東日本三菱自動車販売のMicrosoft 365アカウント不正ログインと顧客情報漏えいのおそれ（最大24,480件）
公表日
東日本三菱自動車販売の社員用Microsoft 365アカウントが第三者に不正ログインされ、825件のなりすましメール実在の会社や取引先、知人を名乗って送られる偽のメールです。本物のアカウントが乗っ取られ、そこから送られてくる場合もあり、送信者名だけでは見分けがつきません。が送信されたほか、過去に取引のあった顧客ら最大24,480件の情報に漏えいの可能性があることが公表されました。
対象者は？
2024年11月から2026年9月の間に東日本三菱自動車販売と車両・用品の購入、修理、点検整備などの取引があった顧客、およびなりすましメール実在の会社や取引先、知人を名乗って送られる偽のメールです。本物のアカウントが乗っ取られ、そこから送られてくる場合もあり、送信者名だけでは見分けがつきません。の送信先（氏名、車両登録番号、営業店舗名、営業担当者氏名、購入諸費用・修理代金、メールアドレス、過去のメール内容。住所、電話番号、金融機関口座、クレジットカード情報は含まれていません）。
該当する可能性のある方には同社より連絡が進められているほか、不審なメールを受信した場合は同社総務課へ連絡するよう呼びかけられています。
いますぐできること
- 東日本三菱自動車販売の社員を名乗る不審なメールを受信した場合は、記載されたリンクや添付ファイルを開かず、速やかにメールを削除するか同社へ確認してください。
- 不審なメールに返信して個人情報や認証情報を入力しないよう注意してください。
何が起きたのか
2026年10月9日、東日本三菱自動車販売の社員が利用するMicrosoft 365アカウントに第三者が不正ログインし、そのアカウントから外部へ825件のなりすましメール実在の会社や取引先、知人を名乗って送られる偽のメールです。本物のアカウントが乗っ取られ、そこから送られてくる場合もあり、送信者名だけでは見分けがつきません。が送信されました。同社は全社員のパスワード変更となりすましメール送信先への個別連絡・削除依頼を実施しました。その後の調査により、侵害されたアカウント内に保存されていた取引顧客リストなど最大24,480件の情報が閲覧可能となっていたことが判明し公表されました。
なぜ起きたのか・なぜ広がったのか
社員のアカウントに対する不正ログインが直接の原因ですが、具体的な侵入口や認証情報の窃取手法は調査中とされています。また、侵害されたアカウント内に約2年分の取引顧客情報リストが保存されていたため、影響を受ける可能性のある対象件数が拡大しました。
いまの状況2026-10-30 時点続報待ち
全社員のパスワード変更後は新たな不正ログインは確認されておらず、現時点で顧客情報リストが外部へ持ち出された痕跡も確認されていません。同社および三菱自動車工業は個人情報保護委員会に報告し、外部調査機関の協力を得て持ち出しの有無や原因の調査を継続しています。
企業として考えたいこと
自社の業務メールアカウントが1つ乗っ取られた場合、過去の送受信メールや保存データから社外の顧客情報がどれだけ閲覧可能になってしまうか把握できていますか？
技術的な要約
東日本三菱自動車販売において、2026年10月9日に社員が利用するMicrosoft 365アカウントに対する第三者の不正ログインが発生・検知された。乗っ取られたアカウントから825件のなりすましメールが送信され、送信先の氏名やメールアドレスが漏えいしたほか、過去のメール内容が閲覧可能となった可能性がある。同社は初動対応として全社員のパスワード変更を実施し、なりすましメール送信先への個別連絡とメール削除依頼を行った。2026年10月30日の第2報では、侵害アカウント内に保存されていた2024年11月から2026年9月までの取引顧客ら24,480件の情報に漏えいの可能性があることが公表された。現時点で顧客リストが外部に持ち出された痕跡は確認されておらず、個人情報保護委員会に報告のうえ外部調査機関とともに調査を継続している。
攻撃の分類
- 侵入口
- 不明社員が使用するMicrosoft 365アカウントに第三者が不正ログインしたとされるが、侵入口や悪用された認証方式の詳細は公表されておらず外部調査機関とともに調査中。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 中核業務の停止は報告されていないが、侵害アカウントから825件のなりすましメールが外部に送信された。
- データ
- おそれ上限 24,480確定 —件氏名メール業務データその他侵害アカウント内に保存されていた2024年11月〜2026年9月の取引顧客情報およびなりすましメール送信先の情報24,480件に漏えいの可能性がある。含まれる情報は氏名、車両登録番号、営業店舗名、営業担当者氏名、購入時諸費用金額や修理代金、メールアドレス、過去のメール内容。住所、電話番号、金融機関口座、クレジットカード情報は含まれていない。また、リストの外部持ち出し痕跡は確認されていない。
- 波及先
- 825 件
- 侵害された社員アカウントから送信されたなりすましメールの受信者
- 金銭影響
- —
- サプライチェーン
- 東日本三菱自動車販売の社員アカウントが侵害され、取引先や顧客などの外部宛てになりすましメールが825件送信された。
時系列
- 2026-10-09
- 2026-10-09
- 2026-10-13
- 2026-10-13
- 2026-10-13
- 2026-10-13
- 2026-10-15
- 2026-10-30
- 2026-10-30
技術解説
アカウント侵害の発生となりすましメール送信の経緯 事実
2026年10月9日、東日本三菱自動車販売の社員が利用する業務用Microsoft 365アカウントに対する第三者の不正ログインが発生し発覚した。不正ログインを受けたアカウントからは、外部へ825件のなりすましメールが送信された。同社は同月13日に第1報を公表し、なりすましメール送信先の氏名およびメールアドレスが漏えいしたこと、攻撃者によって過去のメール内容が閲覧可能な状態となっていた可能性があることを明らかにした。同社は初動対応として被害アカウントを含む全社員のパスワード変更を実施し、変更後の不正アクセスは確認されていないとしている。また、なりすましメールの送信先へ個別に連絡してメール削除を依頼し、個人情報保護委員会へ報告を行った。なお、Microsoft 365のサービス基盤自体の侵害は発表されていない。
侵害アカウント内に保存されていた顧客情報の漏えい懸念 事実
2026年10月30日の第2報および親会社の三菱自動車工業の発表により、侵害アカウント内に保存されていた顧客情報など最大24,480件に漏えいの可能性があることが判明した。対象は2024年11月から2026年9月までの間に同社と車両・用品の購入、修理、点検整備などの取引があった顧客、およびなりすましメールの送信先である。含まれる情報は氏名、車両登録番号、営業店舗名、営業担当者氏名、購入時諸費用金額や修理代金、メールアドレス、過去のメール内容である。一方、住所、電話番号、金融機関口座、クレジットカード情報は含まれていない。公表時点で顧客情報リストが外部へ持ち出された痕跡は確認されておらず、24,480件は外部流出が確定した件数ではないと説明されている。
クラウドメール環境におけるアカウント侵害の影響とデータ管理の課題 解釈
単一の社員メールアカウント侵害が外部へのなりすましメール送信の踏み台として悪用されただけでなく、アカウント内に保管されていた過去の取引顧客リストにまで影響が拡大した事案といえる。攻撃者が侵害アカウントを起点として短期間に825件ものメールを外部送信できた点からは、異常な外向きメール送信を自動検知・制限するテナント側の保護ルールの重要性が浮き彫りになっている。また、1つのメールアカウントに約2年分・2万件超の取引情報が保存されていた事実からは、メールボックスが事実上の顧客情報データベースとして利用されていた実態が窺える。クラウド移行環境においては、強固な認証だけでなく、メール環境内に機微な顧客リストを漫然と滞留させない運用の徹底が求められる。
対応
- 封じ込め
- 不正アクセスを受けたアカウントを含む全社員のパスワード変更を実施し、変更後の不正アクセスは確認されていない。また、なりすましメール送信先に個別連絡を行いメール削除を依頼した。
- 公表の仕方
- 2026年10月13日に第1報を公表し、10月30日に調査結果の続報（第2報）として侵害アカウント内に保存されていた顧客情報24,480件に漏えいの可能性がある旨を公表した。
- 当局対応
- 個人情報保護委員会
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| クラウドサービスにおける多要素認証（MFA）と条件付きアクセスの徹底 | 全社員アカウントにフィッシング耐性のある多要素認証（MFA）を義務付け、不審なロケーションや未知のデバイスからのサインインを制限する条件付きアクセスポリシーを設定する。 |
| アカウント侵害時のアウトバウンドなりすましメール大量送信の防止 | テナント側で短時間の外部送信件数制限（アウトバウンドスパム保護ポリシー）を設定し、異常な送信スパイクを検知した際にアカウントを自動一時停止するアラートと自動修復を構成する。 |
| メールボックスおよび添付ファイル内の顧客リスト蓄積の防止 | データ損失防止（DLP）ポリシーを導入して顧客リストや取引情報のメール保管・転送を検知・警告し、定期的なメールボックス内ファイルの棚卸しと不要データの削除ルールを運用する。 |
| 侵害発覚時における迅速なアクティブセッションの無効化 | パスワードリセットの実施にとどまらず、侵害が疑われるアカウントの全てのリフレッシュトークンやアクティブなサインインセッションを即座に取り消すインシデント対応手順を整備・自動化する。 |
自組織などでの確認項目
- 自組織のMicrosoft 365などのクラウドサービスにおいて、全アカウントで多要素認証（MFA）が必須化されており、適用除外となっているアカウントが存在していないか。
- 万一メールアカウントが乗っ取られた場合に備え、短時間での社外宛て大量メール送信を自動遮断する送信レート制限やアラートが有効になっているか。
- 業務メールの送受信履歴や添付ファイル内に、過去の顧客リストや取引履歴などの重要データが長期間保存されたままになっていないか。
未解明点
- 第三者が社員アカウントに不正ログインした具体的な侵入手法（フィッシング、パスワードの推測・使い回し、ブルートフォース攻撃、セッショントークン窃取など）は何であったか。
- 侵害されたアカウントに対して事前の多要素認証（MFA）設定やアクセス制限ポリシーがどのように適用されていたか。
出典
- 1日本脆弱性総合ポータル2026-10-13研究者本文確認済
- 2日刊自動車新聞2026-10-15報道本文確認済
- 3インシデントレーダー編集部2026-11-01報道本文確認済
- 4セキュリティ事故速報2026-10-13報道本文確認済
- 5日刊自動車新聞2026-10-15報道本文確認済
- 6セキュリティ対策Lab2026-10-30報道本文確認済
- 7セキュリティ対策Lab2026-10-14報道本文確認済
- 8株式会社Suppoza2026-10-14報道本文確認済
- 9三菱自動車工業株式会社2026-10-30公式本文確認済