常石グループ（旧ツネイシホールディングス）へのフィッシングによるメールアカウント不正利用（不特定多数へフィッシングメール送信）
公表日
常石グループ株式会社（旧ツネイシホールディングス）で、グループ社員のメールアカウントがフィッシング銀行・通販サイト・宅配業者・公的機関などを装ったメールやSMSを送り、本物そっくりの偽サイトに誘導して、IDやパスワード、カード番号などを入力させる手口です。SMSを使うものは「スミッシング」、電話を使うものは「ビッシング」とも呼ばれます。による認証情報の漏えいで不正利用され、不特定多数にフィッシングメールが送られました。件数はまだ確認できていません。
対象者は？
公表されているのは、常石グループ社員のメールアカウントが不正利用され、不特定多数のユーザーにフィッシング銀行・通販サイト・宅配業者・公的機関などを装ったメールやSMSを送り、本物そっくりの偽サイトに誘導して、IDやパスワード、カード番号などを入力させる手口です。SMSを使うものは「スミッシング」、電話を使うものは「ビッシング」とも呼ばれます。メールが送信されたことです。そのため、同社グループを名乗るメールを受け取った方が影響を受けた可能性があります。お客様の個人情報が漏えいしたかどうかや、対象となる人数は、参照した報道の範囲では確認できていません。
常石グループが公表したお知らせで対象範囲を確認してください。身に覚えのないメールや、リンク・添付ファイルを開くよう求めるメールは、操作せずに送信元へ別の方法で確認してください。
いますぐできること
- 常石グループを名乗る心当たりのないメールのリンクや添付ファイルは開かない。
- メールのパスワードを他のサービスと使い回していないか確認し、使い回していれば変更する。
- 可能なサービスでは多要素認証（ログイン時の追加確認）を設定する。
何が起きたのか
2025年10月、常石グループで、フィッシング銀行・通販サイト・宅配業者・公的機関などを装ったメールやSMSを送り、本物そっくりの偽サイトに誘導して、IDやパスワード、カード番号などを入力させる手口です。SMSを使うものは「スミッシング」、電話を使うものは「ビッシング」とも呼ばれます。メールにより認証情報が漏えいし、グループ社員のメールアカウントが第三者に不正利用されて不審メールが送られました。同社は10月9日にこのインシデントを公表しました。その後、11月26日にグループ社員のメールアカウントが外部に漏えいしていることが分かり、11月28日に発表しました。このアカウントは第三者に不正利用され、不特定多数の人にフィッシングメールが送られたことが確認されています。2026年6月22日には続報が発表されました。
なぜ起きたのか・なぜ広がったのか
報道によると、フィッシング銀行・通販サイト・宅配業者・公的機関などを装ったメールやSMSを送り、本物そっくりの偽サイトに誘導して、IDやパスワード、カード番号などを入力させる手口です。SMSを使うものは「スミッシング」、電話を使うものは「ビッシング」とも呼ばれます。メールで認証情報が漏えいしたことが原因とされています。それ以上の詳しい原因や、広がった理由は、参照した範囲ではまだ発表されていません。
いまの状況2026-07-06 時点続報待ち
2026年6月22日に続報が発表され、報道では再発防止策が示されたとされています。ただし、影響を受けた件数、封じ込めの詳細、金銭的な影響は、参照した範囲ではまだ発表されていません。
企業として考えたいこと
自社のメールアカウントが乗っ取られて社外に不審メールが送られたとき、何分で気づき、何時間でパスワード変更と取引先への連絡を終えられますか。
技術的な要約
常石グループ株式会社（旧社名：ツネイシホールディングス株式会社）は、2025年10月9日に同社グループの情報セキュリティインシデントを公表した。2025年10月に、フィッシングメールで認証情報が漏えいしたことで、グループ社員のメールアカウントが第三者に不正利用され、不審メールが送信される事案が発生していた。その後、11月26日に同社グループ社員のメールアカウントが外部に漏えいしていることが判明し、11月28日に発表した。当該アカウントは第三者に不正利用され、不特定多数のユーザーにフィッシングメールが送信される事象が確認されている。2026年6月22日には続報が発表され、報道では再発防止策が示されたとされる。件数などの詳細は、参照した出典の範囲では確認できていない。
公開情報が限られている点について
攻撃の分類
- 侵入口
- フィッシング報道・研究者報道によると、2025年10月にフィッシングメールで認証情報が漏えいし、グループ社員のメールアカウントが第三者に不正利用された。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 当該メールアカウントが第三者に不正利用され、不特定多数のユーザーにフィッシングメールが送信される事象が確認されている。業務停止については、参照した出典では言及がない。
- データ
- 調査中上限 —確定 —メールグループ社員のメールアカウントの認証情報（パスワード）が漏えいした。件数は参照した出典では確認できていない。
- 波及先
- —
- 不特定多数のユーザーにフィッシングメールが送信された
- 金銭影響
- —
- サプライチェーン
- —
時系列
- 2025-10フィッシングメールで認証情報が漏えいし、グループ社員のメールアカウントが第三者に不正利用され、不審メールが送信される事案が発生した。2
- 2025-10-09同社グループで発生した情報セキュリティインシデントを公表した。2
- 2025-10-21グループ社員の個人アカウントのパスワードが漏えいし、不特定多数にフィッシングメールが送信されたとする記事が掲載された（関連記事）。2
- 2025-11-26同社グループ社員のメールアカウントが外部に漏えいしていることが判明した。1
- 2025-11-28同社グループ社員のメールアカウントのパスワード漏えいについて発表した。当該アカウントが第三者に不正利用され、不特定多数のユーザーにフィッシングメールが送信される事象を確認している。1
- 2025-12-16防止策対応中にグループ社員のメールアカウントのパスワードが漏えいしたとする記事が掲載された。1
- 2026-06-222025年10月9日に公表したインシデントについて、続報を発表した。2
- 2026-07-06常石グループへのフィッシングメールで認証情報が漏えいし、再発防止策を発表したとする記事が掲載された。2
技術解説
公表されている経過 事実
常石グループ株式会社（旧社名：ツネイシホールディングス株式会社）は、2025年10月9日に同社グループで発生した情報セキュリティインシデントを公表した。報道によると、同社では2025年10月に、フィッシングメールで認証情報が漏えいしたことで、グループ社員のメールアカウントが第三者に不正利用され、不審メールが送信される事案が発生していた。11月26日にはグループ社員のメールアカウントが外部に漏えいしていることが判明し、11月28日にパスワード漏えいについて発表した。当該アカウントが第三者に不正利用され、不特定多数のユーザーにフィッシングメールが送信される事象を確認している。2026年6月22日には続報が発表された。
公開形式と関連報道、確認できていない事項 事実
11月28日の発表と6月22日の続報は、いずれも文字の選択やコピーができない状態で公開されていると報じられている。関連記事として、2025年10月21日付でグループ社員の個人アカウントのパスワードが漏えいし不特定多数にフィッシングメールが送信されたとする記事、2025年12月16日付で防止策対応中にグループ社員のメールアカウントのパスワードが漏えいしたとする記事がある。いずれも報道であり、今回参照した範囲では、影響件数、封じ込めの具体的内容、当局への報告、金銭的影響は確認できていない。
攻撃の構造（解釈） 解釈
公表された経過からは、フィッシングで得られた認証情報が、メールアカウントの不正利用につながったと読み取れる。メールアカウントは社内外とのやりとりに使われるため、不正利用されると、受信者から見て正規の送信元に近い形で不審メールが届く可能性がある。本件では不特定多数にフィッシングメールが送信されたと報じられており、被害が社外へ広がりうる構造だったと考えられる。ただし、多要素認証の有無やログイン経路などは確認できておらず、この点は推測にとどまる。
継続した経過から読み取れること（解釈） 解釈
2025年10月の公表後も、11月に別のメールアカウントの漏えいが判明し、12月には防止策対応中の漏えいを伝える記事が出ている。これは、一度の対処では認証情報の流出が収まりにくい場合があることを示唆する。ただし、これらが同一の原因によるものか、別々の出来事かは、参照した範囲では分からない。2026年6月の続報で再発防止策が示されたとされるが、その内容は確認できていないため、効果の評価は現時点ではできない。
対応
- 封じ込め
- —
- 公表の仕方
- 2025年10月9日にインシデントを公表し、11月28日にメールアカウントのパスワード漏えいについて発表、2026年6月22日に続報を発表した。各発表は文字の選択やコピーができない状態で公開されている。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| フィッシングで盗まれた認証情報は、パスワードだけでは悪用を防ぎにくい | メールを含む全クラウドサービスで多要素認証（FIDO2などフィッシング耐性のある方式が望ましい）を必須にし、レガシー認証（POP/IMAP基本認証）を無効化する。 |
| グループ会社の多数のアカウントは、見落としが起きやすい | IDaaSなどでアカウントを一元管理し、退職・異動・未使用アカウントの棚卸しを定期実行する。ログインの地理・端末異常をアラート化する。 |
| メールアカウントの乗っ取りは社外への被害に波及する | 不審な大量送信や転送ルールの作成を検知するルールをメール基盤に設定し、送信上限の制限と自動遮断を用意する。SPF/DKIM/DMARCも整備する。 |
| 追加の漏えいが続く場合に備え、初動と再発防止を段階的に管理する | インシデント時は対象アカウント全件のパスワード強制変更とセッション失効を実施し、完了確認の手順と担当をランブックに明記する。 |
| 公表資料は利用者が読みやすく確認しやすい形が望ましい | お知らせはテキスト選択・検索可能なHTMLや、アクセシブルなPDFで公開し、更新履歴と対象範囲を明記する。 |
自組織などでの確認項目
- 自組織のメールアカウントで、多要素認証が全員に必須になっていますか。例外のアカウントはありませんか。
- 社員が不審なメールを見つけたとき、すぐに報告できる窓口と手順はありますか。報告は何分以内に対応されますか。
- パスワードが漏えいしたと分かった場合、対象アカウントのパスワード変更とログイン済みセッションの失効を、どのくらいの時間で完了できますか。
未解明点
- 影響を受けたメールアカウントの数と、外部に送信されたメールの規模は、まだ参照した範囲では確認できていない。
- 2025年10月、11月、12月の各事象が同じ原因によるものかどうかは、参照した範囲では分からない。
- 2026年6月22日の続報で示された再発防止策の具体的な内容は、参照した範囲では確認できていない。
出典
- 1ScanNetSecurity2025-12-16報道本文確認済
- 2ScanNetSecurity2026-07-06報道本文確認済