国立医薬品食品衛生研究所のWebメールシステムへの不正利用（迷惑メール約7万件送信）
公表日
国立医薬品食品衛生研究所の業務用メールアドレスが第三者に不正利用され、2026年1月8日から30日の間に迷惑メール約7万件が外部へ送られました。
対象者は？
迷惑メールを受け取った外部の人が中心で、フリーメールや海外のアドレス宛てが多いと報じられています。送信元は mps-kyogikai[at]nihs.go.jp です。約7万件は送られたメールの数で、情報が漏れた件数ではありません。個人情報などが流出したかどうかは、まだ発表されていません。
送信元アドレスと、2026年1月8日夜から1月30日早朝の間に届いたかどうかで確認できます。個別の確認方法は、まだ発表されていません。
いますぐできること
- 該当の送信元から届いたメールのリンクは開かず、削除する。
- リンクを開いてIDやパスワードを入力してしまった場合は、そのサービスのパスワードをすぐ変更する。
- 同じパスワードを他のサービスで使っているなら、そちらも変更する。
何が起きたのか
国立医薬品食品衛生研究所の業務用メールアドレスが、第三者に不正に使われました。2026年1月8日午後10時23分から1月30日午前4時47分までの間、ウェブメールのしくみを通じて、フリーメールや海外のアドレスを中心に約7万件の迷惑メールが送られました。メールは件名も本文もさまざまで、本文にリンクが1、2個ある、だましを目的としたフィッシング銀行・通販サイト・宅配業者・公的機関などを装ったメールやSMSを送り、本物そっくりの偽サイトに誘導して、IDやパスワード、カード番号などを入力させる手口です。SMSを使うものは「スミッシング」、電話を使うものは「ビッシング」とも呼ばれます。メールでした。研究所は2026年2月4日にこの件を発表しました。
なぜ起きたのか・なぜ広がったのか
原因は、まだ発表されていません。報道では、フィッシング銀行・通販サイト・宅配業者・公的機関などを装ったメールやSMSを送り、本物そっくりの偽サイトに誘導して、IDやパスワード、カード番号などを入力させる手口です。SMSを使うものは「スミッシング」、電話を使うものは「ビッシング」とも呼ばれます。メールがきっかけでIDやパスワードなどが盗まれた可能性があると伝えられていますが、確定した情報ではありません。
いまの状況2026-03-02 時点続報待ち
2026年3月2日時点で、原因の確定や、個人情報などが流出したかどうかは、まだ発表されていません。再発防止策についても、まだ発表されていません。
企業として考えたいこと
もし自社の共有メールアドレスが乗っ取られて大量の迷惑メールを送られたら、何分で気づき、誰がどうやって止められるでしょうか。
技術的な要約
国立医薬品食品衛生研究所（国衛研）は2026年2月4日、業務用メールアドレスが第三者に不正利用されたと発表した。2026年1月8日22時23分から1月30日4時47分までの間、同研究所のメールアドレス（mps-kyogikai[at]nihs.go.jp）からWebメールシステムを通じて、フリーメールや海外のアドレスを中心に約7万件の迷惑メールが送信された。迷惑メールは件名・本文が様々で、本文にURLリンクを1、2個含むフィッシングメールであることが確認されている。ScanNetSecurityの記事（2026年3月2日）は、フィッシングメールを契機に認証情報が窃取された可能性があると報じている。個人情報等の流出の有無や侵入口の確定については、渡された情報からは読み取れない。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 認証情報窃取・流用報道・研究者ScanNetSecurityの記事見出しは「フィッシングメールを契機に認証情報が窃取された可能性」としている。日刊薬業は「業務用メールアドレスが第三者に不正利用され」と報じた。侵入口の確定的な公表は渡された情報にはなく、可能性の段階である。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし Webメールシステムを通じて外部宛てに迷惑メールが送信された。業務停止の有無は渡された情報からは不明。
- データ
- 調査中上限 —確定 —約7万件は外部へ送信された迷惑メール（フィッシングメール）の件数であり、情報流出件数ではない。個人情報等の流出有無は渡された情報には記載がない。
- 波及先
- —
- フリーメールや海外のアドレスを中心とする外部宛てに約7万件のフィッシングメールが送信された
- 金銭影響
- —
- サプライチェーン
- —
時系列
技術解説
公表された内容の整理 事実
国立医薬品食品衛生研究所（国衛研）は2026年2月4日、業務用メールアドレスが第三者に不正利用されたと発表した。報道によれば、ウェブメールシステムを通じて外部宛てに迷惑メールが送信されていた。送信元は同研究所のメールアドレス mps-kyogikai[at]nihs.go.jp とされ、送信されたメールは約7万件に上る。この件数は外部へ送られた迷惑メールの数であり、情報の流出件数ではない。渡された出典は報道2件で、公式発表の本文は含まれない。
送信期間と迷惑メールの性質 事実
迷惑メールは2026年1月8日午後10時23分から1月30日午前4時47分までの間に、フリーメールや海外のアドレスを中心に送信された。件名や本文は様々で、本文内にURLのリンクを1、2個含むフィッシングメールであることを確認していると報じられている。送信が確認された期間は約3週間にわたる。ここに書いた期間・宛先の傾向・メールの特徴は、いずれも報道に示された内容である。
攻撃の構造についての見方 解釈
約3週間にわたり約7万件が送られたことから、正規のメールアドレスとWebメールの仕組みが外部から継続して使える状態にあったと考えられる。公的機関のドメインから送られるメールは受信側に信頼されやすく、攻撃者にとって利点になり得る。ただし、どのような経路でこの状態になったのかは、渡された情報には書かれていない。アカウント情報の悪用が典型的な可能性として挙げられるが、あくまで一般的な見方であり、本件で確定した事実ではない。
公表の範囲と読み取れない点 解釈
公表された内容は、送信期間、送信元アドレス、おおよその件数、フィッシングメールであることなど、受信者の判断に役立つ項目を含んでいる。一方で、渡された情報には、検知日、遮断の時期、原因、個人情報や業務データの流出の有無が見当たらない。これは公式本文を確認できていないことによる可能性もあり、組織が非公表としていると断定はできない。続報や公式発表で補われるかどうかを見守る必要がある。
対応
- 封じ込め
- —
- 公表の仕方
- 2026-02-04に国立医薬品食品衛生研究所が発表した。迷惑メールの送信期間、送信元アドレス、約7万件という件数、フィッシングメールであることを公表している。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 共有・代表アドレスも通常の個人アカウントと同じ強度で守る必要がある。 | Webメールを含む全アカウントに多要素認証を必須化し、共有アカウントは棚卸しして所有者を明確にする。パスワードは定期的に更新し、使い回しを禁止する。 |
| 大量送信は早期に検知できれば被害を小さくできる。 | アカウント単位の送信数・宛先数に上限を設け、閾値超過時に自動で送信を一時停止して管理者へ通知する。海外IPからのログインや夜間の大量送信もアラート対象にする。 |
| ログインの異常は送信が始まる前の段階で気づける。 | Webメールの認証ログを集中保管し、普段と異なる国・IP・端末からのログイン成功を検知ルール化する。ログインに成功した直後の送信動作も合わせて監視する。 |
| フィッシングを起点とする認証情報の窃取に備える必要がある。 | FIDO2などフィッシング耐性のある認証方式を導入し、SPF・DKIM・DMARCを適切に設定する。職員向けの訓練と、疑わしいメールの報告窓口も整える。 |
| 公表時には送信期間・件数・メールの特徴を具体的に示すと、受信者が対処しやすい。 | インシデント対応手順に、送信期間、送信元、メールの特徴、確認方法、問い合わせ先を公表項目として定め、公式サイトにまとめて掲載する。 |
自組織などでの確認項目
- 自組織のWebメールで、共有・代表アドレスを含む全アカウントに多要素認証が適用されているか。例外は何件あるか。
- 1アカウントが短時間に大量のメールを送った場合、自組織では何分以内に誰が気づき、どう止められるか。
- 自組織のメール認証ログは何日分保管され、海外IPからのログイン成功を検知できるか。
- 自組織のドメインから迷惑メールが送られた場合、受信者へ知らせる公表項目と窓口は事前に決まっているか。
未解明点
- 迷惑メールの送信に使われた認証情報が、どのような経路で第三者の手に渡ったのか。
- 異常を検知した日時と、送信を止めた具体的な対応の内容と時期はいつか。
- 個人情報やメールの内容など、情報が外部に流出した事実の有無はどうか。
- 同じ環境で、ほかのアカウントにも不正利用が及んでいたか。
出典
- 1日刊薬業（じほう）2026-02-04報道本文確認済
- 2ScanNetSecurity2026-03-02報道本文確認済