講談社の社用メールへの不正アクセス（連絡先最大3,812件窃取、553件へ二次フィッシング）
公表日
講談社の社員1名の社用メールに、フィッシング銀行・通販サイト・宅配業者・公的機関などを装ったメールやSMSを送り、本物そっくりの偽サイトに誘導して、IDやパスワード、カード番号などを入力させる手口です。SMSを使うものは「スミッシング」、電話を使うものは「ビッシング」とも呼ばれます。で盗まれたパスワードで不正にログインされ、保存されていた連絡先が最大3,812件（メールアドレスと一部の方の氏名）盗まれました。そのうち553件のメールアドレスには、その社員を装った偽メールが送られました。
対象者は？
対象は、講談社の社員1名の社用メールに連絡先として保存されていた方です。報道では社外の取引先などとされています。漏えいの可能性があるのはメールアドレスと一部の方の氏名で、最大3,812件です（流出が確定した件数は発表されていません）。このうち553件のメールアドレスには、その社員を装った偽メールが送られました。住所・電話番号・パスワード・クレジットカード情報などが含まれたとは発表されていません。
講談社は対象のメールアドレス宛てに、2026年7月31日付で電子メールを送っています。内容は、概要・漏えいした項目・本人が取りうる措置・問い合わせ窓口です。このメールが届いているかを確認してください。わからないことは、通知に書かれた窓口に問い合わせてください。
いますぐできること
- 2026年7月31日付の講談社からの通知メールが届いていないか確認する
- 2026年7月30日ごろに講談社の社員名で届いた心当たりのないメールについては、リンクを開いたりログイン画面にIDやパスワードを入れたりしない
- 偽メールのリンク先でパスワードを入力してしまった場合は、すぐにそのパスワードを変更する
何が起きたのか
2026年7月27日、講談社の社員に、取引先を装った偽のメール（フィッシング銀行・通販サイト・宅配業者・公的機関などを装ったメールやSMSを送り、本物そっくりの偽サイトに誘導して、IDやパスワード、カード番号などを入力させる手口です。SMSを使うものは「スミッシング」、電話を使うものは「ビッシング」とも呼ばれます。メール）が届きました。社員はメール内のリンクを開き、表示された偽のログイン画面にIDとパスワードを入力しました。3日後の7月30日、攻撃者はそのIDとパスワードで社員の社用メールにログインし、保存されていた連絡先を最大3,812件盗みました。さらに、そのうち553件のメールアドレスに、その社員になりすました偽メールを大量に送りました。社員は同じ日に異常に気付き、パスワードを変更しました。講談社は7月31日に対象のメールアドレスへ連絡し、8月3日に公式サイトで公表して謝罪しました。
なぜ起きたのか・なぜ広がったのか
発端は、取引先を装った偽メールのリンクから開いた偽のログイン画面に、IDとパスワードが入力されたことです。攻撃者はそのパスワードで社員のメールに入り、連絡先を盗みました。そして、その社員本人を装った偽メールを連絡先に送ったため、取引先などにも偽メールが届く形で広がりました。偽メールがどれほど巧妙だったか、多要素認証や不審なメールを見つける仕組みがどうなっていたかなど、詳しい原因は発表されていません。
いまの状況2026-08-17 時点続報待ち
不正ログインがあった7月30日に、社員がパスワードを変更し、ログイン中の状態も切りました。それ以降、このメールへの不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。は確認されていません。個人情報保護委員会への報告一定の個人情報の漏えいが起きた場合、企業は国の機関である個人情報保護委員会への報告と、本人への通知が法律で義務づけられています（2022年4月から）。漏えいの通知が届くのはこのためです。は完了しています。講談社は原因を調べて再発防止に努めるとしていますが、調査の結果や具体的な再発防止策はまだ発表されていません。補償についてもまだ発表されていません。
企業として考えたいこと
社員の誰か1人のメールのパスワードが盗まれたとき、それにすぐ気付いて止める仕組みと、取引先へ「偽メールに注意してください」と知らせる手順が、自社には用意されているでしょうか。
技術的な要約
講談社は2026年8月3日、外部の第三者による不正アクセスで社用メールから個人情報が漏えいしたと公表した。2026年7月27日に社員1名が取引先を偽装したフィッシングメールのリンクから偽ログイン画面に認証情報を入力し、7月30日に攻撃者が当該メールアカウントへログインして連絡先情報最大3,812件（メールアドレスと一部の氏名）を窃取した。うち553件のメールアドレス宛に、当該社員を装ったフィッシングメールが送信された。社員は同日中に異常に気付き、パスワード変更とセッション削除を行い、以後の不正アクセスは確認されていない。個人情報保護委員会への報告は完了しており、原因調査と再発防止策の検討が進められている。
攻撃の分類
- 侵入口
- フィッシング公表で確認取引先を偽装したフィッシングメールのリンクを社員がクリックし、表示された偽ログイン画面に認証情報を入力。窃取された認証情報で社用メールアカウントに不正ログインされた。多要素認証の運用状況などの詳細は明らかにされていない。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 業務停止の公表はない。
- データ
- おそれ上限 3,812確定 —件メール氏名漏えいの可能性がある連絡先情報は最大3,812件。メールアドレスと一部の方の氏名。確定件数は公表されていない。
- 波及先
- 553 件のメールアドレス
- 侵害された社員を装ったフィッシングメールが553件のメールアドレス宛に送信された
- 金銭影響
- —
- サプライチェーン
- 取引先を偽装したフィッシングが起点だが、取引先環境の侵害は公表されていない。窃取された連絡先の宛先（取引先等）に二次フィッシングが送られた。
時系列
技術解説
攻撃の流れ（公表内容） 事実
講談社の公表（2026年8月3日）によると、7月27日に社員が、取引先を装ったフィッシングメールのリンクをクリックしました。そして、表示された偽のログイン画面に認証情報を入力しました。報道によると、侵害されたのは社員1名が使う社用メールアカウントです。7月30日、攻撃者はこの認証情報で社用メールにログインし、アカウント内に保存されていた連絡先情報を最大3,812件盗みました。さらに、そのうち553件のメールアドレス宛てに、当該社員を装ったフィッシングメールを大量に送りました。流出した連絡先情報は、メールアドレスと一部の方の氏名です。3,812件は公表された上限値で、流出が確定した件数は公表されていません。共同通信の配信記事は、流出したのは社外の取引先のメールアドレスなどだと伝えています。
封じ込めと通知・公表の経過 事実
不正ログインがあった7月30日の同日に、当該社員が異常に気付きました。社員はログインパスワードを変更し、既存のセッションを削除しました。講談社によると、それ以降は当該メールアカウントへの不正アクセスは確認されていません。7月31日付で、流出した可能性のあるメールアドレス宛てに電子メールで通知しました。通知には、本件の概要、漏えいした項目（メールアドレスと一部の方の氏名）、本人が取りうる措置、同社の対応窓口などが書かれています。8月3日には公式サイトで公表して謝罪しました。あわせて、個人情報保護法に基づく個人情報保護委員会への報告が完了していることも報告しています。発生原因は調査・特定を進めており、再発防止に努めるとしています。報道によると、フィッシングメールの巧妙さや、多要素認証・不審メール検知の運用状況などの詳しい要因は、現時点で明らかにされていません。
被害が取引先へ広がった構造 解釈
本件の特徴は、1通のフィッシングで盗まれた認証情報が、侵害されたメールアカウントを足場にした二次フィッシングへつながった点です。最初の偽メールは取引先を装い、二次メールは講談社社員本人を装っていました。受信者から見れば、実在するやり取り相手の本物のアカウントから届いたメールです。送信ドメイン認証（SPF/DKIM/DMARC）でも正規のメールとして扱われた可能性が高く、受信側のフィルタや個人の注意だけで見分けるのは難しかったと考えられます。メールアドレスと氏名は単体では機微性の高い情報ではありません。しかし攻撃者にとっては、信頼関係つきの次の標的リストとして価値があります。出版社のように多くの社外関係者とやり取りする組織では、1アカウントの侵害が取引先網へ広がりやすい構造があり、「誰のアカウントも次の攻撃の踏み台になりうる」ことを示す事案といえます。
初動と公表の評価 解釈
認証情報の入力（7月27日）から不正ログイン（7月30日）までは3日の時間差がありました。入力直後に本人の申告や組織側の検知でパスワードを変えられていれば、ログイン自体を防げた可能性があります。一方で、不正ログイン当日にパスワード変更とセッション削除まで行ったこと、翌31日に対象者へ個別に通知して窓口を案内したこと、4日後に公表と当局報告を済ませたことは、短期間での対応として評価できます。また、セッション削除まで行った点は、パスワード変更だけでは残るログイン状態を断つ処置として妥当です。ただし、異常に気付いたきっかけが社員本人の気付きだったのか、システムの検知だったのかは公表されていません。553件への送信を途中で止められなかった理由や、メール本文など連絡先以外の情報へのアクセスの有無も明らかではありません。対策の評価は、原因調査の続報を待つ必要があります。
対応
- 封じ込め
- 社員が2026年7月30日にログインパスワードの変更とセッションの削除を実施。以後、当該メールアカウントへの不正アクセスは確認されていない。
- 公表の仕方
- 2026年7月31日付で漏えいの可能性があるメールアドレス宛に電子メールで通知し、8月3日に公式サイトで公表・謝罪。原因を調査・特定し再発防止に努めるとしている。
- 当局対応
- 個人情報保護委員会（個人情報保護法に基づく報告完了）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| パスワードだけの認証では、偽ログイン画面で入力された時点でアカウントを奪われる。 | 社用メール（Microsoft 365／Google Workspace等）で多要素認証を全員に必須化し、条件付きアクセスでレガシー認証を無効にする。可能であればFIDO2/パスキーなど、フィッシングに耐性のある方式を優先して導入する。 |
| 認証情報が盗まれてから悪用されるまでに数日の猶予があることがあり、早期の申告と検知でログインを防げる余地がある。 | 「偽画面に入力してしまった」と即時に報告できる窓口とワンクリックの報告ボタンを用意し、報告を受けたら即座にパスワードリセットとセッション失効を行う手順（Runbook）を定める。未知の国・IP・端末からのサインインや、不可能な移動を検知するアラートを有効にする。 |
| 侵害されたアカウントから連絡先へなりすましメールが一斉に送られ、取引先へ被害が広がる。 | ユーザー単位の送信レート制限と、短時間に多数の宛先へ送信した場合のアラート・自動送信停止を設定する。不審な受信トレイルール（自動転送・自動削除）の作成も監視対象にする。 |
| パスワード変更だけでは、既存のセッションやトークンが残る場合がある。 | 侵害対応の標準手順に、パスワード変更・全セッションのサインアウト・リフレッシュトークンの取り消し・登録済みMFA手段とアプリ連携の見直し・監査ログ（メールボックスへのアクセス、送信ログ）の保全を含める。 |
| なりすましメールの受信者には、早く確実に注意喚起を届ける必要がある。 | 送信ログから二次メールの宛先を抽出する手順と、注意喚起メールのひな形（偽メールの件名・送信時刻、リンクを開かない、入力した場合はパスワード変更、問い合わせ窓口）を事前に用意し、翌営業日までに通知できる体制を整える。 |
| 取引先を装ったメールのリンクから表示されるログイン画面は、見た目だけでは本物と区別しにくい。 | パスワードマネージャによる正規ドメインでの自動入力を標準にし、自動入力されない画面では入力しない運用を教育する。メールゲートウェイでURLの書き換えとクリック時の検査を有効にし、新しく登録されたドメインへのアクセスを制限する。 |
自組織などでの確認項目
- 自組織の社用メールで、全アカウントに多要素認証が必須になっているか。例外アカウントやレガシー認証（IMAP/POP/SMTP認証）が残っていないかを、管理コンソールで確認できるか。
- 社員が「偽のログイン画面にパスワードを入れてしまった」と気付いたとき、誰に・どう報告し、何分以内にパスワードリセットとセッション失効が行われるか。手順書と担当者が決まっているか。
- 1つのアカウントが短時間に多数の外部宛先へメールを送った場合に、アラートや自動停止が働く設定になっているか。
- アカウント侵害が判明したとき、送信ログから二次被害を受けた宛先を特定し、取引先へ注意喚起の通知を出すまでの手順とひな形が用意されているか。
未解明点
- 当該メールアカウントで多要素認証が有効だったか、不審メール検知がどう運用されていたか。
- 7月30日の異常に気付いたきっかけが社員本人の気付きか、システムの検知か。また、553件への送信を途中で止められたかどうか。
- 攻撃者が連絡先以外の情報（メール本文や添付ファイルなど）にアクセスしたかどうか。最大3,812件のうち、流出が確定した件数。
- 553件の宛先で、二次フィッシングによる認証情報の入力などの被害が起きたかどうか。
- 原因調査の結果と、具体的な再発防止策の内容。
出典
- 1＠IT2026-08-06報道本文確認済
- 2熊本日日新聞社（共同通信配信）2026-08-03報道本文確認済
- 3セキュリティ対策Lab（合同会社ロケットボーイズ）2026-08-04報道本文確認済
- 4ScanNetSecurity2026-08-17報道本文確認済
- 5株式会社講談社2026-08-03公式本文確認済