ディーネット「Palette UP」メールアカウントへの認証情報悪用（乗っ取りと大量スパム送信の急増）
公表日
法人向けレンタルサーバ「Palette UP」で、漏洩したパスワードによるメールアカウントの乗っ取りと大量の迷惑メール送信が急増していると、2026年5月12日に注意喚起されました。被害の件数はまだ発表されていません。
対象者は？
Palette UPのメールアドレスを使っている利用者が対象です。パスワードが漏洩したメールアドレスが乗っ取られ、迷惑メールの送信に使われています。共有サーバーや同じ基盤を使う他の顧客にも、送信の遅れなどの影響が出る可能性があるとされています。被害を受けた件数や、流出した情報の内容は、確認できた出典には書かれていません。
提供者がサーバーに影響が出ると判断してパスワードを変更した場合は、登録されている電話番号またはメールアドレス宛に連絡が来ます。サポートの営業時間外だった場合は、連絡が翌営業日になることがあります。詳しくは下の記事を確認してください。
いますぐできること
- メールのパスワードを、12桁以上で英大文字・英小文字・数字・記号を組み合わせたものに変える
- 他のサービスや他のアカウントと同じパスワードを使い回さない
- 提供者がパスワードを変更した場合、以前のパスワードに戻さない
- パソコンやスマートフォンのウイルスチェックをする
何が起きたのか
2026年5月12日、Palette UPが利用者に向けて注意を呼びかけました。利用者のメールアドレスのパスワードが漏れ、他人にログインされて迷惑メールの送信に使われる被害が急増しているという内容です。ディーネットも同じ日に、不正ログインについて発表したと報じられています。攻撃者は漏れたメールアドレスとパスワードを使い、本人になりすましてメールサーバーにログインし、そのアカウントから大量の迷惑メールを送ります。提供者は、サーバーに影響が出ると判断した場合、予告なく対象のパスワードを変更するとしています。
なぜ起きたのか・なぜ広がったのか
パスワードがどこから漏れたのかは、確認できた出典には書かれていません。攻撃者は、漏れたパスワードを使って正規の利用者としてログインしています。また、1つのメールアカウントが悪用されただけでも、共有サーバーや同じ基盤を使う他の顧客に、送信の遅れやブラックリスト登録などの影響が広がる可能性があると説明されています。これは同じ基盤を共有していることによる影響です。
いまの状況2026-05-26 時点続報待ち
2026年5月26日時点で、被害の件数や、いつ始まったのかはまだ発表されていません。提供者は、予告なくパスワードを変更する対応を続けるとしています。補償や再発防止策についても、まだ発表されていません。状況は調査中で、続報待ちです。
企業として考えたいこと
自社で使っているメールアカウントのパスワードが他のサービスと同じだった場合、漏れた情報だけで乗っ取られても、すぐに気づける仕組みがありますか。
技術的な要約
株式会社ディーネットが提供する法人向けレンタルサーバ「Palette UP」は2026年5月12日、利用者のメールアドレスについて、パスワード漏洩によるアカウント乗っ取りと大量のスパムメール配送の被害が急増しているとして注意喚起した。攻撃者は漏洩したメールアドレスとパスワードで正規利用者になりすましてメールサーバーへログインし、該当アカウントを踏み台に大量の迷惑メールを送信する。Palette UPは、不正アクセスによりサーバーに影響が出ると判断した場合、被害拡大防止のため予告なく対象メールアドレスのパスワードを変更するとしている。SpamhausやMicrosoftなどのブラックリストに登録されるおそれがあるとも説明している。被害件数や侵入日は、確認できた出典には記載がない。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 認証情報窃取・流用報道・研究者「攻撃者は、漏洩したメールアドレスとパスワードを使い、正規利用者になりすましてメールサーバーへログインします」とされる。パスワードの漏洩経路は出典に記載がない。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし サーバー負荷、送信遅延、レピュテーション低下、ブラックリスト登録のおそれが示されているが、業務停止の有無・期間は出典に記載がない。
- データ
- 調査中上限 —確定 —流出件数や内容は出典に記載がない。被害は漏洩済みパスワードによるアカウント乗っ取りとスパム送信の急増として報じられている。
- 波及先
- —
- 共有サーバーや同一基盤を利用する他の顧客への影響の可能性（サーバー負荷、送信遅延、レピュテーション低下、ブラックリスト登録）
- 金銭影響
- —
- サプライチェーン
- 1つのメールアカウントの悪用でも共有サーバーや同一基盤の他の顧客へ影響が及ぶ可能性があるとされる。サプライチェーン攻撃としての言及はない。
時系列
- 2026-05-12
- 2026-05-12ディーネットが法人向けレンタルサーバ「Palette UP」への不正ログインについて発表した。2
- 2026-05-12Palette UPは、サーバーに影響が出ると判断した場合、被害拡大防止のため予告なく対象メールアドレスのパスワードを変更するとした。1
- 2026-05-12パスワード変更後は登録の電話番号またはメールアドレス宛に連絡し、サポート営業時間外の対応は連絡が翌営業日になる場合があるとした。1
- 2026-05-12以前設定されていたパスワードに戻さないよう利用者に呼びかけた。1
- 2026-05-12SpamhausやMicrosoftなどのブラックリストに登録されるおそれがあると説明した。1
- 2026-05-15セキュリティ対策Labが注意喚起を報じた。1
- 2026-05-26ScanNetSecurityが、ブラックリスト登録のおそれから予告なく対象メールアドレスのパスワードを変更する旨を報じた。2
技術解説
攻撃の流れ：漏洩済みの認証情報によるログイン 事実
2026年5月12日、Palette UPは利用者のメールアドレスでパスワード漏洩によるアカウント乗っ取りと大量のスパムメール配送の被害が急増しているとして注意喚起した。ディーネットも同日、法人向けレンタルサーバ「Palette UP」への不正ログインについて発表したと報じられている。注意喚起によると、攻撃者は漏洩したメールアドレスとパスワードを使って正規利用者になりすましてメールサーバーへログインし、そのアカウントを踏み台として大量の迷惑メールを送信する。パスワードがどこから漏洩したのかは、確認できた出典には記載がない。
提供者の対応と利用者への要請 事実
Palette UPは、不正アクセスによりサーバーに影響が出ると判断した場合、被害拡大を防ぐため予告なく対象メールアドレスのパスワードを変更するとしている。変更後は登録された電話番号またはメールアドレス宛に連絡するが、カスタマーサポートの営業時間外に対応した場合は連絡が翌営業日になることがある。以前設定されていたパスワードには戻さないよう呼びかけている。利用者には、12桁以上で英大文字・英小文字・数字・記号を組み合わせたパスワードの設定、他サービスや他アカウントとの使い回しの回避、定期的な変更、端末のウイルスチェックを求めている。
示された影響と、公表されていない部分 事実
Palette UPは、SpamhausやMicrosoftなどのブラックリストに登録されるおそれがあると説明している。また、1つのメールアカウントが悪用されただけでも、共有サーバーや同一基盤を利用する他の顧客へ影響が広がる可能性があるとしている。出典では、この影響としてサーバー負荷、送信遅延、レピュテーション低下、ブラックリスト登録が挙げられている。一方で、被害を受けたアカウントの件数、侵入や検知の日、業務停止の有無や期間は、確認できた出典には記載がない。数値は上限も確定も示されていない。
共有基盤で被害が広がりやすい構造（解釈） 解釈
この事案は、サーバーそのものの脆弱性ではなく、漏洩済みの認証情報が使われたものとして説明されている。そのため、個々の利用者のパスワード管理が、共有基盤全体の送信品質に結びつく構図になる。送信元のIPアドレスが評価を落とすと、悪用されたアカウントを持たない利用者のメールにも遅延や不達が及びうる。提供者が予告なくパスワードを変更するとしているのは、この共有性を踏まえた措置と読める。ただし実際の影響範囲は公表されておらず、以上は出典の記述からの推測である。
公表内容の評価（解釈） 解釈
注意喚起は、攻撃手口、提供者の対応方針、利用者に求める行動を具体的に示しており、利用者が自分で動ける内容になっている。パスワード変更の連絡手段や営業時間外の扱いまで書かれている点も、利用者の見通しを助ける。一方で、被害の規模、始まった時期、パスワード漏洩の経路といった事項は確認できた出典になく、事案の大きさを外部から判断しにくい。確認できたのは報道2件のみで、公式発表の原文は未確認である。続報や原文が出れば評価は変わりうる。
対応
- 封じ込め
- サーバーに影響が出ると判断した場合、予告なく対象メールアドレスのパスワードを変更する。変更後は登録された電話番号またはメールアドレス宛に連絡し、営業時間外の場合は翌営業日になることがある。以前のパスワードに戻さないよう呼びかけている。
- 公表の仕方
- 2026年5月12日に注意喚起を発表した。利用者には12桁以上で英大文字・英小文字・数字・記号を組み合わせたパスワードの設定、使い回しの回避、定期的な変更、端末のウイルスチェックを求めている。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 漏洩済みの認証情報は、そのままメールサーバーへのログインに使われうる。 | SMTP AUTH・IMAP・POP・Webメールのログイン失敗と成功を記録し、普段と異なる国・IP・時間帯からの成功ログインを検知して通知またはロックする。可能なら多要素認証や接続元IP制限を導入する。 |
| 1つのアカウントの悪用が、共有基盤の他の利用者の送信品質にも影響しうる。 | アカウント単位・時間単位の送信数上限とレート制限を設定し、閾値を超えたら送信を自動で保留する。送信キューの急増に対するアラートも置く。 |
| パスワードの使い回しや弱いパスワードが、乗っ取りの入口になる。 | 12桁以上の長さを必須にし、漏洩済みパスワード一覧との照合を設定時に行う。パスワードマネージャーの利用を推奨し、使い回しを避ける運用を周知する。 |
| ブラックリスト登録は、乗っ取りの後に来る二次被害として備えが要る。 | 自社の送信元IPとドメインのブラックリスト登録を定期監視する。SPF・DKIM・DMARCを設定してレポートを集計し、なりすまし送信を早く見つける。 |
| 提供者による予告なしのパスワード変更に備え、利用者側の連絡体制を整えておく必要がある。 | サービスに登録する連絡先の電話番号とメールアドレスを最新に保ち、営業時間外にも見る担当者を決める。変更後は以前のパスワードに戻さない手順を運用書に書く。 |
自組織などでの確認項目
- 自社で使っているメールアカウントのうち、他サービスと同じパスワードを使っているものはないか。漏洩済みパスワードとの照合や変更の仕組みはあるか。
- 自社のメールサーバーやレンタルサーバで、送信数の上限やレート制限は設定されているか。異常な送信が起きたとき、誰がどれくらいの時間で気づける体制か。
- サービス提供者から予告なくパスワードを変更されたと連絡が来た場合、連絡先の電話番号やメールアドレスは最新か。営業時間外の連絡を受ける担当は決まっているか。
- 自社の送信元IPやドメインがブラックリストに載っていないか、定期的に確認しているか。載った場合の連絡先や解除手順は把握しているか。
未解明点
- 被害を受けたメールアカウントの件数や、スパム送信の規模はどれくらいか。
- 攻撃がいつ始まり、いつ検知されたのか。
- パスワードはどこから漏洩したのか。Palette UP側の漏洩か、他サービスなど外部で漏洩したものの流用か。
- ディーネットによる公式発表の原文と、今後の続報や再発防止策はどうなっているか。
- 実際にブラックリストへ登録された例や、他の顧客への具体的な影響はあったのか。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2026-05-15報道本文確認済
- 2ScanNetSecurity2026-05-26報道本文確認済