りを把握しておくと、日々の点検や、事故が起きたときの対応を決めやすくなります。
セキュリティの設定をしていても、乗っ取られることはあるの？
あります。それぞれの設定は、異なる危険に備えるためのものだからです。
会社の独自ドメインでメールを使っていると、「SPF」「DKIM」「DMARC」という言葉を聞くことがあるかもしれません。
これらは、送信に使われたサーバーや電子署名などを確かめ、差出人のドメインを偽装したメールを見分けるための仕組みです。DMARCでは、認証に失敗したメールについて、受信側にどう扱ってほしいかも指定できます。
適切に設定・運用することで、自社のドメインを詐称したメールへの対策になります。ただし、設定内容や受信側の処理によって効果は異なり、設定しただけですべての偽メールが拒否されるわけではありません。表示名だけをまねる手口や、よく似た別のドメインを使う手口もあります。
さらに、本物のメールアカウントが乗っ取られ、正規の経路から送信された場合、送信元の認証だけでは不正なメールだと判断できないことがあります。
多要素認証も、パスワードが盗まれた際の不正ログイン対策として役立ちますが、サービス提供会社側のプログラムの脆弱性まで修正するものではありません。
それぞれの役割を分けて考えると、必要な備えが見えやすくなります。
- パスワードをサービスごとに分ける
- 使い回しによる不正ログインの連鎖を防ぐ。
- 多要素認証を設定する
- パスワードだけで不正ログインされる危険を減らす。
- 権限を絞る
- 侵入されたときに、操作や閲覧ができる範囲を小さくする。
- SPF・DKIM・DMARCを設定する
- 自社ドメインを偽装したメールを見分け、対処しやすくする。
どれか一つで、すべての危険に備えられるわけではありません。「何のための対策か」を知り、組み合わせて使うことが大切です。
小さな会社なら、何から確認すればいいの？
まずは、いま使っているアカウントの管理状況を、4つの点から確認します。
仕事用メール、Googleマップ、SNS、予約システム、ホームページの管理画面。使っているものを挙げながら、次の点を見直してみてください。
IPAも2026年10月の注意喚起で、アカウントや権限の管理、多要素認証、ログの確認などを呼びかけています。ここでは、小さな会社で確認しやすい形に整理します。
1．メールの管理権限は、整理されていますか？
日々のメールは使えていても、契約者情報や管理画面へのログイン方法が社内で分からなくなっていないでしょうか。辞めたスタッフや契約を終えた制作会社が、今も管理画面を開ける状態になっていないかも確認します。
誰がアカウントを追加・削除するかを決め、不要なアカウントや権限を整理します。強い管理権限は、必要な人だけに割り当てます。
2．パスワードの使い回しをしていませんか？
複数のサービスで同じパスワードを使っていると、一つのサービスから漏れた情報を、別のサービスへの不正ログインに使われるおそれがあります。
サービスごとに、長く推測されにくいパスワードを設定します。管理にはパスワード管理ツールを活用できます。対応するサービスでは、多要素認証やパスキーも設定します。パスキーは、端末の指紋認証や画面ロックなどで利用できるログイン方法です。
3．不審な「自動転送」や「外部連携」はありませんか？
侵入した第三者が、届いたメールを知らないアドレスへ転送する設定を残すことがあります。メールの転送設定を確認したことがなければ、転送先や、自動処理のルールを確認します。
「Googleでログイン」「Xと連携」など、以前に許可したアプリも定期的に見直します。不要になったものは、業務への影響を確かめたうえで解除します。
4．管理者がログインできなくなったときの準備はありますか？
管理者1人のスマートフォンだけに頼っていると、端末の故障や紛失、担当者の退職などで、管理作業や復旧が滞るおそれがあります。
サービスが用意するバックアップコードや予備の認証手段を、安全な場所に保管します。必要に応じて別の担当者に個別の管理用アカウントを用意し、復旧時の連絡先や手順も確認します。管理者用パスワードを全員で共有する方法は避けます。
もし、使っているサービスから漏えいの連絡が届いたら？
メール内のリンクをすぐに開かず、公式窓口で情報を確かめてから対処します。
契約しているメールサービスなどから情報漏えいの連絡が届いた場合は、次の順に確認を進めます。
- 便乗した詐欺メールでないかを確かめる 「パスワードが漏れました。こちらから再設定してください」という偽の案内も考えられます。届いたメールのリンクから進まず、保存してあるブックマークや公式アプリなどから、お知らせを確認します。
- 対象者と、漏れた情報の種類を確認する 自分の契約や利用時期が対象か、メールアドレスだけなのか、パスワードや外部連携情報も含まれるのかを確かめます。提供会社が案内する対処を確認してください。
- 必要なパスワードを変更し、使い回しを解消する パスワードの漏えいやそのおそれがある場合は、公式の案内に従って変更します。同じパスワードをほかでも使っていた場合は、そちらも、それぞれ異なるものに変更します。
- 不審なログインや設定を確認し、残った接続を切る 見覚えのない端末やセッションはログアウト・失効させます。知らない転送先、メールの自動処理、外部アプリへの許可、復旧用の連絡先が追加されていないかも確認し、不正な設定や許可は解除・修正します。パスワードを変更しても、すべての接続が切れるとは限りません。操作が分からない場合は、公式サポートへ相談します。
- 取引先への影響を確認し、必要な連絡・相談を行う 自社のメールから不審な連絡が送られた形跡があれば、電話など別の手段で相手に知らせます。偽の口座へ送金してしまった場合は、速やかに金融機関へ連絡し、警察へ相談してください。
提供会社ごとに、設定画面や必要な作業は異なります。ニュースの見出しだけで判断せず、公表された事実と自分たちの利用状況を照らし合わせて、一つずつ対処することが大切です。
自分の会社のメールは、本当に大丈夫？
最後に、仕事用のメールについて振り返ってみてください。
そのメールアドレスは、いま何のサービスにつながっていますか。
お客様からの問い合わせだけでなく、ホームページの管理、Googleマップ、SNS、会計ソフト、ネット予約などの登録先になっていないでしょうか。
そして、そのアカウントを管理する人と、困ったときの復旧方法は決まっているでしょうか。
KDDIやGyazoの事例は、提供会社のシステムで起きた問題が、利用する側にも影響することを示しています。パソコンにウイルス対策ソフトを入れることだけでは、仕事で使うサービス全体を守ることはできません。
提供会社が対応すべきこともあれば、自分たちで整えられることもあります。パスワードを使い回さない。多要素認証を設定する。不要な権限や外部連携を減らす。復旧方法を用意する。こうした管理は、被害が広がる危険を小さくし、問題が起きたときに動きやすくするための備えです。
「メールが毎日届いていること」だけでは、管理の状態までは分かりません。
まずは今日、仕事用メールに登録されている管理者、本人確認の設定、転送先の3つから、確認してみてはいかがでしょうか。
