Axcelead Drug Discovery Partnersへのフィッシングによるメールアカウント不正アクセス（約7,000通に痕跡）
公表日
Axcelead Drug Discovery Partnersで、社員1人のメールアカウントに第三者が不正にアクセスしました。約7,000通のメールにアクセスの跡があり、個人データや取引先の契約情報が漏れた可能性があります。
対象者は？
対象は、不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受けた社員1人のメールアカウント内の、2025年11月5日から2026年5月21日に送受信されたメールに関わる人です。同社の社内350人の氏名・所属組織・役職、同112人のメールアドレス、社外96人の氏名・メールアドレス・所属会社などが挙げられています。同社およびグループ会社の役職員、顧客、取引先などの個人データと、取引先との契約・業務情報も含まれます。情報が漏れたと確定したわけではなく、「可能性がある」とされています。当該アカウント以外や社内システムへの影響はないとされています。
同社は、影響を受ける可能性のある方と取引先へ順次連絡しているとしています。心当たりのある方は、同社からの連絡の有無を確認してください。同社の公式発表の原文は、今回の資料には含まれていません。
いますぐできること
- 同社や取引先を名乗る不審なメールやリンクに注意し、送信元は別の手段で確かめる。
- 本件に関する連絡で、同社がパスワードなどの入力を求めることはないとされている。求められても入力しない。
- 同社から連絡が届いたときは、内容をよく確認する。
何が起きたのか
2026年4月23日、同社の社員1人がフィッシング銀行・通販サイト・宅配業者・公的機関などを装ったメールやSMSを送り、本物そっくりの偽サイトに誘導して、IDやパスワード、カード番号などを入力させる手口です。SMSを使うものは「スミッシング」、電話を使うものは「ビッシング」とも呼ばれます。メールで認証情報を入力したことがわかりました。IT部門はすぐにパスワード変更などの対応を行い、ログを確認しました。その後も、4月24日から5月21日にかけて約4週間、このアカウント内の約7,000通のメールに第三者がアクセスした跡が確認されました。5月22日に不正ログインを確認し、アカウントを無効化して遮断しました。外部の調査会社の調査を経て、7月21日に個人情報保護委員会へ報告し、7月22日に公表しました。
なぜ起きたのか・なぜ広がったのか
きっかけは、社員1人がフィッシング銀行・通販サイト・宅配業者・公的機関などを装ったメールやSMSを送り、本物そっくりの偽サイトに誘導して、IDやパスワード、カード番号などを入力させる手口です。SMSを使うものは「スミッシング」、電話を使うものは「ビッシング」とも呼ばれます。メールで認証情報を入力したことです。ただし、同社の発表は侵入の手口の詳細には触れておらず、くわしい原因は公表されていません。パスワード変更の後もアクセスの跡が続いたことから、ある報道は特殊な手口の可能性を推測していますが、同社は言及していません。対象には、半年強の間に送受信された個人データや契約情報を含むメールが入っていました。
いまの状況2026-08-07 時点
2026年8月7日の時点で、不正に使われた事実などの二次被害は確認されていないと報じられています。同社は対象メールをすべて特定し、関係者と取引先へ順次連絡しています。再発防止策として、メールセキュリティの強化、多要素認証を含む認証管理の徹底、社員へのセキュリティ教育、監視体制の充実を掲げています。補償については、まだ発表されていません。
企業として考えたいこと
もし自社の社員1人のメールアカウントが乗っ取られたら、過去のメールに残る個人データや取引先の情報について、どの範囲が見られたかを自社で特定できるでしょうか。
技術的な要約
Axcelead Drug Discovery Partners（神奈川県藤沢市）は2026年7月22日、社員1名のメールアカウントへの第三者による不正アクセスにより、個人データおよび機密情報が漏洩した可能性があると公表した。発端は4月23日に社員1名がフィッシングメールで認証情報を入力したことで、パスワード変更などの初動対応後も4月24日から5月21日にかけて約7,000通のメールにアクセスの痕跡が確認された。5月22日に不正ログインを確認してアカウントを無効化し、遮断した。対象は2025年11月5日から2026年5月21日に送受信されたメールで、社内350人の氏名・所属・役職、同112人のメールアドレス、社外96人の氏名・メールアドレス・所属会社などと、取引先との契約・業務情報が含まれる。同社は7月21日に個人情報保護委員会へ確報を行い、現時点で二次被害は確認されていないとしている。
公開情報が限られている点について
攻撃の分類
- 侵入口
- フィッシング報道・研究者2026年4月23日、社員1名がフィッシングメールにより認証情報を入力した。同社リリースは侵入経路の詳細に言及していない。報道（セキュリティ対策Lab）は、パスワード変更後も不正アクセスが継続した点からAiTM型の手口の可能性を推測しているが、同社は言及していない。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 当該アカウント以外への不正アクセスや社内システムへの影響はないとされている。
- データ
- おそれ上限 350確定 —人氏名メール従業員情報取引先情報業務データ社内350人の氏名と所属組織・役職、同112人のメールアドレス、社外96人の氏名・メールアドレス・所属会社などの個人データ、および取引先との契約・業務情報。対象は2025-11-05から2026-05-21に送受信された約7,000通のメール。records_maxは内訳の最大値（社内350人）を採用しており、合算ではない。漏洩は「可能性」と公表されている。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 委託先・取引先経由の侵入は公表されていない。ただし対象メールには取引先との契約・業務情報や関係者の個人データが含まれ、同社は影響を受ける可能性のある方および取引先へ順次連絡している。
時系列
- 2025-11-05不正アクセスの対象となったメールの送受信期間の開始（〜2026-05-21）。3
- 2026-04-23
- 2026-04-24この日から5月21日にかけて約4週間、当該アカウント内の約7,000通のメールに第三者によるアクセスの痕跡が確認された。3
- 2026-05-21第三者によるメールへのアクセス痕跡が確認された期間の終了。3
- 2026-05-22
- 2026-07-21フォレンジック調査会社による詳細調査を経て、個人情報保護委員会へ2回目の報告（確報）を実施。3
- 2026-07-22
- 2026-07-24報道時点で二次被害は確認されていない。同社は対象メールをすべて特定し、関係者・取引先へ順次連絡しているとされた。3
- 2026-08-07ScanNetSecurityが本件を報道。4
技術解説
確認されている経緯と範囲(公表・報道ベース) 事実
報道によると、2026年4月23日に社員1名がフィッシングメールで認証情報を入力したことが判明した。IT部門は判明後ただちにパスワード変更などの初動対応を行い、セキュリティツールのログ等を確認した。その後、4月24日から5月21日にかけての約4週間、当該アカウント内の約7,000通のメールに第三者によるアクセスの痕跡が確認された。5月22日に不正ログインが確認されたため、アカウントを無効化して遮断した。対象は2025年11月5日から2026年5月21日に送受信されたメールである。当該アカウント以外への不正アクセスや社内システムへの影響はないとされている。同社のリリースは侵入経路の詳細に言及していない。
対象となった情報と数値の読み方 事実
個人データとして、社内350人の氏名と所属組織・役職、同112人のメールアドレス、社外96人の氏名・メールアドレス・所属会社などが挙げられている。これに加えて、取引先との契約や業務に関する情報が含まれる。対象メールには、同社およびグループ会社の役職員、顧客、取引先その他の関係者に関する個人データが含まれていたと報じられている。約7,000通は「アクセスの痕跡があったメール」の件数で、情報が外部に持ち出されたと確定した件数ではない。同社は漏洩の「可能性」と表現している。350人・112人・96人は報道上それぞれ別の内訳で、合算値は示されていない。7月24日付の報道時点で、不正利用などの二次被害は確認されていない。
被害が長引いた要因についての考察 解釈
パスワード変更の初動対応が行われた後も、4月24日から5月21日まで約4週間にわたりアクセスの痕跡が続いた。この点から、パスワード変更だけでは第三者のアクセスを止められない状況があった可能性がある。セキュリティ対策Labは、AiTM型のフィッシングが使われた可能性を推測している。ただし同社は手口に言及しておらず、確認された事実ではない。仮にそうなら、認証後のセッションの失効や、MFAの方式といった論点が関わる。また、メールボックスには半年強分のやり取りが残っており、1アカウントでも個人データや契約情報が広く含まれ得る構造だった。これは公開情報からの推測であり、実際の原因は公表されていない。
公表の進め方に関する評価と限界 解釈
同社は個人情報保護委員会へ7月21日に2回目の報告(確報)を行い、翌22日に公表した。フォレンジック調査会社による詳細調査を経て対象メールをすべて特定し、関係者と取引先へ順次連絡している。注意喚起として、本件に関する連絡で認証情報の入力を求めることはないと明示している。再発防止策も具体的な項目で示されている。これらは、二次被害の抑止と関係者への周知に配慮した対応と読める。一方、今回渡された出典は報道4件のみで、同社の公式発表の原文は含まれない。侵入経路、4月23日の判明から5月22日の遮断までの経緯、攻撃者などは公表されていない。公表内容の十分性については、公式発表を確認するまで断定を避けるべきである。
対応
- 封じ込め
- 2026-04-23の判明後、直ちにパスワード変更などの初動対応を実施。2026-05-22に不正ログインを確認し、アカウントを無効化して不正アクセスを遮断した。外部専門調査会社（フォレンジック調査会社）による調査を実施し、対象メールをすべて特定した。再発防止策として、メールセキュリティの強化、多要素認証を含む認証管理の徹底、社員へのセキュリティ教育強化、監視体制の充実を掲げている。
- 公表の仕方
- 2026-07-21に個人情報保護委員会へ確報を行い、翌7月22日に公表した。影響を受ける可能性のある方および取引先へ順次連絡している。不審なメールなどへの注意喚起を行い、本件に関する連絡でパスワード等の認証情報の入力を求めることはないと明示している。
- 当局対応
- 個人情報保護委員会（2026-07-21に2回目の報告（確報））
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| フィッシング被害の初動では、パスワード変更だけでなく、既存のセッションやトークンも無効にする必要がある。 | 認証情報の入力が判明した時点の手順書に、全セッション・リフレッシュトークンの失効、MFA登録情報の確認、メール転送ルール・委任・アプリ同意の棚卸しを入れる。手順は実機で訓練しておく。 |
| 認証情報が盗まれても使えないように、フィッシング耐性のある認証へ寄せることが有効である。 | メールを含む主要サービスで、FIDO2/パスキーなどフィッシング耐性のあるMFAを特権者と取引先情報を扱う部門から優先導入する。あわせて、管理端末や準拠デバイス以外からのログインを制限する条件付きアクセスを設定する。 |
| 不正ログインの検知が遅れると、アクセス痕跡が続く期間が長くなる。 | メールボックスの閲覧・ログイン監査ログを有効にして十分な期間保管する。普段と異なる地域・端末からのサインインや大量のメール閲覧を検知するアラートを設定し、一次対応担当を決めておく。 |
| メールボックスに長期間蓄積された個人データと契約情報は、1アカウントの侵害でも影響を大きくする。 | 個人データや契約書類をメール本文・添付に残さず、アクセス制御付きの共有基盤へ移す運用に変える。メールの保持期間とアーカイブのルールを定め、定期的に棚卸しする。 |
| 影響範囲の特定には、外部専門家による調査とログの網羅性が重要になる。 | インシデント時にフォレンジック会社を速やかに呼べるよう、契約や連絡経路を平時に整えておく。調査に必要なログの種類と保存期間を事前に洗い出し、不足分の収集を始める。 |
自組織などでの確認項目
- 自組織のメール環境で、パスワードを変更しただけでは失効しないセッションやトークンがあるか。ある場合、侵害が疑われたときに誰がどの手順で一括失効できるか。
- 自組織で、特権者・経理・営業など個人データや契約情報を扱う社員のメールアカウントは、フィッシング耐性のある認証で守られているか。守られていない対象はどこか。
- 自組織のメールボックスには、過去どれくらいの期間の個人データや契約情報が残っているか。1アカウントが侵害された場合に、閲覧された可能性のあるメールを何通・何人分まで特定できるか。
- 自組織では、メールの閲覧やサインインの監査ログが有効になっているか。ログはどれくらいの期間保存され、異常を見つけたときに誰へ通知されるか。
未解明点
- 侵入経路の詳細(AiTM型の手口が使われたか、MFAの設定状況など)は公表されていない。
- パスワード変更後も第三者のアクセスが続いた理由と、4月23日の判明から5月22日に不正ログインが確認されるまでの経緯は公表されていない。
- 攻撃者の特定や犯行声明の有無、メールが閲覧されたのか外部へ持ち出されたのかは公表されていない。
- グループ会社・顧客・取引先を含む影響対象者の総数と、対象者への連絡状況(完了時期など)は公表されていない。
出典
- 1AnswersNews（QUICK）2026-07-22報道本文確認済
- 2日刊薬業（じほう）2026-07-22報道本文確認済
- 3セキュリティ対策Lab(合同会社ロケットボーイズ)2026-07-24報道本文確認済
- 4ScanNetSecurity2026-08-07報道本文確認済