アデコ「SESマッチングサービス」メールアカウントへの不正アクセス（スパムメール無作為送信・サービス停止）
公表日
アデコのフリーランス向け「SESマッチングサービス」のメールアカウントが第三者に不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。され、無作為にスパムメールが送られ、サービスが停止しています。
対象者は？
当該メールアカウントから不審なメールを受け取った人が対象です。アデコは、顧客データへの不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。は確認されていないと説明しています。送信件数や受信者の範囲は、まだ発表されていません。
確認方法はまだ発表されていません。「SESマッチングサービス」のメールアカウントから届いた不審なメールがないかを確かめてください。
いますぐできること
- 当該アカウントから届いた不審なメールの添付ファイルは開かないでください。
- メール本文にあるURLはクリックしないでください。
- 不審なメールは削除してください。
何が起きたのか
アデコは2026年2月5日、フリーランス事業の「SESマッチングサービス」で使っていたメールアカウントが第三者に不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。されたと公表しました。このアカウントから、無作為に意図しないメール(スパムメール)が送られました。アデコはパスワードの変更とアカウントの停止を済ませ、このアカウントからのメール送信を止めました。サービス自体も停止しています。
なぜ起きたのか・なぜ広がったのか
不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。の入り口や原因は、まだ発表されていません。
いまの状況2026-02-25 時点続報待ち
2026年2月25日時点で、原因や調査結果、サービスの再開時期、再発防止策は、まだ発表されていません。アデコは、顧客データへの不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。は確認されていないと説明しています。
企業として考えたいこと
自社の業務用メールアカウントが乗っ取られ、自社名義で大量のメールが送られたとき、何分で送信を止め、誰が取引先へ知らせるか、決まっていますか。
技術的な要約
アデコは2026年2月5日、フリーランス事業の「SESマッチングサービス」で使用していたメールアカウントが第三者による不正アクセスを受け、無作為にスパムメールが送信される事象が発生したと公表した。公表文では顧客データへの不正アクセスは確認されていないと説明している。同社はパスワード変更とアカウント停止措置を完了して当該アカウントからのメール送信を停止し、SESマッチングサービス自体も停止している。受信者には添付ファイルを開かない、本文中URLをクリックしない、メールを削除するよう注意喚起している。侵入経路・侵入日・流出有無の詳細は、提供された情報の範囲では明らかになっていない。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明「SESマッチングサービス」のメールアカウントに第三者からの不正アクセスがあったと公表されているが、侵入経路は示されていない。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり SESマッチングサービス自体が停止している。
- データ
- なし上限 —確定 —公表文では顧客データへの不正アクセスは確認されていないと説明している。
- 波及先
- —
- スパムメールの受信者（添付ファイル経由のマルウェア感染、本文URL経由のフィッシング誘導等のリスクが報道記事で指摘されている）
- 金銭影響
- —
- サプライチェーン
- —
時系列
技術解説
公表されている事実の整理 事実
アデコは2026年2月5日、フリーランス事業の「SESマッチングサービス」で使用していたメールアカウントが第三者による不正アクセスを受け、無作為に意図しないメール(スパムメール)が送信される事象が発生したと公表した。公表文では、対象はこのメールアカウントであり、顧客データへの不正アクセスは確認されていないと説明している。発生後の対応として、パスワード変更とアカウント停止措置を完了し、当該アカウントからのメール送信を停止した。「SESマッチングサービス」自体も停止しているとしている。受信者には、添付ファイルを開かない、本文中URLをクリックしない、メールを削除するよう注意喚起している。
受信者側で想定される二次被害の見方 解釈
ScanNetSecurityとは別の報道記事(セキュリティ対策Lab)は、送信元が正規企業名義であることから、二次被害につながりやすい点を実務上のリスクとして挙げている。具体的には、添付ファイル経由のマルウェア感染、本文URL経由のフィッシングサイトへの誘導、受信者組織内での認証情報窃取や追加侵害(踏み台化)である。これらは記事側の見立てであり、実際にこうした被害が出たかどうかは、今回参照した情報では確認できない。正規の名義で届くメールは警戒されにくいという一般的な性質を踏まえると、受信側での注意喚起は重要と考えられる。
現時点で判断できないこと 解釈
今回参照した報道2件には、侵入経路、侵入日、検知日、送信されたメールの件数や受信者の範囲、不正アクセスを行った主体が書かれていない。そのため、認証情報の流用なのか設定の不備なのかといった原因は判断できない。パスワード変更が対応に含まれている点から認証情報が関係した可能性を想像することはできるが、あくまで推測であり、断定は避けるべきである。また、顧客データへの不正アクセスは確認されていないとされているが、調査がどこまで進んだ上での説明かは示されておらず、続報で範囲が更新される可能性もある。
対応
- 封じ込め
- パスワード変更とアカウント停止措置を完了し、当該アカウントからのメール送信を停止した。SESマッチングサービス自体も停止している。
- 公表の仕方
- 2026年2月5日に公表。受信者に不審メールの添付ファイルを開かない、URLをクリックしない、削除するよう注意喚起した。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| メールアカウントの乗っ取りは、顧客データの流出がなくても、正規名義のスパム送信という形で外部に被害を及ぼす。 | 業務用メールアカウントにも多要素認証を必須化し、SMTP認証の失敗回数や送信元IPを監視して、通常と異なる大量送信を検知するアラートを設定する。 |
| 不正アクセス後は、パスワード変更だけでなく、アカウント停止や送信停止を素早く行える手順が必要になる。 | アカウント単位で送信を即時停止する手順書を整備し、パスワード変更、セッションの失効、転送ルールの確認を一連の手順としてチェックリスト化する。 |
| 受信者への注意喚起は、被害拡大を抑えるうえで重要である。 | 自社ドメインを名乗る不審メールが出回った場合の告知文面と掲載場所を事前に用意し、広報と情報システム部門で公表の判断基準を決めておく。 |
| 外部向けサービス専用のメールアカウントは、サービスの停止と業務の継続に影響を及ぼす。 | サービスごとに送信用アカウントを分け、権限と送信上限を絞る。SPF、DKIM、DMARCを設定し、不正な送信元を受信側で判別しやすくする。 |
自組織などでの確認項目
- 自組織の業務用メールアカウントに多要素認証は設定されているか。設定されていないアカウントはどれか。
- 自組織のメールアカウントが乗っ取られた場合、送信を止めるまでに何分かかり、誰が判断するか。
- 自組織の名義を使った不審メールが出回ったとき、取引先や顧客へどの経路で知らせる体制になっているか。
未解明点
- 不正アクセスの侵入経路や原因、侵入日と検知日は、今回参照した情報では明らかになっていない。
- スパムメールの送信件数と受信者の範囲、また顧客データへの不正アクセスがなかったと判断した調査の内容は公表されていない。
- 「SESマッチングサービス」の再開時期や再発防止策は、参照した情報では示されていない。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2026-02-06報道本文確認済
- 2ScanNetSecurity2026-02-25報道本文確認済