TOKAIコミュニケーションズ OneOffice Mail Solutionへの不正アクセス（隔離メール最大約357万通、利用ドメイン最大465が対象となり多数の委託元に波及）
公表日
法人向けメールサービス「OneOffice Mail Solution」のサーバが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受け、迷惑メールとして隔離されたメール最大約357万通が漏れた可能性があるとされました（漏洩が確認されたのは約193万件）。
対象者は？
TOKAIコミュニケーションズの法人向けメールサービスを使っていた企業・自治体と、それらとメールをやり取りした人が対象です。漏れたのは、隔離されたメールの内容、利用者のメールアドレス、ホワイト／ブラックリストの登録情報、ログインIDなどです。第三報では、各種パスワードとメールヘッダ情報は漏れていないことが確認されました。
対象の契約顧客には、同社の担当者またはカスタマーセンターから個別に連絡が行われています。利用しているサービスの提供元や、静岡県のお知らせで確認できます。
いますぐできること
- 同社や関連会社を名乗る電話・メールには、個人情報を伝えたり金銭を支払ったりしないでください。
- 不審な電話は一度切り、公式の連絡先に自分で確認してください。
- 心当たりのない送信者のメールや同社をかたるメールは、添付ファイルやURLのリンクを開かないでください。
何が起きたのか
2025年12月3日、TOKAIコミュニケーションズは、迷惑メールを隔離するサーバで不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。の疑いを見つけました。12月19日に第1報を公表し、その後、12月22日の第二報、2026年1月23日の第三報で調査結果を更新しました。第三報では調査が完了し、隔離メール1,931,902件などが漏れたと確認されました。多数の企業や自治体が、自社への影響の可能性を公表しました。同社や関連会社を名乗る身元不明の人から、顧客にメールや電話が届く事例も確認されています。
なぜ起きたのか・なぜ広がったのか
サーバ機器の弱点（脆弱性）が悪用されました。その弱点は、不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。が起きた時点では見つかっていなかったと、同社は説明しています。多くの企業が同じサービスを利用していたため、影響の可能性が各社に広がりました。報道はCisco製品を狙う攻撃との関連を指摘していますが、同社の公表には番号の記載がありません。
いまの状況2026-02-24 時点
2026年2月24日時点で、同社は調査を完了し、機器の提供元のCiscoは2026年1月15日に修正済みソフトウエアを公開しました。サービス復旧に向けた対応は第三報時点で継続中とされ、その後の状況はまだ発表されていません。補償や再発防止策の詳しい内容も、まだ発表されていません。静岡鉄道は2026年2月24日に、隔離メール内のメールアドレスと件名が閲覧された可能性を公表し、二次被害は確認されていないとしています。
企業として考えたいこと
自社が使っているメールの周辺サービス（迷惑メール対策など）の提供元で、あなたの会社のメールが一定期間保管されているとしたら、その中身と保管期間を説明できますか。
技術的な要約
TOKAIコミュニケーションズは2025年12月3日、法人向けメールサービス「OneOffice Mail Solution」のスパムメール隔離サービス「OneOffice SPAM Filtering」のサーバで不正アクセスの疑いを検知し、12月19日に第1報を公表した。第1報時点の漏洩可能性の規模は、利用ドメイン465、メールアドレス78,382、隔離メール3,569,937通、ホワイト／ブラックリスト情報290,000件とされた。2026年1月23日の第三報で調査完了とされ、サーバ機器の脆弱性（不正アクセス発生時点では未発見）の悪用による漏洩と判断され、隔離メール1,931,902件、SPAM Filtering利用者のメールアドレス79,991件などの漏洩が確定した。第二報で可能性があるとされた各種パスワード情報とメールヘッダ情報は、第三報で漏洩していないことが確認された。本件は、はなさく生命保険、日本社宅サービス、静岡県と34市町、静岡鉄道など多数の利用・委託元に波及し、同社や関連会社を名乗る不審な電話・メールも確認されている。サービス復旧に向けた対応は第三報時点で継続中とされた。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 公開サーバの脆弱性公表で確認TOKAIコミュニケーションズは第三報で「当該サービスのサーバ機器の脆弱性を悪用されたことによるもの」で、この脆弱性は発生時点では未発見であり今回の事象により明らかにされたと説明している。第二報の報道ではCisco製品の脆弱性の悪用とされた。不正アクセスの形跡は、スパムメール隔離サーバ、アカウント情報等を管理するサーバ（LDAP）、システムログを保管するサーバで認められた。
- 脆弱性
- CVE-2025-20393報道・研究者Cisco Secure Email Gateway / Cisco Secure Email and Web Manager（Cisco AsyncOS）報道が、本件はこれらを狙う攻撃キャンペーン（CVE-2025-20393）に関連している恐れがあると述べたもの。TOKAIコミュニケーションズ自身の公表にはCVE番号の記載は確認できない。同社は、発生時点で未発見の脆弱性だったとし、Ciscoが2026年1月15日に修正済みソフトウエアを公開したと説明している。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 第三報（2026-01-23）時点で「サービス復旧に向けた対応を継続している」と記載されている。停止したサービスの範囲や停止日数は公表情報から読み取れない。
- データ
- 確定上限 3,569,937確定 1,931,902件メールその他records_maxは第1報時点の隔離メール数（3,569,937通）、records_confirmedは第三報で漏洩が確認された隔離メール数（1,931,902件）。第1報時点の他の規模は、利用ドメイン465、メールアドレス78,382、ホワイト／ブラックリスト情報290,000件。第三報の確定分は、設定情報のメールアドレス815件、メーリングリスト名3,503件、SPAM Filtering利用者のメールアドレス79,991件、ホワイト／ブラックリスト登録のメールアドレスまたはドメイン名892件、SPAM Filteringログイン ID606件、管理ポータルのログインID155件、Mail StorageのログインID84件。第二報で可能性があるとされた各種パスワード情報（LDAP保管）とメールヘッダ情報（システムログ保管サーバ）は漏洩していないことを確認。二次被害として、同社や関連会社を名乗る身元不明者から顧客へメールや電話が届く事例が確認されている。
- 波及先
- 465 利用ドメイン（第1報時点・SPAM Filtering）
- 静岡鉄道（隔離メール内のメールアドレスおよび件名が閲覧された可能性）
- はなさく生命保険（顧客・取引先情報等の一部が漏えいしているおそれ）
- 日本社宅サービス
- 建設システム（KENTEM）
- サムティホールディングス／サムティ
- 静岡県および浜松市を除く34市町
- TOKAIケーブルネットワーク
- 東海ガス
- TOKAIホールディングス
- 金銭影響
- —
- サプライチェーン
- TOKAIコミュニケーションズが提供するメールサービスのサーバ機器が侵害され、同サービスを利用・委託する複数の企業・自治体が影響可能性と注意喚起を公表した。
時系列
- 2025-12-03
- 2025-12-19
- 2025-12-21TOKAIコミュニケーションズが影響範囲の数値を更新した。メーリングリストの利用者ドメイン数・ログインID数は18から69、Mail Storageの利用管理者ID数は51,605から352に変更された。3
- 2025-12-22
- 2025-12-23TOKAIコミュニケーションズが、同社や関連会社を名乗る身元不明者から顧客へメールや電話が届く事例があるとして注意喚起を公表した。4
- 2025-12-25
- 2025-12-26
- 2026-01-07サムティホールディングスとサムティが、メールヘッダや件名、メールが漏洩した可能性を発表した。2
- 2026-01-15
- 2026-01-23
- 2026-02-17TOKAIホールディングスが確報を出し、同社とのメールのヘッダ情報は漏洩していないことが確認されたと報告した。13
- 2026-02-18東海ガスが確報を出し、同社とのメールのヘッダ情報は漏洩していないことが確認されたと報告した。11
- 2026-02-19TOKAIケーブルネットワークが確報を出し、同社とのメールのヘッダ情報は漏洩していないことが確認されたと報告した。9
- 2026-02-24静岡鉄道が、TOKAIコミュニケーションズのサーバ機器の脆弱性を突いた不正アクセスにより、2025年11月11日から12月7日に受信した隔離メール内のメールアドレスおよび件名が第三者に閲覧された可能性があると公表した。二次被害は確認されていないとした。1
技術解説
攻撃の構造と確認されていること 事実
TOKAIコミュニケーションズは2025年12月3日、OneOffice SPAM Filteringのサーバで不正アクセスの疑いを検知した。Ciscoと連携して調査し、第二報ではスパムメール隔離サーバ、アカウント情報を管理するLDAPサーバ、システムログ保管サーバに不正アクセスの形跡が認められたと説明した。2026年1月23日の第三報では、サーバ機器の脆弱性が悪用されたと判断し、その脆弱性は発生時点では未発見で、今回の事象で明らかになったとしている。Ciscoは2026年1月15日に修正済みソフトウエアを公開した。報道は、Cisco AsyncOSを狙う攻撃キャンペーン（CVE-2025-20393）に関連している恐れがあると述べているが、同社の公表にはCVE番号の記載を確認できない。侵入日や攻撃者は公表されていない。
上限値と確定値の違い 事実
第1報（2025年12月19日）が示した規模は、利用ドメイン465、メールアドレス78,382、隔離メール3,569,937通、ホワイト／ブラックリスト情報290,000件で、いずれも漏洩の可能性がある最大の数だった。第三報（2026年1月23日）で確定したのは、隔離メール1,931,902件、SPAM Filtering利用者のメールアドレス79,991件、ホワイト／ブラックリスト登録892件、SPAM Filtering ログインID606件、管理ポータルのログインID155件、Mail StorageのログインID84件などである。第二報で可能性があるとされた各種パスワード情報（LDAP保管）とメールヘッダ情報（ログ保管サーバ保管）は、漏洩していないことが確認された。第1報の最大値と第三報の確定値は集計の対象が異なる可能性があり、単純に比べて差を論じることはできない。
委託元・利用元への波及 事実
本件は、同サービスを利用・委託する多数の組織に波及した。はなさく生命保険は顧客・取引先情報等の一部が漏えいしているおそれがあると公表した。日本社宅サービスは2025年12月22日にヘッダ情報の漏えい可能性が判明したと公表した。ほかに建設システム、サムティホールディングスとサムティ、静岡県と浜松市を除く34市町、TOKAIグループ各社が公表している。静岡県は、令和5年4月以降にメール送受信をした法人・個人のヘッダ情報の一部が漏えいした可能性があるとした。TOKAIホールディングス、TOKAIケーブルネットワーク、東海ガスは2026年2月に確報を出し、自社とのメールのヘッダ情報は漏洩していないと報告した。静岡鉄道は2026年2月24日に、2025年11月11日から12月7日に受信した隔離メール内のメールアドレスと件名が閲覧された可能性を公表し、二次被害は確認されていないとした。
段階的な公表が利用元に与えた影響（解釈） 解釈
この事案では、第1報から第三報まで約5週間にわたり、影響範囲の見立てが更新され続けた。そのため委託元・利用元は、自社に関係する範囲を把握するまで、「可能性あり」という前提で公表や注意喚起を行う場面があったと考えられる。2026年2月に複数のTOKAIグループ会社が「漏洩していない」とする確報を出したことは、この見立てがその後に狭まったことを示す。委託先が調査中の段階では、利用元は自力で範囲を絞りにくい構造にあるとみられる。一方で、同社は早い段階で不審な電話・メールへの注意喚起を公表しており、二次被害の防止に配慮した対応だったとも読める。ただし、サービスの停止範囲や復旧時期は公表情報から分からず、評価できる材料は限られている。
対応
- 封じ込め
- TOKAIコミュニケーションズは、検知後、機器ベンダーのCiscoや外部専門機関と連携して調査し、監督官庁にも相談しながら二次被害防止に配慮して対応したと説明している。Ciscoは2026年1月15日に修正済みソフトウエアを公開した。第三報時点でサービス復旧に向けた対応を継続中。対象の契約中顧客へ担当者またはカスタマーセンターから個別連絡を進め、フィッシングメールやスパムメールへの注意、個人情報提供や金銭支払いに応じないこと、不審な電話は一旦切って公式連絡先に確認することを呼びかけている。
- 公表の仕方
- 2025年12月19日に第1報、12月21日に更新、12月22日に第二報、2026年1月23日に第三報（調査完了）を公表した。12月23日には同社や関連会社を名乗る不審な連絡に関する注意喚起も公表した。委託・利用元の各社（静岡鉄道、はなさく生命保険、日本社宅サービス、KENTEM、サムティ、TOKAIグループ各社、東海ガス等）がそれぞれ影響可能性や確報を公表した。
- 当局対応
- 監督官庁（名称非公表）にTOKAIコミュニケーションズが相談
- 静岡県がTOKAIコミュニケーションズに運用方法の改善を求め、同社は直ちに対応した
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 委託先のメール関連機器は、自社の境界機器と同じ重要度で管理する必要がある。 | メールゲートウェイや隔離機器を使うサービスについて、委託先に機器の脆弱性情報の通知手順と修正適用のSLAを契約で定めさせ、ベンダー公開情報を購読する担当者を決める。 |
| スパム隔離領域には、本来は受信を拒否したいメールが大量に蓄積され、一度の侵害で広範囲が影響を受ける。 | 隔離メールの保持期間を短く設定し、期限を過ぎたものは自動削除する。可能なら件名や本文を暗号化して保管し、管理機能から平文で取り出せる範囲を絞る。 |
| 認証情報（パスワード）は、侵害が疑われた時点で別の層に保管されていたため漏洩を免れたと確認できた。 | 認証基盤（LDAP等）は用途ごとに分離し、パスワードはソルト付きの強いハッシュで保管する。管理画面は外部から到達できないよう、送信元IP制限やVPN経由に限定する。 |
| 未発見の脆弱性への対策は、予防だけでなく早期検知と範囲の確定の速さが影響を左右する。 | 公開機器のログを外部の保管先へ転送し、管理インターフェースへの異常なアクセスを検知するルールを置く。インシデント時にログから影響範囲を算出する手順を事前に演習する。 |
| 侵害の後に、侵害元や関連会社を名乗る詐欺の連絡が確認されている。 | 自社から顧客へ電話・メールで連絡する際の本人確認方法（担当者名・部署名の明示、公式窓口への折り返し）を事前に決め、公式サイトで周知しておく。SPF・DKIM・DMARCを設定してなりすましメールを減らす。 |
自組織などでの確認項目
- 自組織が利用しているメール関連のクラウドサービス（スパムフィルタ、メール保管など）の一覧と、各サービスで保管されるデータの種類・期間を把握していますか。
- 委託先で情報漏洩の可能性が生じたとき、自社が影響を受ける期間とデータ範囲を、委託先からどのくらいの時間で受け取れる契約になっていますか。
- 自社の取引先や顧客に対して、第三者になりすました電話・メールが届いた場合の案内文と連絡窓口を、すぐに公表できる状態にしてありますか。
未解明点
- 最初に不正アクセスが行われた日時と、攻撃者が侵入してから検知までの期間は公表されていない。
- 悪用された脆弱性の正式な識別情報（CVE番号）を、TOKAIコミュニケーションズ自身は公表していない。報道が挙げたCVE-2025-20393との関係は確認できていない。
- サービスの停止範囲と期間、復旧時期は、第三報時点で「復旧に向けた対応を継続」とされたのみで公表されていない。
- 第1報の隔離メール最大3,569,937通と、第三報の確定1,931,902件との差が生じた理由（集計対象の違いなど）は説明されていない。
- 攻撃者の特定や、盗まれた情報が実際に悪用されたかどうかは公表されていない。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2026-02-26報道本文確認済
- 2セキュリティ対策Lab（合同会社ロケットボーイズ）2025-12-25報道本文確認済
- 3セキュリティ対策Lab（合同会社ロケットボーイズ）2025-12-22報道本文確認済
- 4セキュリティ対策Lab（合同会社ロケットボーイズ）2025-12-25報道本文確認済
- 5セキュリティ対策Lab（合同会社ロケットボーイズ）2026-01-26報道本文確認済
- 6ScanNetSecurity2026-01-13報道本文確認済
- 7ScanNetSecurity2026-01-30報道本文確認済
- 8株式会社TOKAIケーブルネットワーク2025-12-26公式本文確認済
- 9株式会社TOKAIケーブルネットワーク2026-02-19公式本文確認済
- 10静岡県2025-12-25当局本文確認済
- 11東海ガス株式会社2026-02-18公式本文確認済
- 12株式会社TOKAIコミュニケーションズ2026-01-23公式本文確認済
- 13株式会社ＴＯＫＡＩホールディングス2026-02-17公式本文確認済