日経BP従業員メールアカウントへの不正アクセス（個人情報26件が流出のおそれ）
公表日
日経BPの従業員のメールアカウントに2026年9月30日、不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。がありました。個人名とメールアドレスの最大26件が流出したおそれがあります。
対象者は？
不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受けた従業員のメールの送受信先の一部の人です。流出したおそれがあるのは個人名とメールアドレスで、最大26件です(流出が確認された件数は発表されていません)。該当する可能性のある方には、日経BPから個別にメールで連絡しているとのことです。住所や電話番号などが含まれるかは発表されていません。
日経BPからの個別のメールが届いているかを確認してください。心当たりがある場合は、日経BPの公式発表を確認してください。
いますぐできること
- 日経BPや日本経済新聞社、グループ会社を名乗るメールが届いたら、リンクを開く前に送信元を確かめる。
- 不審なメールのリンクや添付ファイルは開かない。日本経済新聞社は、不審なメールを受信した場合はお問い合わせフォームへ連絡するよう呼びかけている。
- 日経BPから個別の連絡メールを受け取った場合は、その内容に従う。
何が起きたのか
2026年9月30日、日経BPの従業員のメールアカウントに、外部の第三者が不正にアクセスしました。この従業員は、日本経済新聞社の社員のメールアドレスで届いたフィッシング銀行・通販サイト・宅配業者・公的機関などを装ったメールやSMSを送り、本物そっくりの偽サイトに誘導して、IDやパスワード、カード番号などを入力させる手口です。SMSを使うものは「スミッシング」、電話を使うものは「ビッシング」とも呼ばれます。メール(本物を装ってIDやパスワードをだまし取るメール)から、認証情報を入手されたとされています。このため、メールの送受信先の一部の個人情報が漏れたおそれがあることが分かりました。日経BPはすぐにこのアカウントへの接続を遮断し、調査を始め、個人情報保護委員会に報告しました。10月4日に公式サイトで公表しています。
なぜ起きたのか・なぜ広がったのか
きっかけは、日本経済新聞社の社員のメールアドレスで届いたフィッシング銀行・通販サイト・宅配業者・公的機関などを装ったメールやSMSを送り、本物そっくりの偽サイトに誘導して、IDやパスワード、カード番号などを入力させる手口です。SMSを使うものは「スミッシング」、電話を使うものは「ビッシング」とも呼ばれます。メールです。認証情報を入手された具体的な方法は、公表されていません。日本経済新聞社も別の事案を同じ日に公表していますが、同じ攻撃者による一連の攻撃かどうかを示す情報は、発表されていません。
いまの状況2026-10-14 時点続報待ち
2026年10月14日時点で、調査中です。流出が確認された件数、接続を遮断した日時、詳しい原因は、まだ発表されていません。
企業として考えたいこと
取引先や関係会社のアドレスから届いたメールでも、もしそのアドレスの持ち主が乗っ取られていたら、自社の従業員はそのメールを見抜けるでしょうか。
技術的な要約
日経BPは2026年10月4日、同社従業員のメールアカウントへの不正アクセスを公表した。2026年9月30日に不正アクセスがあり、メール送受信先の一部の個人情報が漏えいしたおそれがあることが判明した。当該従業員は、日本経済新聞社社員のメールアドレスで届いたフィッシングメールから認証情報を入手されている。流出したおそれのある個人情報は個人名とメールアドレスの26件である。日経BPは発覚後速やかに当該アカウントへの接続を遮断し、個人情報保護委員会に報告したうえで、対象のメールアドレス先に個別に連絡している。本件は日本経済新聞社が公表した別の事案とは別の公表であり、同一の攻撃者や共通基盤の侵害などを示す情報は公表されていない。
公開情報が限られている点について
攻撃の分類
- 侵入口
- フィッシング公表で確認公式発表によると、不正アクセスされた従業員は、日本経済新聞社社員のメールアドレスで届いたフィッシングメールから認証情報を入手された。具体的な認証情報窃取手法は公表されていない。
- 脆弱性
- CVE 非公表不明脆弱性の悪用は公表されていない。製品名・CVEとも非公表。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 業務停止に関する公表はない。
- データ
- おそれ上限 26確定 —件氏名メール流出したおそれのある個人情報（個人名、メールアドレス）は26件。メール送受信先の一部が対象で、流出確定件数は公表されていない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- フィッシングメールは日本経済新聞社社員のメールアドレスから届いたが、日経BPの公表上、日本経済新聞社の別事案との関連（同一攻撃者・認証情報・フィッシングキャンペーン・共通基盤侵害）を示す情報はない。
時系列
- 2025-07-03日経BPが、富士山マガジンサービス運営のFujisan.co.jpへの不正アクセスにより、同サイトで日経BPの雑誌・書籍等を購入した顧客の個人情報が流出した可能性があると公表した（日経BP自身のシステムや社員アカウントの侵害ではない別事案）。1
- 2026-07日本経済新聞社の社員が業務で使うGoogle Workspaceのアカウントが、7月下旬以降に外部から不正ログインされた（日本経済新聞社の別事案）。3
- 2026-08日本経済新聞社のGoogle Workspace事案が、8月上旬にグーグル社からの通知で判明した（別事案）。3
- 2026-09-30日本経済新聞社の社内や取材先などに、悪性サイトに誘導する内容のメールが送信された（日本経済新聞社のMicrosoft 365事案）。4
- 2026-09-30
- 2026-09-30日経BPが発覚後速やかに当該アカウントへの接続を遮断して必要な対策を講じ、直ちに調査を開始して個人情報保護委員会に報告した（遮断・報告の具体的な日時は公表されていない）。5
- 2026-10-04
- 2026-10-04
- 2026-10-05セキュリティ対策Labが日経グループの一連のインシデントをまとめ、日経BPの本件は日本経済新聞社の両事案とは別の公表で、具体的な認証情報窃取手法は公表されていないと報じた。1
- 2026-10-07ScanNetSecurityが日経BPの事案を「26件の個人情報が漏えいした可能性」として報じた。2
技術解説
公表されている事実の整理 事実
日経BPは2026年10月4日、従業員のメールアカウントへの不正アクセスを公表した。公表文には、2026年9月30日に従業員のメールアカウントへの不正アクセスがあり、メール送受信先の一部の個人情報が漏えいしたおそれがあることが判明した、とある。流出のおそれがある個人情報は個人名とメールアドレスで、26件とされている。不正アクセスされた従業員は、日本経済新聞社社員のメールアドレスで届いたフィッシングメールから認証情報を入手された。日経BPは発覚後速やかに当該アカウントへの接続を遮断し、必要な対策を講じ、直ちに調査を開始して個人情報保護委員会に報告した。個人情報漏えいが疑われるメールアドレス先には個別にメールで連絡している。流出の確定件数や、接続を遮断した日時は公表されていない。
日本経済新聞社の事案との関係 事実
日経BPの事案は、日本経済新聞社が公表したMicrosoft 365とGoogle Workspaceの両事案とは別の公表である。報道によれば、同じ攻撃者、同じ認証情報、同じフィッシングキャンペーン、共通基盤の侵害などを示す情報は公表されていない。日本経済新聞社は、Microsoft 365のアカウントからなりすましメール約9000件が送られ、9月30日には社内や取材先などに悪性サイトへ誘導するメールが送信されたと公表している。日経BPの従業員に届いたフィッシングメールの送信元は、日本経済新聞社社員のメールアドレスだった。公表されている内容の範囲では、両者のつながりとして確認できるのは、このメールの送信元表示までである。
攻撃の構造についての見方 解釈
公表内容から見ると、取引先や関係会社など、日常的にやりとりのある相手のアドレスから届いたメールが、受信者の警戒を下げやすい構造だったと考えられる。日本経済新聞社側のアカウントが先に使われたことで、そのアドレスを信頼して連絡を受け付けていた他組織にも、メールが届く状態になった可能性がある。ただしこれは推測であり、日経BPへのメールが日本経済新聞社の侵害されたアカウントから送られたのか、アドレスを偽装したものかは公表されていない。窃取手法も公表されていない。また、被害が26件にとどまっている背景として、早期の接続遮断が関係している可能性があるが、公表内容だけでは判断できない。
公表の評価と不明点 解釈
日経BPの公表は、発生日、侵入のきっかけ、対象の情報種別、件数、遮断、当局への報告、本人への連絡までを短い文章で示している。件数は「おそれ」の上限として明示されており、確定件数は書かれていない。一方で、不正アクセスの開始時刻、遮断の日時、メールの内容まで閲覧されたか、認証情報がどのように入力されたか、多要素認証の有無といった点は公表されていない。調査中のため、これらは今後の続報で明らかになる可能性がある。現時点の情報だけでは、被害範囲が26件を超えないと断定することも、広がっていると推測することもできない。続報の有無を確認することが適切だと考えられる。
対応
- 封じ込め
- 不正アクセスの発覚から速やかに当該アカウントへの接続を遮断し、必要な対策を講じた。直ちに調査を開始した。
- 公表の仕方
- 2026年10月4日に公式サイトで公表した。個人情報漏えいが疑われるメールアドレス先には個別にメールで連絡している。
- 当局対応
- 個人情報保護委員会に報告
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 信頼している送信元からのメールでも、認証情報を盗むために使われることがある | 外部の認証画面へ誘導するリンクを含むメールは、送信元が社内外を問わず警告バナーを付ける。メール受信時にリンク先URLを書き換えて検査するフィルタ(URLリライトとサンドボックス)を有効にする。 |
| 認証情報が盗まれても、ログインだけで即座に被害へつながらない仕組みが要る | メールアカウントにフィッシング耐性のある多要素認証(FIDO2/パスキー)を適用する。新しい端末や海外IPからのログインは、条件付きアクセスで追加認証か遮断にする。 |
| 接続を速やかに遮断できる運用が被害の範囲を限定する | 不審ログインの検知時にセッション失効、パスワード再設定、メール転送ルールとOAuth許可アプリの確認までを行う手順書を用意し、年1回は実際に演習する。 |
| メールボックスには送受信先の個人情報が蓄積されており、侵害時の影響範囲を把握できる必要がある | メールの監査ログ(閲覧・検索・転送・ダウンロード)を十分な期間保存する。侵害時にどのメールが閲覧されたかを特定できる状態にする。 |
| 関係会社や取引先で起きた事案が自社にも影響しうる | 取引先からの不審メール報告を受ける窓口を決める。連絡を受けたら、該当ドメインからの受信メールとクリックの有無をメールゲートウェイのログで調べる手順を整える。 |
自組織などでの確認項目
- 自組織のメールアカウントで、フィッシング耐性のある多要素認証は全従業員に適用されていますか。例外になっているアカウントはありませんか。
- 取引先や関係会社のアドレスから届いたメールに不審な点があったとき、従業員はどこへ報告すればよいか、全員が知っていますか。
- 従業員のアカウントが乗っ取られたとき、接続の遮断までに何分かかるか、またメールの閲覧・転送の履歴をさかのぼって確認できるか、確認できていますか。
未解明点
- 流出が確認された個人情報の確定件数は何件か。26件は上限として維持されるのか。
- 接続の遮断はいつ行われたのか。不正アクセスの開始から遮断までの時間はどれくらいか。
- 日経BPの従業員に届いたフィッシングメールは、日本経済新聞社の侵害されたアカウントから送信されたのか、アドレスを偽装したものか。窃取手法も含め、続報で説明されるか。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2026-10-05報道本文確認済
- 2ScanNetSecurity2026-10-07報道本文確認済
- 3日本経済新聞社2026-10-04公式本文確認済
- 4日本経済新聞社2026-10-04公式本文確認済
- 5日経BP2026-10-04公式本文確認済