つくるAI「VCプロ」のAWSアカウントへの不正アクセス（Amazon SES悪用で約17.6万件のスパム送信）
公表日
つくるAI株式会社のサービス「VCプロ」の送信用AWSアカウントが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。され、主にフランス語圏のユーザーへ約176,000件のスパムメールが送られた。同社は、個人情報などの情報漏えいはないと確認したとしている。
対象者は？
同社の説明では、影響を受けたのは「VCプロ」に限られ、「デベNAVI」を含む同社グループの他サービスの利用者への影響はない。約176,000件のスパムメールの送信先は主にフランス語圏の個人メールアドレス。同社は、個人情報・物件情報を含む情報漏えいはないと確認したとしている。
同社は、関連ドメインbukurou.jpの送信元を装った不審メールを受け取った場合、フィッシング銀行・通販サイト・宅配業者・公的機関などを装ったメールやSMSを送り、本物そっくりの偽サイトに誘導して、IDやパスワード、カード番号などを入力させる手口です。SMSを使うものは「スミッシング」、電話を使うものは「ビッシング」とも呼ばれます。の可能性があるとして注意を呼びかけている。個別の通知や問い合わせ窓口については、まだ発表されていません。
いますぐできること
- bukurou.jpの送信元を装った不審なメールが届いても、リンクをクリックしない。
- 不審なメールの添付ファイルを開かない。
- 不審なメールの案内に従って、個人情報を入力しない。
何が起きたのか
2026年2月23日未明、つくるAI株式会社のサービス「VCプロ」でメール送信に使っていたAWSアカウントに、外部の第三者が不正にアクセスしたことが分かった。第三者は、不正に入手したと思われる認証情報を使い、AWSのメール送信サービス（Amazon SES）を操作した。その結果、主にフランス語圏のユーザーに向けて、フィッシング銀行・通販サイト・宅配業者・公的機関などを装ったメールやSMSを送り、本物そっくりの偽サイトに誘導して、IDやパスワード、カード番号などを入力させる手口です。SMSを使うものは「スミッシング」、電話を使うものは「ビッシング」とも呼ばれます。メールの可能性があるスパムメールが約176,000件送られた。同社は2月28日にこの件を発表した。
なぜ起きたのか・なぜ広がったのか
同社は、不正に入手したと思われる認証情報が使われたと説明している。その認証情報がどこから流出したのかは、リリース本文では明示されていない。
いまの状況2026-03-13 時点続報待ち
同社は、外部事業者と連携してアクセスログを調べ、データベースへのアクセスや個人情報・物件情報を含む情報漏えいはないと確認したとしている。認証情報の流出経路、再発防止策、補償については、まだ発表されていません。
企業として考えたいこと
自社のクラウド上のメール送信機能が第三者に操作された場合、送信量の急増に誰がいつ気付き、どう止める体制になっているか。
技術的な要約
つくるAI株式会社は、サービス「VCプロ」の送信基盤として利用していたAWSアカウントが第三者に不正アクセスされたと2026年2月28日に公表した。2026年2月23日未明に外部の第三者が管理システムへ侵入したことが判明している。攻撃者は不正に入手したと推測される認証情報でAmazon SESを操作し、主にフランス語圏のユーザーへ約176,000件のスパムメール（フィッシングメール等の可能性あり）を送信した。同社は外部事業者と連携してアクセスログを調査し、同社データベースへのアクセスや個人情報・物件情報を含む情報漏えいはないことを確認したとしている。影響範囲はVCプロに限定され、「デベNAVI」を含む同グループの他サービス利用者への影響はない。認証情報の流出経路はリリース本文では明示されていない。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 認証情報窃取・流用報道・研究者同社は「不正に入手したと思われる認証情報」（推測）を用いてAmazon SESが操作されたと説明している。認証情報の流出経路（フィッシング、情報窃取マルウェア、Git等への誤公開、パスワード使い回し、外部委託先経由など）はリリース本文では明示されていない。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 影響範囲はVCプロに限定され、「デベNAVI」を含む同社グループの他サービス利用者への影響はないと同社は説明している。業務停止の有無・期間は報道では示されていない。
- データ
- なし上限 —確定 —同社は、外部事業者と連携したアクセスログ調査の結果、当該事象発生以降、第三者による同社データベースへのアクセスや個人情報・物件情報を含む一切の情報漏えいはないことを確認したとしている。約176,000件は不正送信されたスパムメールの件数であり、漏えい件数ではない。
- 波及先
- —
- 主にフランス語圏の個人メールアドレス宛に、フィッシングメール等の可能性があるスパム約176,000件が送信された
- 金銭影響
- —
- サプライチェーン
- 外部委託先経由かどうかを含め、認証情報の流出経路は明示されていない。
時系列
- 2026-02-23
- 2026-02-23
- 2026-02-28
- 2026-03-05セキュリティ対策Labが本件を報じた。1
- 2026-03-13
技術解説
公表されている事実の整理 事実
つくるAI株式会社は2026年2月28日、同社サービス「VCプロ」の送信基盤として利用していたAWSアカウントが第三者に不正アクセスされたと発表した。同社によると、2月23日未明に外部の第三者が管理システムへ侵入したことが判明した。同社は、不正に入手したと思われる認証情報を使ってAmazon SES（AWSのメール送信サービス）が操作されたと説明している。その結果、主にフランス語圏のユーザーを対象に、フィッシングメール等の可能性があるスパムが約176,000件送信された。この約176,000件は送信されたメールの件数であり、漏えいした情報の件数ではない。
情報漏えいの有無と影響範囲に関する同社の説明 事実
同社は、外部事業者と連携してアクセスログを調査した結果、当該事象発生以降、第三者による同社データベースへのアクセスや、個人情報・物件情報を含む一切の情報漏えいはないことを確認したとしている。影響範囲は「VCプロ」に限定され、「デベNAVI」を含む同社グループの他サービス利用者への影響はないとされる。また同社は、関連ドメインbukurou.jpの送信元を装った不審メールについて、金融機関や配送業者等をかたるフィッシングの可能性があるとして、リンクのクリック、添付ファイルの開封、個人情報の入力をしないよう注意喚起している。
攻撃の構造（解釈） 解釈
公表内容からは、システムの脆弱性を突くというより、有効な認証情報を使ってクラウドのメール送信機能を外部から操作する形の事案だったと読み取れる。メール送信基盤は、送信元ドメインの信頼性や配信実績を背景に、大量送信へ転用されやすい資産になりうる。今回、被害の中心は同社の保有データではなく、同社の送信基盤を経由したスパムの送信だった。ただし、これは公表された範囲からの解釈であり、攻撃者の目的や、他にどの権限が使われたかは公表されていない。
公表内容の評価と限界（解釈） 解釈
同社は発生日、送信件数の概数、影響範囲、受信者向けの注意喚起を示しており、受信者が自衛するために必要な基本情報は確認できる。一方で、認証情報がどのように流出したかはリリース本文で明示されておらず、再発防止策や検知の経緯も、今回確認できた範囲では示されていない。したがって、同社の対応の適否を判断することはできない。漏えいがないとの確認は同社の調査結果として受け止め、調査方法や期間の詳細が示されるかを今後の続報で確認する必要がある。
対応
- 封じ込め
- 外部事業者と連携してアクセスログを調査し、同社データベースへのアクセスや情報漏えいがないことを確認したとしている。遮断などの具体的措置は報道では示されていない。
- 公表の仕方
- 2026年2月28日に同社が不正アクセスについて発表した。関連ドメインbukurou.jpの送信元を装った不審メールについて、金融機関や配送業者等をかたるフィッシングの可能性があるとして、リンククリック、添付ファイル開封、個人情報入力をしないよう注意喚起している。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| クラウドの認証情報が使われると、システムの脆弱性がなくてもメール送信基盤を悪用される。 | IAMユーザーの長期アクセスキーを廃止し、IAMロールと一時的な認証情報へ移行する。SES送信用の権限は、用途ごとに分けた最小権限のポリシーにする。ルートユーザーと管理者にはMFAを必須にする。 |
| 送信量の急増を早く気付ければ、スパム送信の被害を小さくできる。 | SESの送信数、バウンス率、苦情率にCloudWatchアラームを設定し、閾値超過を即時通知する。SESの送信クォータを実運用に見合う水準に抑える。異常時にSES送信を止める手順を事前に用意する。 |
| 認証情報の流出経路は多様で、公表時点で特定できないことがある。 | コードリポジトリに対してシークレットスキャンを導入し、キーをコミットさせない仕組みにする。CloudTrailを全リージョンで有効にし、ログを長期保存する。異常なAPI呼び出し検知（GuardDutyなど）を有効にする。 |
| 自社の送信ドメインが悪用されると、受信者を巻き込むため、早期の注意喚起が必要になる。 | SPF、DKIM、DMARCを設定し、DMARCレポートを監視して、想定外の送信元を検知する。不正送信が疑われた場合の公表文面と連絡先を、あらかじめインシデント対応計画に含める。 |
| サービスごとにクラウドアカウントや権限を分けておくと、影響範囲を限定しやすい。 | サービスごとにAWSアカウントを分離し、AWS Organizationsとサービスコントロールポリシーで不要なサービスの利用を制限する。データベースへのアクセス権限は、メール送信用の認証情報から分離する。 |
自組織などでの確認項目
- 自社のAWSなどのクラウドに、長期間使われている固定のアクセスキーはないか。誰が発行し、どこに保管されているか。
- 自社のメール送信基盤で、送信数が急に増えたとき、誰がどのくらいの時間で気付く仕組みになっているか。
- 自社の送信ドメインを装った不審メールが出回った場合、顧客や取引先へ何を、どの経路で、誰の判断で知らせるか。
未解明点
- 認証情報がどのような経路で流出したのか（リリース本文では明示されていない）。
- 不正アクセスをどのように検知し、どの時点で送信を止めたのか。
- 再発防止策の内容と、調査が完了したかどうか。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2026-03-05報道本文確認済
- 2ScanNetSecurity2026-03-13報道本文確認済
- 3エキサイトニュース（ScanNetSecurity 提供記事）2026-03-13報道本文確認済