30秒で分かる結論
講談社は2026年8月3日、社用の電子メールアカウントが不正アクセスを受け、取引先などの連絡先情報が最大3,812件流出したと発表しました。流出したのはメールアドレスと一部氏名です。このうち553件のメールアドレス宛には、乗っ取られたアカウントから同社社員になりすましたフィッシングメールが送信されています。
発端は7月27日、取引先を装うフィッシングメールのリンクを社員が開き、表示された偽のログイン画面にID・パスワードを入力してしまったことでした。同社は個人情報保護委員会への報告を完了しています。
まず初めに
結論から言う。事の発端はたった1通のメールと、1回のクリックだ。大手出版社だろうと、この構図の前では何も特別扱いされない。むしろ厄介なのは、乗っ取られたアカウントが「本物の送信元」として次の攻撃の道具に変わった点だ。信頼していた相手が、いつの間にか攻撃者の代理人になっている。
何が起きているのか
報道によると、事案の経緯は次の通りです。7月27日、講談社の社員が、取引先を装うフィッシングメールに記載されたリンクを開き、表示された偽のログイン画面に自分のメールアカウントのID・パスワードを入力しました。これにより、攻撃者が社員のメールアカウントへ不正にログインできる状態になりました。
3日後の7月30日、攻撃者はこのアカウントへログインし、保存されていた連絡先情報を窃取したうえで、そのうち553件のメールアドレス宛に、乗っ取った社員になりすましたフィッシングメールを大量に送信しました。同日中に当該社員が異常に気づき、ログインパスワードの変更とセッションの削除(ログイン状態の強制解除)を行い、それ以上の不正利用を止めています。
流出が確認された連絡先情報は最大3,812件で、内容はメールアドレスと、一部については氏名です。講談社は流出の可能性がある連絡先へ、7月31日付で漏えいの概要・漏えいした個人情報の項目・問い合わせ窓口を記載したメールを送って通知するとともに、個人情報保護法に基づく個人情報保護委員会への報告を完了したとしています。8月3日、これらの経緯を公式サイトで公表しました。
なぜ重要なのか
今回の事案は、特別な技術的欠陥ではなく、フィッシングメール1通をきっかけとした社員の入力ミスから始まっています。講談社のような大手出版社であっても、フィッシングによるアカウント乗っ取りは起こり得ることを示す事例です。
さらに注目すべきは、乗っ取られたアカウントが「正規の送信元」として悪用された点です。攻撃者は、盗んだ連絡先へ、本人になりすましたフィッシングメールを553件送信しました。受け取った側から見ると、送信元は普段やり取りのある本物のメールアドレスであるため、見分けるのが難しくなります。このように、1件のアカウント乗っ取りが、取引先や関係者を狙う次の攻撃の踏み台になる点が、今回の事案が注意を要する理由です。
3日間のタイムラグが意味すること
侵入から実際の悪用まで、3日間の間隔があったことも見逃せないポイントです。この間、攻撃者はアカウントに自由にアクセスできる状態でしたが、外部からはその異常に気づけませんでした。侵入されたことと、実害が発生することの間には、こうした「静かな期間」が存在することがあり、この期間にログイン履歴の異常などに気づける仕組みがあれば、被害を未然に防げた可能性があります。
私たちへの影響
今回の対象は、流出した連絡先情報に含まれていた講談社の取引先など、当該社員とメールでやり取りのあった相手です。書籍の購入者や講談社のサービス利用者全般を対象とした発表ではありません。
該当する可能性がある連絡先には、講談社から7月31日付で個別に通知が届いています。心当たりがない場合でも、7月30日前後に「講談社の担当者」を名乗るメールを受け取った場合は、本文中のリンクを不用意に開かず、電話など別の手段で相手に事実を確認することをおすすめします。
初心者が知っておくべきこと
今回のように、乗っ取られたメールアカウントから本人になりすましたメールが送られる手口は、送信元のアドレスだけを見ても気づきにくいという特徴があります。ふだんやり取りのある相手からのメールであっても、次のような場合は注意が必要です。
- 添付ファイルやリンクを開かせようとする、いつもと違う文面
- 振込先の口座変更など、金銭に関わる依頼が急に届く
- 「至急対応してほしい」など、判断を急がせる表現
少しでも違和感があれば、メールに返信するのではなく、電話など別の手段で本人に事実を確認することが有効です。企業の担当者間でやり取りされる、取引先や経営者になりすましたこの種の詐欺は「ビジネスメール詐欺（BEC）」と呼ばれ、IPA（情報処理推進機構）が対策情報を公開しています。
よくある質問
Q. 自分が対象かどうかはどう確認できますか？
A. 講談社は、流出した連絡先情報に該当すると判断したメールアドレス宛に、7月31日付で個別に通知メールを送付しています。通知の中に、漏えいした個人情報の項目や問い合わせ窓口の案内が含まれています。
Q. どのような文面のフィッシングメールだったのですか？
A. 報道の範囲では、取引先を装う巧妙なフィッシングメールだったと説明されていますが、具体的な文面までは公表されていません。
IT Postの見方
IT Postでは、今回の事案が、フィッシングという古くから知られた手口であっても、大手企業を含めどの組織でも起こり得ることを改めて示したと考えます。特に、乗っ取られたアカウントが取引先への攻撃の踏み台に使われた点は、被害が自社内にとどまらず、周囲の信頼関係を通じて広がるリスクがあることを示しており、メールアカウントの多要素認証（二段階認証）など、乗っ取りそのものを防ぐ対策の重要性を改めて示す事例だと考えます。あわせて、講談社が経緯を含めて比較的早期に公表した対応は、被害の拡大を防ぐうえで妥当な判断だと考えます。
今後どうなりそうか
講談社は個人情報保護委員会への報告を完了しており、今後、再発防止に向けた社内対策の詳細を公表するかが注目されます。今回のようにフィッシングを起点としたメールアカウントの乗っ取りは、業種を問わず起こり得るため、企業間でのなりすましメールへの警戒は引き続き必要とみられます。
