株式会社スペースの社員メールアカウントへの不正アクセス（フィッシングメール2,329件を送信）
公表日
株式会社スペースで社員1名のメールアカウントが第三者に不正に使われ、取引先を含む宛先2,329件にフィッシング銀行・通販サイト・宅配業者・公的機関などを装ったメールやSMSを送り、本物そっくりの偽サイトに誘導して、IDやパスワード、カード番号などを入力させる手口です。SMSを使うものは「スミッシング」、電話を使うものは「ビッシング」とも呼ばれます。メールが送られた。同社システム内の情報漏えいは、現時点で確認されていないとされている。
対象者は？
同社の社員のメールアカウントから送られたフィッシング銀行・通販サイト・宅配業者・公的機関などを装ったメールやSMSを送り、本物そっくりの偽サイトに誘導して、IDやパスワード、カード番号などを入力させる手口です。SMSを使うものは「スミッシング」、電話を使うものは「ビッシング」とも呼ばれます。メールの宛先が対象で、取引先を含む複数の宛先、総数2,329件。この件数はメールの送信先の数であり、情報が漏えいした件数ではない。同社システム内の情報漏えいや二次被害は、現時点で確認されていないとされている。
個別の確認方法はまだ発表されていません。同社は、送信された不審なメールや同社社員を装った不審なメールを受け取った場合、添付ファイルを開かず、リンクにアクセスせず、認証情報も入力せずに、すぐ削除するよう呼びかけている。
いますぐできること
- 同社の社員を装った不審なメールが届いたら、添付ファイルを開かず、リンクも押さず、すぐに削除する。
- メールのリンク先でパスワードなどを入力してしまったときは、すぐにパスワードを変更し、会社や提供元に連絡する。
- 自分のメールアカウントに、パスワード以外の確認（多要素認証）が設定されているか確認する。
何が起きたのか
2026年6月9日、同社の社員が取引先を装ったメールを受け取り、メール内のリンク先の偽サイトにメールアドレスとパスワードを入力した。第三者がその情報を使い、この社員のアカウントを不正に利用した。6月15日、そのアカウントから取引先を含む複数の宛先へフィッシング銀行・通販サイト・宅配業者・公的機関などを装ったメールやSMSを送り、本物そっくりの偽サイトに誘導して、IDやパスワード、カード番号などを入力させる手口です。SMSを使うものは「スミッシング」、電話を使うものは「ビッシング」とも呼ばれます。メールが送られ、宛先は合計2,329件だった。同社は同日にアカウントの無効化とパスワード変更を行い、6月17日に端末のフォレンジック調査と個人情報保護委員会への必要な報告を行った。6月29日に発表した。
なぜ起きたのか・なぜ広がったのか
同社の発表では、取引先を装ったフィッシング銀行・通販サイト・宅配業者・公的機関などを装ったメールやSMSを送り、本物そっくりの偽サイトに誘導して、IDやパスワード、カード番号などを入力させる手口です。SMSを使うものは「スミッシング」、電話を使うものは「ビッシング」とも呼ばれます。メールの偽サイトに認証情報を入力したことが原因とされている。マルウェア感染パソコンやスマートフォン、サーバーに入り込んで悪さをするソフトウェアの総称です。「ウイルス」もマルウェアの一種です。情報を盗む、データを壊す、他のパソコンへの攻撃の踏み台にする、などの目的で使われます。や社内システムの弱点が原因とは説明されていない。第三者がいつアクセスを始めたかなど、詳しい経緯はまだ発表されていません。
いまの状況2026-07-23 時点続報待ち
2026年7月23日時点で、同社システム内の情報漏えいや二次被害は確認されていないとされている。同社はメールアカウントの多要素認証を全社に導入し、全社員のパスワードをリセットした。今後は全社員研修、不審メール対策、監視体制の強化を予定している。フォレンジック調査の最終結果などは、まだ発表されていません。
企業として考えたいこと
もし自社の社員1名のメールアカウントが乗っ取られ、取引先へ偽のメールが送られた場合、自社はどのくらい早く気づき、取引先にどう知らせられるだろうか。
技術的な要約
株式会社スペースは2026年6月29日、社員1名のメールアカウントが第三者に不正アクセスされ、当該アカウントからフィッシングメールが送信されたと発表した。原因は6月9日に社員が取引先を装ったフィッシングメールを受信し、偽サイトでメールアドレスとパスワードを入力したことである。6月15日に取引先を含む複数の宛先へフィッシングメールが送信され、宛先総数は2,329件だった。同社システム内の情報漏えいや二次被害は現時点で確認されていないとしている。同社はアカウント無効化、MFAの全社導入、全社員のパスワードリセットなどを実施した。
公開情報が限られている点について
攻撃の分類
- 侵入口
- フィッシング報道・研究者2026年6月9日に社員が取引先を装ったフィッシングメールを受信し、メール内リンク先の偽サイトでメールアドレスとパスワードを入力した。第三者がこの認証情報を把握し、対象アカウントを不正に利用した。マルウェア感染や社内システムの脆弱性悪用が原因とは説明されていない。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 対象アカウントの無効化、不正に利用された外部サービスの停止を実施した。中核業務の停止は報じられていない。
- データ
- なし上限 —確定 —同社システム内の情報漏えいや二次被害は現時点で確認されていない。フィッシングメールの宛先総数は2,329件（情報漏えい件数ではなく送信先の件数）。
- 波及先
- 2329 件（フィッシングメール宛先総数）
- 取引先を含む複数の宛先
- 金銭影響
- —
- サプライチェーン
- 取引先を装ったフィッシングメールが起点となり、被害アカウントから取引先を含む宛先へフィッシングメールが送信された。取引先環境の侵害は報じられていない。
時系列
技術解説
公表されている発生の経緯 事実
株式会社スペースは2026年6月29日、社員1名のメールアカウントが第三者に不正アクセスされ、そのアカウントからフィッシングメールが送信されたと発表した。原因として、6月9日に社員が取引先を装ったフィッシングメールを受信し、メール内リンク先の偽サイトでメールアドレスとパスワードを入力したことが挙げられている。第三者はこの認証情報を把握し、対象アカウントを不正に利用した。6月15日には、当該アカウントから取引先を含む複数の宛先へフィッシングメールが送信されたことが確認されている。マルウェア感染や社内システムの脆弱性悪用が原因とは説明されていない。以上は報道2件が伝える内容に基づく。
影響の範囲と数字の読み方 事実
フィッシングメールの宛先総数は2,329件と伝えられている。この数字は送信先の件数であり、情報漏えいの件数ではない。同社は、同社システム内の情報漏えいや、本件に起因する不正利用などの二次被害は現時点で確認されていないとしている。対象となったアカウントは社員1名分である。同社は6月17日に端末のフォレンジック調査を実施し、個人情報保護委員会への必要な報告も行ったと伝えられている。流出が確認された件数や、漏えいした情報の種類は示されていないため、影響の大きさを漏えい件数で表すことはできない。
公表された対応と今後の予定 事実
同社は6月15日に対象アカウントの無効化とパスワード変更を実施した。あわせて、不正に利用された外部サービスの停止、フィッシングメールが配信された関係先への注意喚起、当該メールアドレスの変更も行ったと伝えられている。実施済みの再発防止策として、メールアカウントでの多要素認証（MFA）の全社導入と、全社員のパスワードリセットが挙げられている。今後は、全社員研修、不審メール対策および監視体制の強化を予定している。また同社は、送信済みの不審なメールや同社社員を装った不審なメールを受信した場合、添付ファイルの開封、リンクへのアクセス、認証情報の入力をせず、速やかに削除するよう呼びかけている。
攻撃の構造についての考察 解釈
本件は、偽サイトで入力された認証情報が使われ、正規のメールアカウントから別のフィッシングメールが送られたという流れに読める。送信元が実在する組織のアカウントであるため、受信者が信頼しやすい点が、宛先側にとっての難しさと考えられる。取引先を装うメールが起点だったため、こうした手口は業種を問わず起こりうる。6月9日の入力から6月15日の送信確認まで約6日の間隔があるが、第三者がいつアクセスを始めたかは公表されていない。MFAの全社導入は、パスワードだけではログインできない状態を作る方向の対策と読めるが、事案当時の設定は伝えられていない。これらは公表内容からの推測であり、確定した事実ではない。
対応
- 封じ込め
- 2026年6月15日に対象アカウントの無効化とパスワード変更を実施。不正に利用された外部サービスの停止、関係先への注意喚起、当該メールアドレスの変更も実施。メールアカウントのMFAの全社導入と全社員のパスワードリセットを実施済み。今後は全社員研修、不審メール対策および監視体制の強化を予定。
- 公表の仕方
- 2026年6月29日に発表。同社は、送信済みの不審メールや同社社員を装った不審メールを受信した場合、添付ファイルの開封、リンクへのアクセス、認証情報の入力を行わず速やかに削除するよう呼びかけている。
- 当局対応
- 個人情報保護委員会（2026-06-17に必要な報告を実施）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 取引先を装うフィッシングでは、メール本文だけで本物かを見分けるのは難しい | SPF・DKIM・DMARCの判定結果を受信側で確認し、失敗メールは隔離する。外部ドメインからのメールに警告バナーを付け、リンク先URLの書き換え検査（URL保護機能など）を有効にする。 |
| メールアカウントがパスワードだけで使える状態だと、入力された認証情報がそのまま悪用されうる | 全アカウントでMFAを必須にし、できればフィッシング耐性のあるFIDO2/パスキーを使う。レガシー認証（POP/IMAP/SMTP基本認証）は無効化し、条件付きアクセスで未管理端末や不審な地域からのログインを拒否する。 |
| 乗っ取られたアカウントからの大量送信は、早く検知できれば宛先への被害を減らせる | アカウント単位の送信数しきい値と、普段と異なる宛先数・時間帯・IPからのログインを検知ルール化する。外部サービスへの新規OAuth同意やメール転送・受信ルールの追加もアラート対象にする。 |
| インシデント発生時は、アカウント停止だけでなく、関係先への連絡と外部サービスの停止まで含めた手順が必要 | アカウント侵害時のRunbookを作り、セッション失効、パスワード・トークンのリセット、受信ルールと転送設定の確認、連携サービスの棚卸し、取引先への注意喚起文面のひな形を用意して、年1回以上の訓練で確認する。 |
| 定期的な研修だけに頼らず、報告しやすい仕組みと、入力してしまった後の対応を整えておく | メールクライアントに不審メール報告ボタンを設置し、報告を受けたら同一メールの一括削除とリンク先のブロックを実行できるようにする。偽サイトに入力した場合は、すぐに情報システム部門へ連絡して、パスワード変更とセッション失効を行う運用を周知する。 |
自組織などでの確認項目
- 自社のメールアカウントは、全員にMFAが適用されているか。例外のアカウントや、基本認証が残っている接続経路はないか。
- 自社の社員アカウントから不審なメールが大量に送られた場合、何分以内に誰が気づく仕組みになっているか。送信数やログイン元の異常を検知できているか。
- 社員が偽サイトに認証情報を入力したと気づいたとき、どこへ、どの手順で連絡するか。全社員がその連絡先を知っているか。
- 取引先から不審なメールが届いたとき、先方に確認する連絡手段が、メール以外に確保されているか。
未解明点
- 第三者が対象アカウントに最初に不正アクセスした日時と、6月9日から6月15日までの間にアカウント内で何が行われたかは、公表内容から分からない。
- 宛先総数2,329件の内訳（取引先とそれ以外の割合など）や、実際に送信されたメールの通数は示されていない。
- 不正に利用された外部サービスの具体名と、その利用内容は示されていない。
- フォレンジック調査の結果と、メールの閲覧や持ち出しがあったかどうかの最終的な結論は示されていない。
- 本件の出典は報道2件で、被害組織の公式リリースは今回の資料に含まれていないため、公式発表の原文との照合はできていない。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2026-07-01報道本文確認済
- 2ScanNetSecurity2026-07-23報道本文確認済