e-Mobility Powerのメールサービスへの不正アクセス（迷惑メール大量送信の踏み台・個人情報漏えいは未確認）
公表日
e-Mobility Powerのメールサービスが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受け、2025年10月18日の約20分間に、同社を装った迷惑メールが国内外へ大量に送られました。個人情報の漏えいは、現時点で確認されていません。
対象者は？
同社を名乗る迷惑メールを受け取った人が対象です。送信件数や宛先の数は、今回確認できた報道では示されていません。個人情報の漏えいは現時点で確認されていないとされています。
同社を名乗る、心当たりのないメールが届いていないか確認してください。送信時間帯は2025年10月18日の13:58〜14:17頃とされています。
いますぐできること
- 同社を名乗る心当たりのないメールは、添付ファイルを開かないでください。
- 本文中のURLをクリックしないでください。
- そのようなメールは、メールごと削除してください。
何が起きたのか
同社が充電サービスのシステムで使っているメールサービスに、不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。がありました。2025年10月18日（土）の13:58〜14:17頃、同社のアカウントが使われて、迷惑メールが国内外へ大量に送られました。送信元には、同社のドメインを装ったアドレスが使われました。同社はこのメールサービスを止めて、外部からの不正な送信をふさぎ、送信は収まりました。同社は10月21日に発表しました。
なぜ起きたのか・なぜ広がったのか
原因や侵入の方法は、まだ発表されていません。
いまの状況2025-11-10 時点続報待ち
2025年11月10日の報道時点で、迷惑メールの送信は収まっています。個人情報等の漏えいは、現時点では確認されていません。同社は詳細を確認中で、原因を調べ、管理体制と技術的な対策を強めるとしています。原因と再発防止策の詳しい内容は、まだ発表されていません。
企業として考えたいこと
もし自社のメールの送信機能が悪用され、自社名を装ったメールが短時間で大量に送られたら、誰がどのくらいの時間で気づき、止められますか。
技術的な要約
e-Mobility Powerは、充電サービスシステムで利用しているメールサービスが不正アクセスを受け、同社アカウントを踏み台にした迷惑メールが2025年10月18日13:58〜14:17頃に国内外へ大量送信されたと発表した。送信元として同社ドメインを装ったアドレスが悪用された。同社は当該メールサービスを停止して外部からの不正送信を遮断し、送信は既に収束している。現時点で個人情報等の漏えいは確認されておらず、引き続き詳細を確認中で、原因調査と再発防止策の強化を進めるとしている。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明不正アクセスはメールサービスに対して行われたとされるが、侵入経路・原因は公表されていない（原因調査中）。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 対象のメールサービスを停止して不正送信を遮断した。短時間ながら広範囲に迷惑メールが配信された。
- データ
- 調査中上限 —確定 —現時点で個人情報等の漏えいは確認されていない。引き続き詳細を確認中。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- —
時系列
技術解説
確認されている事実の範囲 事実
報道によれば、e-Mobility Powerは、充電サービスシステムで利用しているメールサービスが不正アクセスを受け、同社アカウントを踏み台にした迷惑メールが2025年10月18日（土）13:58～14:17頃に国内外へ大量送信されたと発表した。不正アクセスは同社のメールサービスに対して行われ、送信元として同社ドメインを装ったアドレスが悪用された。同社は、短時間ではあるものの広範囲に迷惑メールが配信されたことを確認している。同社は当該メールサービスを停止して外部からの不正送信を遮断し、送信は既に収束している。発表は10月21日と報じられている。
個人情報の状況と同社の対応 事実
調査の結果、現時点で個人情報等の漏えいは確認されていない。引き続き詳細を確認中であり、同社は原因調査を進めるとともに、再発防止に向けて管理体制と技術的対策の一層の強化を進めるとしている。同社を名乗る不審なアドレスから心当たりのないメールを受信した場合は、添付ファイルを開かず、本文中のURLをクリックせず、メールごと削除するよう注意喚起されている。侵入経路や原因、送信されたメールの件数・宛先数については、今回参照した出典に記載がない。
踏み台型の悪用という構造（解釈） 解釈
メールサービスの停止で送信が収束したことから、送信機能が外部から使える状態にあったと考えられる。ただし、認証情報の流用なのか設定の問題なのかなど、入口は公表されておらず断定できない。このタイプの悪用は、情報の窃取よりも、同社ドメインの信用を借りて受信者に開封させることが狙いになりやすい。受信者にとっては正規の通知と見分けにくくなる可能性がある。送信先に充電サービスの利用者が含まれたかどうかも、今回の出典からは分からない。
公表内容の評価と限界（解釈） 解釈
発表では、送信時間帯、停止による遮断、個人情報の漏えい未確認、受信者向けの注意喚起が示されており、受信者が取るべき行動は明確である。一方で、今回確認できた出典は報道2件で、同社の公式発表そのものは一覧に含まれていない。そのため、発表原文にある詳細が報道で省略されている可能性は残る。漏えいの有無も「現時点で確認されていない」という表現であり、調査が進めば変わり得る。続報で原因や送信規模が示されるかが、評価の分かれ目になると考えられる。
対応
- 封じ込め
- 当該メールサービスを停止し、外部からの不正送信を遮断した。迷惑メールの送信は既に収束している。
- 公表の仕方
- 同社が発表。現時点で個人情報等の漏えいは確認されていないとし、同社を名乗る心当たりのないメールは添付ファイルを開かず、URLをクリックせず、メールごと削除するよう注意喚起した。原因調査を進め、管理体制と技術的対策の強化を進めるとしている。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| メール送信基盤が外部から悪用されると、自社ドメインを装った大量送信の踏み台になり得る。 | SMTP認証の失敗回数・送信量・宛先数に閾値アラートを設け、超過時に該当アカウントの送信を自動で一時停止する仕組みを入れる。 |
| 短時間（約20分）でも広範囲に配信されるため、検知が遅れると被害の規模が決まってしまう。 | アカウント別の毎分送信数に上限（レート制限）を設定し、通常時の数倍で遮断する。通知は夜間・休日にも届く経路にする。 |
| 自社ドメインのなりすまし対策は、受信者側の被害を左右する。 | SPF・DKIM・DMARCを設定し、DMARCはp=quarantineやrejectへ段階的に移行する。集計レポートで未知の送信元を定期的に確認する。 |
| 遮断のためにサービスを止める判断が必要になることがある。 | メール基盤の緊急停止・資格情報の無効化・再開の手順をRunbookにし、停止時の代替連絡手段と利用者向け文面も用意して年1回訓練する。 |
| 受信者への注意喚起は、被害の拡大を抑える手段になる。 | 公式サイトに偽メールの見分け方と注意喚起の定型ページを用意し、事案発生時に速やかに掲載できるようにしておく。 |
自組織などでの確認項目
- 自社のメール送信用アカウント（システム通知用を含む）の一覧と、それぞれの認証方式・多要素認証の有無を説明できますか。
- 自社メール基盤で、短時間に大量送信が起きた場合、誰がどのくらいの時間で気づける仕組みがありますか。
- 自社ドメインのSPF・DKIM・DMARCの設定状況と、DMARCのポリシーを確認できますか。
- メールサービスを緊急停止すると、どの業務や利用者向け通知が止まるか、代替手段を含め把握していますか。
未解明点
- 不正アクセスの侵入経路と原因（認証情報の流用か、設定不備か、脆弱性か）は何か。
- 送信されたメールの総数・宛先数と、宛先に同社の利用者が含まれていたか。
- 不正アクセスの開始時期と、同社が最初に気づいた時刻・きっかけはいつ・何か。
- 個人情報等の漏えい有無の調査は完了したのか、完了した場合の結果はどうか。
- 同社の公式発表の原文は、どこで確認できるのか。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2025-10-24報道本文確認済
- 2ScanNetSecurity2025-11-10報道本文確認済