日本経済新聞社のGoogle Workspaceへの不正ログイン（社員・取引先など1,646人分の個人情報漏洩の疑い）
公表日
日本経済新聞社の社員が業務で使っていたGoogle Workspaceのアカウントに外部から不正ログインがあり、社員や取引先など最大1,646人分のメールアドレスや氏名などが漏れたおそれがあります。
対象者は？
日本経済新聞社の社員や取引先などです。対象の情報はメールアドレスや氏名などで、最大1,646人分です。漏洩が確定したわけではありません。読者や取材先に関する情報は含まれていません。二次被害は確認されていません。
公式のお知らせに、この件専用の問い合わせ用メールアドレスが載っています。
いますぐできること
- 日経の社員を名乗るメールで、添付ファイルを開かせたり、リンク先でログインさせたりしようとするものに注意する。気になるときは、普段使っている別の連絡手段で本人に確かめる
- 取引先として日経とやり取りしている場合は、支払先の変更などのお願いがメールで届いても、電話など別の方法で確認してから対応する
何が起きたのか
2026年7月下旬以降、日本経済新聞社の社員が業務で使っていたGoogle Workspace（メールやファイル共有などのサービス）のアカウントに、外部から不正なログインがありました。8月上旬にGoogleからの通知で分かり、会社はすぐにパスワードを変更しました。それ以降、不正ログインは確認されていません。会社は10月4日にこの件を発表し、個人情報保護委員会にも報告しました。
なぜ起きたのか・なぜ広がったのか
どのようにしてログイン情報が第三者の手に渡ったのか、ログイン時の追加の確認（多要素認証）が使われていたかどうかは、まだ公表されていません。パスワードの変更で不正ログインが止まったことから、正しいアカウントのログイン情報が使われたとみられています。
いまの状況2026-10-04 時点
不正ログインはパスワード変更以降確認されておらず、会社は個人情報の管理を徹底し、不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。対策を強化するとしています。具体的な対策の内容、侵入された経緯、乗っ取られたアカウントの数は、まだ発表されていません。同じ日には、別の件として、社員のMicrosoft 365アカウントへの不正ログインで、なりすましメール実在の会社や取引先、知人を名乗って送られる偽のメールです。本物のアカウントが乗っ取られ、そこから送られてくる場合もあり、送信者名だけでは見分けがつきません。約9,000件が送られた事案も発表されています。
企業として考えたいこと
自社で使っているメールやチャットなどのクラウドサービスで、すべての社員に多要素認証が設定されているか、確認できているでしょうか。
技術的な要約
日本経済新聞社は2026年10月4日、社員が業務で使っていたGoogle Workspaceのアカウントに7月下旬以降、外部から不正ログインがあり、社員や取引先などの個人情報が漏洩した疑いがあると公表した。8月上旬にGoogleからの通知で判明し、直ちにパスワードを変更、以降の不正ログインは確認されていない。漏洩した可能性がある情報はメールアドレスや氏名などで1,646人分、読者や取材先に関する情報は含まれず、二次被害は確認されていない。個人情報保護委員会へ報告済み。侵入経路（認証情報の入手経路）やMFAの有無は公表されていない。同日、同社は別件としてMicrosoft 365アカウントへの不正ログインで約9,000件のなりすましメールが送信された事案（9月30日送信）も公表しており、5月の米国子会社（Microsoft 365、291人分）、2025年11月のSlack（17,368人分）に続き、約1年で業務SaaSへの不正ログインの公表が4件目となる。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 認証情報窃取・流用公表で確認公式表現：社員が業務で使っていた『グーグルワークスペース』のアカウントに『外部から不正にログイン』。判明後の対処が『パスワード変更』であることから、正規アカウントの認証情報が悪用されたとみられる。認証情報の入手経路（フィッシング、インフォスティーラー、使い回し等）、MFAの適用状況、セッション/OAuthトークン悪用の有無は非公表。なお前回作成時に本件の一部としていたMicrosoft 365のなりすましメール約9,000件は、同日公表の別の発表（information/1554）の事案であり、本件の公式発表（1547）にはMicrosoft 365への言及がない。
- 脆弱性
- CVE 非公表不明Google Workspace（認証設定）ソフトウェア脆弱性の悪用は公表されていない。公式は不正ログインとパスワード変更のみを記載しており、MFAやログイン制限などの設定状況は非公表。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 公式発表に業務・サービス停止の記載はない。
- データ
- おそれ上限 1,646確定 —人氏名メール従業員情報取引先情報公式：『社員や取引先などの個人情報が漏洩した疑い』、漏洩した可能性がある情報は『メールアドレスや氏名など』で『1646人分』（ページ表記はカンマなし）。『読者や取材先に関するものは含まれていません』。二次被害は未確認。前回作成時は『侵害アカウント数か個人情報の人数か不明』としていたが、公式では漏洩の疑いがある個人情報の人数である。侵害されたアカウント数は非公表。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- Googleのサービス自体の侵害ではなく、日経社員のアカウントが不正ログインされた事案。取引先の個人情報が対象に含まれるが、他組織のシステム侵害や二次被害は公表されていない。
時系列
- 2025-11-04
- 2026-03【関連・別件】3月上旬、日経アメリカ社の社員のMicrosoft 365アカウントへの不正ログインにより、取引先へなりすましメールが送信される（取引先からの連絡で判明）3
- 2026-05-07
- 2026-077月下旬以降、社員のGoogle Workspaceアカウントに外部から不正ログイン1
- 2026-088月上旬、Googleからの通知で判明。直ちにパスワードを変更し、以降の不正ログインは確認されていない1
- 2026-09-30
- 2026-10-04『不正ログインによる情報漏洩について』を公表（1,646人分、メールアドレスや氏名など。個人情報保護委員会へ報告済み。報告日は非公表）1
- 2026-10-04【関連・別件】『サイバー攻撃による情報漏洩、不審メールの送信について』（Microsoft 365、なりすましメール約9,000件、漏洩件数は調査中）を同日公表2
- 2026-10-07
技術解説
公式発表で確認できた事実と前回記述からの訂正 事実
公式発表（2026-10-04、information/1547『不正ログインによる情報漏洩について』）で確認できたのは次の点である。社員が業務で使っていたGoogle Workspaceのアカウントに7月下旬以降、外部から不正ログインがあった。8月上旬にGoogleからの通知で判明し、直ちにパスワードを変更、以降の不正ログインは確認されていない。漏洩した可能性がある情報は社員や取引先などのメールアドレスや氏名などで1,646人分、読者や取材先の情報は含まれず、二次被害は未確認。個人情報保護委員会に報告済み。前回はMicrosoft 365からのなりすましメール約9,000件を本件の一部として記載していたが、1547にMicrosoft 365への言及はなく、同日公表の別発表（1554）の事案だったため本件から外した。侵入経路、MFAの有無、侵害アカウント数、通知から公表まで約2カ月かかった理由は公表されていない。
同時期に公表された日経グループの別事案 事実
日本経済新聞社は本件と同じ2026年10月4日に、別の発表（1554『サイバー攻撃による情報漏洩、不審メールの送信について』）で、社員のMicrosoft 365アカウントへの不正ログインにより9月30日に悪性サイトへ誘導するなりすましメール約9,000件が社内外（複数の社員とやりとりがあった取材先などを含む）に送信されたと公表した。送信先のメールアドレスと氏名、一部のメール内容が漏洩した可能性があり、件数は調査中、個人情報保護委員会に報告済み。また2026年5月7日には、日経アメリカ社の社員のMicrosoft 365への不正ログインで3月上旬に取引先へなりすましメールが送られ、291人分が流出した可能性を公表している（取引先からの連絡で判明）。2025年11月のSlack事案を含め、いずれの発表も事案間の関連（同一攻撃者・同一経路か）には触れていない。
Googleの通知で判明し、公表まで約2カ月（推測を含む） 解釈
判明の契機が自社の監視ではなくGoogleからの通知だった点は、Workspaceの監査ログ（ログイン、OAuth付与、Gmail転送設定、Drive共有）を自社で常時監視していなかった可能性を示す。Googleの通知は不審なログインやパスワード漏えいなどに対するプロバイダ側の汎用検知であり、組織固有の異常の早期検知を代替しない。7月下旬の不正ログイン開始から8月上旬の判明まで最大2週間程度、判明から公表（10月4日）までは約2カ月ある。この間に影響範囲の特定（どのメール・連絡先が見られたか）を進めたとみられるが、公表文は経過を説明していない。また同日にMicrosoft 365の別事案を公表しており、Microsoft 365事案の対応を機に本件の公表をまとめた可能性もあるが、根拠は確認できない。
約1年で4件：再発防止の範囲が問われる（推測を含む） 解釈
日経グループでは2025年11月のSlack、2026年5月の米国子会社のMicrosoft 365、そして10月4日に公表された本件（Google Workspace）とMicrosoft 365の別事案と、約1年で業務SaaSへの不正ログインの公表が4件続いた。いずれも正規アカウントでのログインが起点で、ソフトウェアの脆弱性ではない。Slack事案の侵入経路は社員の私物PCのマルウェア感染による認証情報流出だったが、他の3件は経路が公表されておらず、同一の型かは分からない。それでも、複数のSaaS・IdPが併存し、事案ごとに『パスワード変更』で対処している構図からは、再発防止が侵害されたサービス単位にとどまり、全SaaS共通の認証基準（フィッシング耐性MFA、端末条件、セッション管理）とログ監視が整っていない可能性がうかがえる。講義では『個別SaaSの対処』と『認証基盤全体の是正』の差を示す事例として扱える。
対応
- 封じ込め
- 8月上旬の判明後、直ちに該当アカウントのパスワードを変更。以降の不正ログインは確認されていない。今後、個人情報の管理を徹底し不正アクセス対策を強化するとしている（具体策は非公表）。
- 公表の仕方
- 2026年10月4日に公式サイトのお知らせ『不正ログインによる情報漏洩について』で公表。本件専用の問い合わせメールアドレスを掲載。判明（8月上旬）から公表まで約2カ月。続報予定の記載はない。
- 当局対応
- 個人情報保護委員会（報告済み。報告日は非公表）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 侵害の判明がクラウド事業者（Google）からの通知頼みだった | Google Workspaceの監査ログ（Login、OAuth Token、Gmail、Drive、Admin）をSIEMへ取り込み、新規国/ASNからの成功ログイン、不可能な移動、OAuthアプリの新規付与、外部転送ルール作成、大量ダウンロードをアラート化する。Googleのセキュリティアラートは管理者に即時転送されるよう通知先を設定する |
| パスワードだけで業務アカウントへの不正ログインが成立した（とみられる） | フィッシング耐性MFA（パスキー/セキュリティキー）を強制し、コンテキストアウェアアクセスで管理端末以外からのアクセスを制限する。侵害疑い時はパスワード変更に加え、全セッション・OAuthトークン・アプリパスワードを失効させる |
| 業務アカウントのメール・連絡先に社員や取引先の個人情報が蓄積していた | Gmail・連絡先・Driveの保持期間ポリシーを設定して古いデータを自動削除し、取引先名簿などはアクセス制御・監査ログのある業務システムに集約する。侵害時に『何が見られたか』をログで特定できるよう、Gmail/Driveのアクセスログ保持期間を確認しておく |
| Slack、Microsoft 365、Google Workspaceと、複数の業務SaaSで不正ログインが続いた | IdPを1つに統合し、全SaaSにSSO・MFA・端末条件・セッション期限を同一基準で適用する。SSPMツールで各テナントの設定逸脱を継続監視し、1件のインシデントの再発防止を全SaaS・子会社に横展開する |
| 判明から公表まで約2カ月かかった | 個人情報保護委員会への速報（覚知から概ね3〜5日以内）と並行して、対象者・取引先への通知文面と判断者を事前に決めておき、影響範囲の確定を待たずに注意喚起できる手順を用意する |
自組織などでの確認項目
- あなたの組織で、Google WorkspaceやMicrosoft 365への不正ログインに最初に気づくのは誰か。自社の監視か、ベンダーからの通知か、取引先からの『変なメールが来た』という連絡か。
- 1年前に別のSaaSで不正ログインを経験していたとしたら、その時の再発防止策は他のSaaSや子会社にも適用されたか。自社のSaaS一覧で、MFA強制・端末条件・ログ監視がそろっていないものはどれか。
- 社員1人の業務アカウントが乗っ取られたとき、そのメールボックスや連絡先から何人分の取引先情報が見えるか。保持期間を区切ることでどれだけ減らせるか。
未解明点
- 不正ログインの侵入経路（フィッシング、インフォスティーラー、パスワード使い回し、OAuth同意、セッショントークン窃取）とMFAの適用状況
- 侵害されたアカウント数と、閲覧・取得されたデータの範囲（Gmail、連絡先、Drive）
- Googleからの通知の日時と内容、判明（8月上旬）から公表（10月4日）まで約2カ月かかった理由
- 同日公表のMicrosoft 365事案（なりすましメール約9,000件）、米国子会社事案、2025年のSlack事案との侵入経路・攻撃者の関連
- 2025年のSlack事案後の再発防止策がGoogle Workspace・Microsoft 365に適用されていたか
出典
- 1日本経済新聞社2026-10-04公式本文確認済
- 2日本経済新聞社2026-10-04公式本文確認済
- 3日本経済新聞社2026-05-07公式本文確認済
- 4
- 5Nikkei Inc.2025-11-04公式本文確認済
- 6@IT（アイティメディア）2025-11-10報道本文確認済
- 7Dark Reading2025-11-05報道本文確認済
- 8ScanNetSecurity2026-10-07報道本文確認済
- 9セキュリティ対策Lab（Rocket Boys）2026-10報道本文確認済