共同通信社への不正アクセス（職員・加盟社・取引先の連絡先約6千件が流出の可能性）
公表日
共同通信社で一部の職員のアカウントが第三者に不正使用されました。職員や加盟社、取引先の氏名やメールアドレスなど、最大約6千件の連絡先が流出した可能性があります（流出が確定した件数は発表されていません）。
対象者は？
共同通信社の職員ら（約3千件）と、加盟社・取引先の関係者（約3千件）です。含まれる可能性があるのは、氏名、所属部署、役職、メールアドレスなどです。パスワード情報の漏えいは確認されていません。
自分が対象かどうかを確かめる方法は、まだ発表されていません。共同通信社からのお知らせや、報道の続報を確認してください。
いますぐできること
- 共同通信社の職員や関係者を名乗るメールが届いたら、リンクや添付ファイルをすぐに開かないでください。送信元のアドレスや内容に不自然な点がないかを確かめましょう
- おかしいと感じたメールは、以前から知っている電話番号など、そのメールとは別の方法で相手に確認しましょう
何が起きたのか
2026年8月4日、共同通信社に外部から情報提供があり、社内で調査を始めました。調べたところ、一部の職員のアカウントが第三者に使われていた可能性が分かりました。そのアカウントのメールや保存ファイルが見られた可能性があります。翌日の8月5日、職員や加盟社、取引先の連絡先約6千件が流出した可能性があると発表しました。
なぜ起きたのか・なぜ広がったのか
一部の職員のアカウントが第三者に不正使用されたためとされています。アカウントがなぜ使われてしまったのか、いつから使われていたのかは、まだ発表されていません。流出につながった恐れのある設定があったとされていますが、その内容も発表されていません。
いまの状況2026-08-24 時点続報待ち
共同通信社は、流出につながった恐れのある設定を停止するなど安全対策を強め、原因を調べています。共同通信や加盟社のシステムや業務への影響は確認されていません。原因や、流出が確定した件数は、まだ発表されていません。
企業として考えたいこと
社員のメールアカウントが誰かに使われていたとき、外部から教えてもらう前に自分たちで気づけるでしょうか。また、どのメールやファイルが見られたかを後から確かめられるでしょうか。
技術的な要約
共同通信社は2026年8月5日、不正アクセスにより職員や加盟社、取引先の氏名、メールアドレスなど約6千件の連絡先が流出した可能性があると発表した。一部職員のアカウントが第三者に不正使用され、このアカウントのメールや保存ファイルが閲覧された可能性がある。8月4日に外部から情報提供を受けて調査を開始し、発覚した。内訳は職員らに関する約3千件と、加盟社・取引先に関する約3千件で、氏名、所属部署、役職、メールアドレスなどが含まれる。パスワード情報の漏えいや、共同通信・加盟社のシステム、業務への影響は確認されていない。流出につながった恐れのある設定を停止するなど安全対策を強化し、原因究明を進めている。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明「一部職員のアカウントが第三者に不正使用され、このアカウントのメールや保存ファイルが閲覧された可能性がある」と報じられている。アカウントが不正使用された経緯（認証情報の入手方法）は出典に記載がなく、原因は究明中。「流出につながった恐れのある設定を停止」したとされるが、設定の内容は不明。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 共同通信や加盟社のシステム、業務への影響は確認されていない。
- データ
- おそれ上限 6,000確定 —件氏名メール従業員情報取引先情報その他流出した恐れがあるのは連絡先約6千件。内訳は職員らに関する約3千件と、加盟社・取引先に関する約3千件で、氏名、所属部署、役職、メールアドレスなど。流出確定件数は公表されていない。パスワード情報の漏えいは確認されていない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 加盟社・取引先の連絡先が流出の可能性の対象に含まれるが、加盟社のシステムや業務への影響は確認されていない。
時系列
技術解説
報じられた被害の範囲 事実
共同通信社は2026年8月5日、不正アクセスによって職員や加盟社、取引先の氏名、メールアドレスなど6千件の連絡先が流出した可能性があると発表した。流出した恐れがあるのは、職員らに関する約3千件と、加盟社・取引先に関する約3千件である。項目は氏名、所属部署、役職、メールアドレスなど。6千件は「流出した可能性がある」件数の上限で、流出が確定した件数は出典に書かれていない。パスワード情報の漏えいは確認されていない。共同通信や加盟社のシステム、業務への影響も確認されていないと報じられている。
発覚から公表までの経緯と侵害の形 事実
共同通信は8月4日、外部から情報提供を受けて調査を始め、その結果として事案が分かった。翌日の8月5日に公表している。報道によると、一部職員のアカウントが第三者に不正使用され、そのアカウントのメールや保存ファイルが閲覧された可能性がある。ScanNetSecurityも8月24日に、一部の職員アカウントが第三者に不正利用された可能性を同社が確認した、と報じた。対応としては、流出につながった恐れのある設定を停止するなど安全対策を強化し、原因究明を進めているとされる。侵入した日、アカウントが不正使用された経緯、停止した設定の中身は、参照した出典には書かれていない。
攻撃の構造：正規アカウントを経由した情報の閲覧 解釈
公表内容から見る限り、システムの脆弱性を突いた侵入ではなく、正規の職員アカウントが第三者に使われた形と読み取れる（MITRE ATT&CKのT1078 Valid Accountsにあたる）。メールや保存ファイルが閲覧されたとすれば、署名、宛先、添付の名簿などに含まれる社内外の連絡先がまとめて見られた可能性がある（T1114 Email Collection）。職員と加盟社・取引先の件数がほぼ半分ずつなのは、一つのアカウントが社内と社外の両方とやり取りしていたことと矛盾しない。ただし、不正使用されたアカウントの数や、認証情報がどう手に入れられたかは公表されていない。フィッシング、パスワードの使い回し、外部サービスとの連携設定など、どの経路なのかは判断できない。
検知と「設定の停止」が示すもの 解釈
発覚のきっかけは社内の監視ではなく、外部からの情報提供だった。不正使用がいつから続いていたのか、社内のログでどこまでさかのぼれるのかは、今後の公表を待つ必要がある。対策として「流出につながった恐れのある設定を停止」したとされる点から、侵害の一因がアカウントの設定や連携にあった可能性も考えられる。例としては、メールの自動転送、ファイルの外部共有、外部アプリへのアクセス許可などが挙がる。ただしこれは推測で、設定の内容は明らかにされていない。他の組織にとっては、正規アカウントの不自然な使い方を自分で見つける仕組みと、設定変更を監視する仕組みがあるかを見直す材料になる。
公表の評価と二次被害のリスク 解釈
外部から情報提供を受けた翌日に、件数の上限と内訳、パスワード漏えいは確認されていないこと、業務への影響を公表している。初動の情報開示としては早いと評価できる。一方、流出が確定した件数、対象者への個別連絡の有無、当局への報告状況は、参照した出典では分からない。氏名、所属、役職、メールアドレスがそろうと、実在の職員や取引先になりすました標的型メールの材料になり得る。報道機関とその加盟社という関係を考えると、加盟社側でも警戒が必要な状況だと考えられる。なお、2026年2月の公正取引委員会による勧告（フリーランス法関係）は本件とは別の事案であり、本件の評価には含めていない。
対応
- 封じ込め
- 流出につながった恐れのある設定を停止するなど安全対策を強化し、原因究明を進めている。
- 公表の仕方
- 2026年8月5日に共同通信社が発表。外部からの情報提供（8月4日）を受けて調査を開始した翌日に公表した。共同通信社自身の公式ページは、渡された出典には含まれない（報道経由）。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 正規アカウントの不正使用は、外部から指摘されるまで気づきにくい | メール・ストレージ（例：Microsoft 365／Google Workspace）のサインインログを集約する。普段と違う国やIPアドレス、不可能な移動、新しい端末からのアクセスを検知してアラートを出すルールを設定する |
| アカウントの設定や連携が、情報が外に出る経路になり得る | 自動転送ルール、外部共有リンク、OAuthアプリの許可を定期的に棚卸しする。外部ドメインへの自動転送はテナント全体で既定で禁止し、例外は申請・承認制にする |
| メールボックスや保存ファイルには、社内外の連絡先がまとまって蓄積される | 名簿や連絡先一覧を個人のメールやドライブに置かず、アクセス権を管理した共有領域にまとめる。保存期間を過ぎたメールを自動で削除・アーカイブする保持ポリシーを適用する |
| 認証情報が盗まれても、それだけで不正使用されないようにする必要がある | 全職員にフィッシング耐性のある多要素認証（FIDO2／パスキーなど）を必須にする。レガシー認証（IMAP／POPの基本認証など）は無効化する |
| 連絡先が漏れると、取引先へのなりすましメールにつながる | 流出の可能性がある取引先・加盟社には速やかに注意喚起を送る。自社ドメインにSPF・DKIM・DMARC（p=reject）を設定し、なりすまし送信を受信側で弾けるようにする |
| 外部からの情報提供が、発覚の重要なきっかけになっている | security.txtや問い合わせ窓口を公開する。外部からの通報をセキュリティ担当へ即時にエスカレーションする手順を決め、受付から調査開始までの目標時間を定める |
自組織などでの確認項目
- 自社のメール・ストレージ環境で、外部ドメインへの自動転送や外部共有リンクを作れる状態になっていないか。作れる場合、作成されたことを検知できるか
- 職員アカウントの不審なサインイン（普段と違う場所や端末）を、外部から指摘される前に自社で検知できる仕組みと運用担当者はいるか
- 不正使用が疑われたとき、そのアカウントが閲覧したメールやファイルをログから特定し、影響を受けた件数を確定できるだけのログを、十分な期間保存しているか
- 取引先や関係団体の連絡先が漏れたとき、相手先へ注意喚起する手順と連絡窓口は決まっているか
未解明点
- 不正使用された職員アカウントの数と、認証情報がどう手に入れられたか（侵入経路）
- 不正使用が始まった時期と、検知までの期間
- 停止した「流出につながった恐れのある設定」の具体的な内容
- 流出が確定した件数と、対象者への個別連絡の有無
- 個人情報保護委員会など当局への報告の有無
- 8月4日に寄せられた外部からの情報提供が、どのような内容だったか
出典
- 1熊本日日新聞社（共同通信配信）2026-08-05報道本文確認済
- 2ScanNetSecurity2026-08-24報道本文確認済
- 3株式会社共同通信社2026-02-25公式本文確認済