株式会社イグレックスのメール配信サービス「ワイメール」への不正アクセス（自治体等へのフィッシングメール不正配信）
公表日
メール配信サービス「ワイメール」のサーバーが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。を受け、福島県双葉町などの配信環境からクレジットカード会社を装う偽の請求メールが登録者へ不正配信されました。
対象者は？
福島県双葉町のメールマガジン（登録者約1,400名）や新潟県南魚沼市などの配信サービス登録者。クレジットカード番号などの個人情報の直接流出は確認されていませんが、メルマガ1件あたり最大30件のメールアドレスが閲覧された可能性があります。
双葉町や南魚沼市、契約企業から届いた「未払い料金の請求」や「クレジットカード会社」を名乗る不審なメールの有無を確認してください。自治体がメールで料金請求を行うことはありません。
いますぐできること
- 双葉町などのメールマガジンから届いた「未払い請求」や「カード会社の手続き」を求めるメール内のリンクを絶対に開かず、削除してください。
- 不審メール内のリンク先にアクセスしてクレジットカード情報や暗証番号を入力してしまった場合は、速やかにカード会社へ連絡してカード利用停止を依頼してください。
何が起きたのか
2026年10月24日未明、メール配信サービス「ワイメール」のポータルサーバーに不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。が発生しました。持ち出された初期設定スクリプトなどの情報を悪用され、福島県双葉町などの配信環境に侵入されました。その結果、正規の配信システムから実在するクレジットカード会社をかたるフィッシング銀行・通販サイト・宅配業者・公的機関などを装ったメールやSMSを送り、本物そっくりの偽サイトに誘導して、IDやパスワード、カード番号などを入力させる手口です。SMSを使うものは「スミッシング」、電話を使うものは「ビッシング」とも呼ばれます。メールが登録者宛てに送信されました。
なぜ起きたのか・なぜ広がったのか
攻撃者がポータルサーバーから持ち出した環境セットアップ用スクリプト等に含まれていた認証情報を悪用し、各顧客のWeb管理画面に侵入したためです。また、配信環境のソフトウェアにも攻撃を受ける可能性のある不具合が存在していました。
いまの状況2026-10-26 時点続報待ち
イグレックスは不審な通信があった顧客環境の停止、全環境の管理者パスワード更新、ログインセッションの強制切断、DKIM署名の再設定を実施しました。警察や監督省庁へ届け出たうえで、個人情報流出の有無などの詳細調査を進めています。
企業として考えたいこと
自社が利用するメール配信SaaSのアカウントや設定情報が万一侵害された場合、自社の正規アドレスから顧客へ詐欺メールが送信されるリスクを防ぐ対策が取られていますか？
技術的な要約
株式会社イグレックスが開発・運営するメール配信サービス「ワイメール」において、2026年10月24日に第三者による不正侵入が確認された。攻撃者によってポータルサイトサーバーから顧客環境セットアップ用スクリプト等のデータが持ち出されたか閲覧され、これを通じて一部顧客の配信環境Webアプリケーションに侵入された。この影響により、同サービスを利用する福島県双葉町や新潟県南魚沼市などの配信環境から、実在するクレジットカード会社を装ったフィッシングメールが登録者宛てに不正配信された。イグレックスはポータルサイトの遮断、全配信環境の管理者認証情報更新やセッション削除、全顧客のDKIM秘密鍵再作成およびDMARCポリシー変更などの対処を行い、警察への届出や個人情報漏えいの有無を含めた調査を進めている。
攻撃の分類
- 侵入口
- 認証情報窃取・流用報道・研究者ワイメールポータルサイトから流出した顧客環境セットアップ用スクリプト等に含まれる認証情報が悪用され、顧客配信環境のWebアプリケーションに侵入された可能性が高いとされている（公式は推定として記載）。ポータルサイトサーバーへの侵入経路は公表されていない。
- 脆弱性
- CVE 非公表公表で確認ワイメール配信環境アプリケーション調査の過程で各配信環境のアプリケーションにバージョンの違いにより攻撃を受ける可能性のある不具合が判明し、強制バージョンアップに向けた改修を実施
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり ワイメールポータルサイト、オンラインヘルプ、公式コラム、顧客専用配信環境の告知取得サービス、一部顧客の配信環境、コーポレートサイトの採用エントリーページ等がアクセス遮断および緊急メンテナンスのため停止した。
- データ
- 調査中上限 —確定 —件メール業務データ取引先情報ポータルサイトからセットアップ用スクリプト、決済代行会社との接続情報、サーバー内設定ファイル、攻撃者の探索記録データ等が持ち出されたか読み取られた可能性があるが、個人情報は含まれていないことを確認。顧客配信環境のサンプル調査では個人情報の直接持ち出しは未確認なものの、ログから1メルマガあたり最大30件のメールアドレス閲覧が行われた可能性がある。双葉町では登録者約1,400名に対する送信状況および個人情報漏えい有無について調査中。
- 波及先
- 4 組織
- 福島県双葉町
- 新潟県南魚沼市
- かたしな高原
- どんどんプリント
- 金銭影響
- —
- サプライチェーン
- メール配信クラウドサービス提供事業者としてサーバー不正アクセスを受け、契約組織である地方自治体（福島県双葉町、新潟県南魚沼市）や民間企業の配信環境を踏み台にされてフィッシングメールが外部配信される二次被害を引き起こした。
時系列
- 2026-10-24 03:50
- 2026-10-24 08:00
- 2026-10-24 10:00
- 2026-10-24 10:45イグレックスが第2報を公表。一部顧客の配信環境で外部からの不審な通信の可能性が確認されたため、対象環境を停止して外部遮断を実施2
- 2026-10-24 11:44
- 2026-10-24 13:57イグレックスのコーポレートサイト宛てにも不審な通信が確認され、採用エントリーページなどのサービスを停止2
- 2026-10-24 18:08
- 2026-10-24 23:30イグレックスが配信環境のサンプル調査結果を公表。個人情報の直接持ち出しは未確認だが、ログから1メルマガあたり最大30件のメールアドレス閲覧の可能性があると説明2
- 2026-10-25
- 2026-10-25 12:52
- 2026-10-26 07:04イグレックスが全顧客のDKIM秘密鍵再作成・DNS再登録、DMARCポリシーのreject設定、および配信環境アプリケーションの不具合改修に伴う強制バージョンアップ準備を発表2
- 2026-10-26新潟県南魚沼市が臨時報道資料を公開し、ワイメールへの不正アクセスによるフィッシングメール送信事案と調査状況を公表9
技術解説
ポータルサイトサーバーの侵害と顧客配信環境への侵入経緯 事実
2026年10月24日未明、イグレックスはワイメールのポータルサイトサーバーで異常トラフィックを検知し、アクセスを遮断した。同社の調査によると、ポータルサイトから「顧客環境セットアップ用スクリプト」、決済代行会社との接続情報、サーバー内設定ファイルなどが持ち出されたか読み取られた痕跡が確認された。このセットアップ用スクリプトに含まれる認証情報が悪用され、一部顧客の配信環境Webアプリケーションへの不正侵入が行われたとされる。また、調査の過程で配信環境アプリケーション自体にもバージョンの差異によって攻撃を受ける不具合が存在することが判明した。
配信環境を踏み台としたフィッシングメール送信被害 事実
攻撃者は侵入した配信環境を悪用し、実在するクレジットカード会社を装った未払い請求のフィッシングメールを登録者宛てに不正配信した。影響を公表した組織には福島県双葉町、新潟県南魚沼市、かたしな高原、どんどんプリントの4組織が含まれている。双葉町では2026年10月24日午前8時頃から不審メールが配信され、約1,400名のメルマガ登録者に対して注意喚起が行われた。イグレックスによるサンプル調査では個人情報の直接持ち出しは確認されていないものの、ログ記録から1メルマガあたり最大30件のメールアドレスが閲覧された可能性があることが公表されている。
プロビジョニング自動化における秘密情報管理と横断的侵害リスク 解釈
本件では、管理ポータルから流出したセットアップ用スクリプトを足がかりに、独立しているはずの顧客配信環境へ横断的なアクセスが行われた点が注目される。SaaSにおける環境プロビジョニングの自動化スクリプト内に共通鍵や管理者認証情報、あるいは顧客個別環境へのアクセス権限が平文または抽出可能な形式で含まれていた場合、管理基盤の単一障害点（SPOF）が全顧客環境の侵害へ直結するリスクを孕む。インフラ構築コードや初期化スクリプトには個別の認証情報を埋め込まず、短時間で失効する一時トークンや鍵管理サービス（KMS）を用いた動的プロビジョニングが必要であったと考えられる。
正規メール配信基盤の悪用対策と送信ドメイン認証の役割 解釈
攻撃者が独自に送信サーバーを構築せず正規のメール配信SaaSを踏み台にする手口は、正規のSPFやDKIM署名が付与されるため、受信側の迷惑メールフィルターをすり抜けやすい深刻な脅威である。イグレックスは事後対応として全顧客のDKIM秘密鍵再作成とDMARCのreject設定を行ったが、配信環境そのものが正規アカウントとして乗っ取られていた場合、送信ドメイン認証だけでは不正送信を完全には阻止できない。SaaS事業者側での送信レート制限、通常と異なる文面パターンの検知、管理画面ログイン時の多要素認証（MFA）強制など、多層的な防衛が不可欠である。
対応
- 封じ込め
- ワイメールポータルサイトサーバーの外部アクセス遮断、不審な通信が確認された一部顧客環境の停止、全配信環境の管理者ログイン情報の更新、侵害の恐れがある認証情報の無効化と全閲覧環境からのセッション強制削除、コーポレートサイト一部機能の停止、全顧客のDKIM秘密鍵再作成とDNS再登録、DMARCポリシーのreject（拒否）設定、配信環境アプリケーションの不具合改善および強制バージョンアップの準備を実施した。
- 公表の仕方
- イグレックスは2026年10月24日未明から障害・メンテナンス告知として段階的に第1報から第8報等の調査・対処状況を公表した。影響を受けた福島県双葉町は10月24日午前10時にHP・SNSで注意喚起を行い10月25日に詳細公表、新潟県南魚沼市も10月26日に報道発表を行った。
- 当局対応
- 八王子警察署
- 関係省庁
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| セットアップスクリプトやプロビジョニングコード内への固定認証情報の埋め込み排除 | クラウド初期化スクリプトやCI/CDパイプラインには静的認証情報をハードコードせず、AWS Secrets ManagerやHashiCorp Vault等の秘密情報管理システムから実行時に一時トークンを取得する設計にする。 |
| 管理ポータル環境と顧客テナント環境のネットワークおよび権限の完全分離 | 顧客個別のコンテナやサーバーに対するアクセスは、踏み台経由のゼロトラストアクセス制御（IAMロール、短期間有効なSSH証明書など）に限定し、ポータルサーバーからの直接接続や平文スクリプト保管を禁止する。 |
| メール配信SaaSにおける異常送信検知とレートリミットの導入 | 普段の配信スケジュールや送信件数から逸脱した急激な配信リクエスト、または特定キーワード（カード会社名、決済請求など）を含む未承認配信を検知して一時保留するフィルタリングルールおよび送信レート制限をシステムに組み込む。 |
| SaaS管理画面への多要素認証（MFA）およびセッション監視の徹底 | 顧客配信環境の管理画面ログインにはTOTPやFIDO2による多要素認証（MFA）を必須化し、未知のIPアドレスや不審なUser-Agentからのセッションを即時無効化するセッション監視機能を実装する。 |
自組織などでの確認項目
- 自社のインフラ構築・プロビジョニングスクリプト内に、初期パスワードやAPIキーなどの機微情報がハードコードされていないか？
- 自社で運用または委託しているメール配信システムにおいて、正規アカウントが乗っ取られた場合の異常送信（急激なバースト送信や未承認ドメインの利用など）を検知・遮断する仕組みが存在するか？
- 委託先クラウドサービスやSaaSの管理コンソールへのアクセスに多要素認証（MFA）を適用しているか、また委託先事業者自体のセキュリティインシデント発生時の連絡・初動体制は規定されているか？
未解明点
- ポータルサイトサーバー（www.y-ml.com）への最初の不正侵入経路（公開サーバーの脆弱性悪用、認証情報漏洩など）の具体的な原因。
- 配信環境アプリケーションに存在した「バージョンの違いにより攻撃を受ける可能性のある不具合」の具体的な技術的詳細やCVE識別番号の有無。
- 双葉町など4組織以外の他顧客環境において、実際にどの程度のフィッシングメール配信やアドレス閲覧等の実被害が発生していたのかの全体規模。
出典
- 1@SOHO編集部2026-10-26報道本文確認済
- 2株式会社イグレックス2026-10-24公式本文確認済
- 3NHK2026-10-26T12:23+09:00報道本文確認済
- 4福島民友新聞2026-10-26T10:22+09:00報道本文確認済
- 5福島テレビ2026-10-25報道本文確認済
- 6福島民友新聞2026-10-24報道本文確認済
- 7セキュリティ対策Lab2026-10-26報道本文確認済
- 8詐欺情報ラボ2026-10-26報道本文確認済
- 9南魚沼市2026-10-26公式本文確認済
- 10福島民友新聞社2026-10-25報道本文確認済
- 11福島民友新聞社2026-10-26報道本文確認済
- 12双葉町2026-10-25公式本文確認済