子育てエコホーム支援事業の事務事業者メールサーバへの不正アクセス（スパムメール最大202,581件送信の可能性）
公表日
国土交通省の「子育てエコホーム支援事業」の事務事業者（株式会社博報堂）が使うメールサーバーが不正に使われ、2026年3月18日から20日にかけて最大で202,581件のスパムメールが送られた可能性があります。個人情報などの漏洩は確認されていないと発表されています。
対象者は？
事務局のアドレスを名乗るスパムメールを受け取った可能性のある方。送信先の範囲はまだ発表されていません。個人情報や非公表情報の漏洩は確認されていないとされています。202,581件は送信された可能性のあるメールの件数で、漏洩した件数ではありません。
公式のお知らせに、スパムメールの送信元として使われたメールアドレス（9件）が載っています。受け取ったメールの送信元がそれに当たるかを確認できます。スパムメールの内容はまだ確認できていないとされています。
いますぐできること
- 覚えのないメールを受け取ったら、メール内のURLを開かず、個人情報の入力や支払いにも応じないでください。
- 受け取ったメールの送信元が、公式のお知らせに載っているアドレスと同じかを確認してください。
- 不安な場合は、子育てエコホーム支援事業のホームページに載っている窓口に問い合わせてください。
何が起きたのか
2026年3月20日、国土交通省に、子育てエコホーム支援事業の事務事業者である株式会社博報堂が使うメールサーバーが不正に使われ、スパムメールが送られたとの報告がありました。事務事業者はこの日に不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。に気づきました。調べたところ、3月18日から20日の間にメールを送る機能が不正に使われ、202,581件のスパムメールが送られた可能性があるとされています。事務局のアドレスを名乗る不審なメールが複数の宛先に送られていたことも報じられました。国土交通省は3月24日に報道発表を行いました。
なぜ起きたのか・なぜ広がったのか
どのようにメールサーバーへ入られたのか、原因はまだ発表されていません。スパムメールの内容もまだ確認できていないとされています。使われたアドレスには、本番用のほか、テスト用や開発用の環境のものも含まれていました。
いまの状況2026-04-07 時点続報待ち
2026年4月7日時点の公表では、現在はメールアドレスを不正に使えないようにする対策が取られています。国土交通省は事務事業者に対し、ホームページでの注意喚起、問い合わせへの丁寧な説明、早い原因の究明と再発防止策を指導しました。原因の調査結果と再発防止策の詳しい内容は、まだ発表されていません。
企業として考えたいこと
あなたの会社が委託先に任せているメールの送信システムが不正に使われ、自社の名前でスパムメールが大量に送られたとき、異常にいつ・どうやって気づき、顧客へ何を伝えますか。
技術的な要約
国土交通省の「子育てエコホーム支援事業（令和5年度補正事業）」の事務事業者である株式会社博報堂が利用するメールサーバーが不正に利用され、スパムメールが送信された。事務事業者は2026年3月20日に不正アクセスを覚知し、調査の結果、3月18日から3月20日にメール送信機能が不正利用され、202,581件のスパムメールが送信された可能性があると報告した。送信元アドレスは no-reply@receive.kosodate-eco.jutaku-shoene.jp などで、本番・stg・dev各環境のドメインを含む計9件のアドレスが使われた。個人情報や非公表情報の漏洩は確認されておらず、現在はメールアドレスの不正利用ができないよう対策が講じられている。国土交通省は事務事業者に対し、注意喚起、丁寧な説明、速やかな原因究明と再発防止策を指導した。侵入経路やスパムメールの内容など詳細は調査中である。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明公表では「メールサーバーを不正に利用した、スパムメールの送信が行われた」とされるのみで、侵入経路は示されていない。詳細は調査中。
- 脆弱性
- CVE 非公表不明悪用された脆弱性や製品名は公表されていない。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 業務停止については公表されていない。
- データ
- なし上限 —確定 —個人情報や非公表情報の漏洩は確認されていない。202,581件はスパムメールが送信された可能性のある件数であり、漏洩件数ではない。期間は3月18日〜3月20日。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 事務事業者の株式会社博報堂が利用するメールサーバーが不正利用された。他組織への波及は公表されていない。
時系列
技術解説
公表された経緯と国土交通省の対応 事実
国土交通省の発表によれば、令和8年3月20日（金）に、子育てエコホーム支援事業（令和5年度補正事業）の事務事業者である株式会社博報堂が利用するメールサーバーを不正に利用したスパムメールの送信が行われたとの報告が同省にあった。事務事業者は同日に不正アクセスを覚知し、その後の調査で3月18日（水）から3月20日（金）までにメール送信機能が不正利用されたとしている。国土交通省は3月24日に報道発表を行い、利用者に対し、覚えのないメールのURLへのアクセス、個人情報の入力、支払いなどに応じないよう注意を呼びかけた。あわせて事務事業者に対し、ホームページでの注意喚起、問い合わせへの丁寧な説明、速やかな原因究明と再発防止対策を指導した。
公表された数値の読み方 事実
公表された202,581件は、3月18日から3月20日の間にスパムメールとして送信された「可能性がある」件数であり、確定件数として示されたものではない。また、本事案に関連した個人情報や非公表情報の漏洩は確認されていないとされており、この件数は漏洩件数ではない。スパムメールで使用されたアドレスは計9件で、no-reply@receive.kosodate-eco.jutaku-shoene.jp のほか、info@・network@・noreply@ などが含まれる。receive.stg. や receive.dev. のサブドメインのアドレスも含まれると公表されている。スパムメールの内容は、発表の時点では確認できていないとされる。現在はメールアドレスの不正利用ができないよう対策が講じられているという。
本番以外の環境のアドレスが含まれていた点の見方 解釈
使用されたアドレスに stg（検証）や dev（開発）を示すサブドメインが含まれていたことから、不正利用された送信機能が本番環境だけでなく、複数の環境のドメインにまたがっていた可能性が考えられる。ただし、侵入経路、悪用された製品や設定、認証情報の扱いは公表されていないため、環境間の設定共有や認証の仕組みが関係したのかは分からない。したがって、ここでの見方は公表内容から読み取れる範囲の仮説にとどまる。一般論として、本番以外の環境でも外部へメールを送れる状態になっていれば、監視や棚卸しの対象から漏れやすい。この点は、原因の調査結果が示されてから改めて検証する必要がある。
調査途中の公表としての位置づけ 解釈
今回の発表では、原因やスパムメールの内容が調査中とされたまま、送信の可能性がある件数、使用されたアドレス、利用者への注意事項が示された。受信者が不審なメールに接する可能性があるため、原因の確定を待たずに注意喚起を優先した構成と読める。一方、対象の範囲を示す情報は、送信先がどのような人だったのかなど限られている。これは調査が続いているためとも考えられるが、公表内容だけでは判断できない。続報が出された場合は、侵入経路、送信先の範囲、再発防止策の具体的な内容が示されるかどうかが、評価の分かれ目になるだろう。
対応
- 封じ込め
- 現在ではメールアドレスの不正利用ができないよう対策が講じられている。
- 公表の仕方
- 2026年3月20日に国土交通省のサイトで公表し、3月24日に報道発表を行った。スパムメールの内容や原因は調査中とされている。
- 当局対応
- 国土交通省（事務事業者への指導：注意喚起、丁寧な説明、速やかな原因究明、再発防止策）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| メール送信機能が外部から悪用されると、数日で20万件規模の送信につながる可能性がある。 | 送信用アカウントやAPIキーに送信数の上限（レート制限）を設定し、通常時の送信量を超えたらアラートを出す。MTAのキュー長や送信ログの急増を監視対象に加える。 |
| stg・dev など本番以外の環境のドメインも、スパム送信に使われ得る。 | 検証・開発環境の送信ドメインとメール送信経路を資産台帳に載せる。外部宛て送信は既定で禁止し、必要な場合だけ許可リストで通す。使っていない環境のメール機能は停止する。 |
| 自組織のドメインを名乗るメールが大量に出ると、受信者が真偽を判断しにくくなる。 | SPF・DKIM・DMARCを設定してレポートを定期的に確認し、ポリシーを厳格にしていく。正規メールで使う送信元アドレスを公式サイトに明示しておく。 |
| 委託先が運用するサーバーの不正利用は、発注元の事業名を冠したメールとして利用者に届く。 | 委託契約でインシデントの報告期限、報告項目、ログ提供の範囲を定める。発注側でも送信元ドメインのDMARC集計レポートを確認できるようにし、異常を早く見つける。 |
| 調査途中でも、利用者への注意喚起を先に出せる体制が必要になる。 | 原因が未確定でも出せる注意文のひな形（見分け方、対応しない行為、問い合わせ先）を用意し、公式サイトへ掲載する担当と手順を決めておく。 |
自組織などでの確認項目
- 自組織や委託先が運用するメール送信基盤（本番・検証・開発を含む）の一覧はあるか。各環境から外部へ送れる設定になっているか。
- メールの送信数が急に増えたとき、何分以内に誰が気づく仕組みになっているか。送信数の上限設定や、通常時を超えた場合の通知は入っているか。
- 自組織のドメインでSPF・DKIM・DMARCは設定済みか。DMARCの集計レポートを誰が定期的に見ているか。委託先のインシデント報告期限は契約で定められているか。
未解明点
- 不正アクセスの侵入経路、悪用された脆弱性や認証情報の有無、製品名は公表されていない。
- スパムメールの内容と送信先の範囲（誰に届いたのか）は、発表の時点で確認できていないとされている。
- 202,581件が確定した件数なのか上限なのか、また送信先に利用者が含まれていたのかは示されていない。
- 最終的な原因調査の結果と、再発防止策の具体的な内容は、まだ発表されていない。
出典
- 1ScanNetSecurity2026-03-31報道本文確認済
- 2ScanNetSecurity2026-04-07報道本文確認済
- 3国土交通省2026-03-20公式本文確認済
- 4国土交通省 住宅局住宅生産課2026-03-24公式本文確認済
- 5国土交通省2026-03-24公式本文確認済