石川コンピュータ・センターの添付ファイル分離メールサーバへの不正アクセス（メール1,929件・添付2,551ファイルの漏えいの可能性）
公表日
株式会社石川コンピュータ・センターのメールサーバに不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。があり、添付ファイル付きメール最大1,929件などの情報が漏えいした可能性があります。実際の漏えいは確認されていません。
対象者は？
同社が発信した添付ファイル付きメールの差出人・宛先に含まれる方などが対象になり得ます。漏えいの可能性がある情報は、メールアドレス、メールサイズ、メールタイトル、添付ファイルです。メール本文は含まれません。ログ情報には、同社以外のメールアドレスが重複を除いて14,071件含まれていました（ログに本文と添付ファイルは含まれません）。これらは漏えいの可能性がある件数で、実際の漏えいは確認されていません。
同社の最終報のお知らせで対象の情報と期間を確認できます。該当する顧客には同社が連絡する予定とされましたが、連絡の状況はまだ発表されていません。
いますぐできること
- 同社を名乗る、または心当たりのない不審なメールや添付ファイル付きメールは、開いたりせずに削除する。
- 同社とやり取りのある方は、公式の最終報のお知らせで対象の期間と情報を確認する。
何が起きたのか
2026年5月14日、同社は添付ファイル分離メールサーバへの第三者による不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を確認しました。5月19日に公表し、5月27日に第二報、6月29日に最終報を出しました。その結果、メール送信機能の停止と、メールに関連するファイルへ一時的にアクセスできる状態が生じました。外部に漏えいした可能性があるのは、添付ファイル付きメール1,929件、添付ファイル2,551ファイルと、90日分のログです。同社以外のメールアドレスは、ログに重複を除いて14,071件含まれていました。
なぜ起きたのか・なぜ広がったのか
最終報では、サーバ上で動くダウンロード用のWebシステムの弱点（脆弱性）を突かれた不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。だったと説明されています。どの製品か、いつ侵入されたかは発表されていません。調査で不正アクセスが確認されたのはこのサーバだけで、同じネットワーク上の他のサーバや同社の他のサービスへの影響は確認されていません。
いまの状況2026-06-29 時点
専門機関の調査で情報を盗まれた痕跡は見つからず、実際の漏えい、二次被害、攻撃者による情報公開は確認されていません。同社は今後の取り組みとして、脆弱性管理と対応の見直し、防御・監視体制の構築、全社的な体制の見直しを挙げています。送信機能が止まっていた期間や復旧時期は、まだ発表されていません。
企業として考えたいこと
自社が外部とのファイル受け渡しに使っているWebシステムに脆弱性が見つかったとき、どのデータが何日分保存されているかをすぐに説明できますか。
技術的な要約
石川コンピュータ・センターは2026年5月14日、同社の添付ファイル分離メールサーバへの第三者による不正アクセスを確認し、5月19日に公表した。最終報（6月29日）では、サーバ上で動作する「添付ファイルダウンロード用Webシステム」の脆弱性を悪用された不正アクセスと説明している。メール送信機能の停止と、メール関連ファイルへ一時的にアクセス可能な状態が生じた。外部漏えいの可能性がある情報は、添付ファイル付きメール1,929件・添付ファイル2,551ファイルと90日分のログ（同社以外のメールアドレスは重複除き14,071件）で、メール本文は含まれない。専門機関の調査で情報窃取の痕跡は見つからず、実際の漏えい、二次被害、攻撃者による情報公開も確認されていない。他サーバや他サービスへの影響も確認されていない。
公開情報が限られている点について
攻撃の分類
- 侵入口
- Webアプリ脆弱性公表で確認最終報で、添付ファイル分離メールサーバ上で動作する「添付ファイルダウンロード用Webシステム」の脆弱性を悪用した不正アクセスによるものと説明された。製品名・CVEは公表されていない。第一報の段階では具体的な原因や侵入経路は明らかにされていなかった。
- 脆弱性
- CVE 非公表公表で確認添付ファイルダウンロード用Webシステム（添付ファイル分離メールサーバ上で動作）最終報に脆弱性の悪用との記載があるが、製品名・CVE番号は本文に記載がない。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 不正アクセスの結果、メール送信機能の停止と、メールに関連するファイルへ一時的にアクセス可能な状態が生じた。不正アクセスが確認されたのは添付ファイル分離メールサーバのみで、同一ネットワーク上の他のサーバ・ネットワーク機器、他サービスへの影響は確認されていない。
- データ
- おそれ上限 14,071確定 —件メールその他14,071件はログに含まれていた同社以外のメールアドレス数（重複除く）。外部漏えいの可能性がある同社発信メール情報は、サーバ保存期間2026-04-24 1:00〜2026-05-08 18:16の添付ファイル付きメール1,929件・添付ファイル2,551ファイル（差出人・宛先メールアドレス、メールサイズ、メールタイトル、添付ファイル。メール本文は含まれない）。ログ情報は2026-02-07 0:00〜2026-05-08 18:16の90日分（差出人・宛先メールアドレス、メールサイズ、メールタイトル。メール本文・添付ファイルは含まれない）。専門機関の調査で情報窃取の痕跡は見つからず、実際の漏えいは確認されていない。件数は第二報から変更なし。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 同一ネットワーク上の他サーバやネットワーク機器、同社の他サービスへの影響は確認されていない。
時系列
技術解説
公表された攻撃の構造と侵入口 事実
最終報によると、攻撃は添付ファイル分離メールサーバ上で動作する「添付ファイルダウンロード用Webシステム」の脆弱性を悪用した不正アクセスによるものだった。製品名やCVE番号は本文に記載がない。第一報の段階では、具体的な原因や侵入経路は明らかにされていなかった。その結果として、メール送信機能の停止と、メールに関連するファイルへ一時的にアクセス可能な状態が生じたことが判明している。専門機関の調査で不正アクセスが確認されたのは添付ファイル分離メールサーバのみで、同一ネットワーク上のその他のサーバやネットワーク機器では、不正アクセスの事実は確認されなかった。
漏えいの可能性がある情報の範囲と件数 事実
外部漏えいの可能性がある同社発信メール情報は、サーバ保存期間2026年4月24日1:00〜5月8日18:16分の添付ファイル付きメール1,929件、添付ファイル2,551ファイルである。内容は差出人・宛先メールアドレス、メールサイズ、メールタイトル、添付ファイルで、メール本文は含まれない。ログ情報は2026年2月7日0:00〜5月8日18:16の90日分で、本文と添付ファイルは含まれない。ログに含まれていた同社以外のメールアドレスは、重複を除き14,071件である。これらはいずれも漏えいの可能性がある件数であり、専門機関の調査で情報が窃取された痕跡は見つからず、実際の漏えいも確認されていない。件数は第二報から変更がない。
公表の経過 事実
同社が不正アクセスを確認したのは2026年5月14日で、5月19日に第一報を公表した。第一報では、送信メール情報が漏えいした可能性を否定できないとし、対象情報はメールアドレスと添付ファイル、影響範囲は調査中、経路遮断など初動対応は実施済みとされた。該当する顧客には速やかに連絡する予定とも示された。5月27日の第二報は、報道の題名によれば、保存されていたメール情報が漏えいした可能性を示す内容だった。6月29日には外部専門機関による調査と社内調査の完了を受けて最終報が出され、原因、件数、今後の取り組みが示された。最終報では、二次被害や攻撃者による情報公開も確認されていないとしている。
公表内容の評価と残る不明点 解釈
最終報で、原因の種類、対象期間、件数、他サーバへの影響の有無までが示された点は、受信者や取引先が影響を判断する材料として有用だと考えられる。調査結果を段階的に更新し、最終報で件数が変わらなかったことも明記されている。一方で、製品名・CVE、侵入日、メール送信機能の停止期間は公表されておらず、同種の製品を使う他組織が自社への該当を判断するには情報が限られる。また「窃取の痕跡が見つからなかった」ことは、漏えいがなかったことの証明とは別である。どのログをどの範囲で調べたかも示されていないため、外部からは判断しきれない。以上は本資料の読み取りに基づく解釈である。
対応
- 封じ込め
- 不正アクセス経路の遮断など初動対応を実施済み。外部の専門機関と連携して事実関係の確認、影響範囲の特定、影響があった可能性のある顧客の特定を進めた。今後の取り組みとして、脆弱性管理および対応プロセスの見直し、システム防御・監視体制の構築、全社的なガバナンス体制の見直しを挙げている。
- 公表の仕方
- 2026-05-19に第一報、2026-05-27に第二報、2026-06-29に最終報を公表した。第一報で、該当する顧客には速やかに連絡する予定とした。最終報では、実際の漏えい、二次被害、攻撃者による情報公開は確認されていないとし、不審なメールや添付ファイル付きメールを開封せず削除するよう求めた。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| インターネットから到達できるWebシステムは、メール基盤の周辺コンポーネントであっても脆弱性管理の対象に含める必要がある。 | 公開コンポーネントを資産台帳に登録し、製品名とバージョンを自動収集する。脆弱性情報との突合を定期実行し、重大度別の適用期限を定める。即時の修正が難しい場合はWAFによる仮想パッチやアクセス元制限で暫定対応する。 |
| 添付ファイルを一時保管するサーバでは、保存する期間と量が、漏えいの可能性がある範囲をそのまま決める。 | ダウンロード期限を過ぎた添付ファイルを自動削除するジョブを設定し、保存データを暗号化する。保持日数は業務上必要な最小限にし、削除ジョブの実行結果を監視対象にする。 |
| ログにも宛先メールアドレスなどの個人関連情報が含まれ、漏えいの可能性の対象になり得る。 | ログの記録項目を見直し、不要なアドレスやタイトルはマスキングまたは省略する。保持期間を定め、アクセスログとファイル取得ログは別系統の保管先へ転送して、改ざんや同時消失を防ぐ。 |
| 侵害範囲をサーバ単位に限定できると、他サービスへの影響の有無を早く説明できる。 | 添付ファイル分離サーバを専用セグメントに置き、他サーバへの通信は必要最小限に制限する。サーバ上の認証情報は最小権限とし、他システムと共用しない。侵害時に切り離す手順を事前に用意する。 |
| 調査の進行に合わせて、期間・件数・対象顧客を確定させる手順が必要になる。 | インシデント対応手順に、対象期間と件数の確定、影響顧客の特定、通知の判断基準を定める。ログの保全と専門機関への提供手順も事前に決め、定期的に訓練で確認する。 |
自組織などでの確認項目
- 自組織のインターネットに公開しているWebシステム（ファイル受け渡し、メール関連を含む）を、製品名とバージョンまで一覧で把握できているか。
- 添付ファイルを一時保管する仕組みで、保存期間と自動削除の設定を説明できるか。侵害された場合、最大で何件・何日分が対象になるか。
- メールやWebのログにどの個人関連情報が含まれ、何日分保持しているか。侵害時に「窃取の痕跡の有無」を判断できるだけの記録が残っているか。
未解明点
- 悪用された脆弱性の製品名・CVE番号、およびその脆弱性が公表済みだったか、修正が提供されていたか。
- 実際の侵入日と、不正アクセスが続いた期間。
- メール送信機能が停止していた期間と復旧時期。
- 影響があった可能性のある顧客への連絡状況と対象数。
- 「窃取の痕跡が見つからなかった」と判断した根拠となるログの範囲と調査方法。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2026-05-20報道本文確認済
- 2ScanNetSecurity2026-05-29報道本文確認済
- 3ScanNetSecurity2026-06-09報道本文確認済
- 4ScanNetSecurity2026-07-22報道本文確認済
- 5エキサイトニュース（ScanNetSecurity提供）2026-07-22報道本文確認済
- 6株式会社石川コンピュータ・センター2026-06-29公式本文確認済