PCデポのメールドメイン「@ozzio.jp」認証情報の不正利用によるフィッシングメール送信（約1,800通）
公表日
PCデポの会員向けメールドメイン「@ozzio.jp」の認証情報が第三者に不正利用され、約1,800通のフィッシング銀行・通販サイト・宅配業者・公的機関などを装ったメールやSMSを送り、本物そっくりの偽サイトに誘導して、IDやパスワード、カード番号などを入力させる手口です。SMSを使うものは「スミッシング」、電話を使うものは「ビッシング」とも呼ばれます。メールが送られました。9月11日時点で、会員の個人情報漏えいは確認されていません。
対象者は？
2026年9月4日9時から9月8日21時までに確認された、@ozzio.jpから送られた不審なフィッシング銀行・通販サイト・宅配業者・公的機関などを装ったメールやSMSを送り、本物そっくりの偽サイトに誘導して、IDやパスワード、カード番号などを入力させる手口です。SMSを使うものは「スミッシング」、電話を使うものは「ビッシング」とも呼ばれます。メール（約1,800通）の受信者。件名の例は「【重要】お客様の個人情報流出に関する緊急のお知らせとお詫び」。会員データベースなどへの不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。と会員の個人情報漏えいは、9月11日時点で確認されていません。
上の件名や期間に当てはまるメールが届いていないか、受信箱と迷惑メールフォルダを確認してください。心当たりがあるときは、PCデポの会員向け専用ダイヤル（0120-936-199、10:30〜19:00）に相談してください。この番号は2025年11月の同社の注意喚起に載っていたものです。
いますぐできること
- 該当するメールのリンクや添付ファイルを開いていなければ、そのまま削除する。
- リンクを開いたが何も入力していなければ、入力せずにブラウザを閉じる。
- ID・パスワード・個人情報を入力した場合は、速やかにパスワードを変更する。同じパスワードを他のサービスで使っているなら、そちらも変える。
何が起きたのか
PCデポは2026年9月11日、会員向けに提供しているメールドメイン「@ozzio.jp」の認証情報が第三者に不正利用されたと公表しました。そのため、同社の正規のメール送信環境から、約1,800通のフィッシング銀行・通販サイト・宅配業者・公的機関などを装ったメールやSMSを送り、本物そっくりの偽サイトに誘導して、IDやパスワード、カード番号などを入力させる手口です。SMSを使うものは「スミッシング」、電話を使うものは「ビッシング」とも呼ばれます。メール（偽サイトへ誘導して情報を盗もうとするメール）が送られました。確認された送信期間は9月4日9時から9月8日21時までです。同社は、不正利用された認証情報はメール送信に特化したもので、会員情報を見る権限はないと説明しています。不正利用されたアクセスキーの無効化と不正送信経路の遮断を行い、送信は止まっています。
なぜ起きたのか・なぜ広がったのか
認証情報が不正利用されるに至った経路は調査中で、まだ発表されていません。攻撃者も公表されていません。正規のメール送信環境から送られたため、送信元のドメインだけでは偽物と見分けにくい面があったとみられますが、メール認証の判定結果は公表されていません。
いまの状況2026-09-30 時点続報待ち
9月11日時点の調査では、会員データベースなどへの不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。と個人情報漏えいは確認されていません。アクセスキーは無効化され、不正送信は止まっています。不正利用の経路の調査結果、二次被害の件数、再発防止策は、まだ発表されていません。
企業として考えたいこと
自社のメール送信用のキーやパスワードが外部の人に使われた場合、送信量の異常に気づき、止めて、お客様に案内するまでを、誰がどの順で行うか決まっていますか。
技術的な要約
PCデポ（株式会社ピーシーデポコーポレーション）は2026年9月11日、会員向けメールドメイン「@ozzio.jp」の認証情報が第三者に不正利用され、同社の正規メール送信環境から約1,800通のフィッシングメールが送信されたと公表した。確認された送信期間は9月4日9時から9月8日21時までで、件名例は「【重要】お客様の個人情報流出に関する緊急のお知らせとお詫び」である。不正利用された認証情報はメール送信に特化したもので、会員情報を閲覧する権限はないと同社は説明している。9月11日時点では会員データベースなどへの不正アクセスや個人情報漏えいは確認されておらず、アクセスキーの無効化と不正送信経路の遮断により送信は停止している。認証情報が不正利用された経路は調査中で、攻撃者や二次被害件数などは公表されていない。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明メール送信に特化した認証情報（アクセスキー）が第三者に不正利用されたが、不正利用に至った経路は調査中。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 業務停止の記載はない。不正送信経路は遮断され、不正送信は停止している。
- データ
- なし上限 —確定 —9月11日時点で会員データベースなどへの不正アクセスと会員の個人情報漏えいはいずれも確認されていない。不正利用された認証情報は会員情報を閲覧する権限のないメール送信特化のものと同社は説明。フィッシングメールの送信数は約1,800通。
- 波及先
- 1800 通（フィッシングメール送信数）
- 件名例：【重要】お客様の個人情報流出に関する緊急のお知らせとお詫び
- 金銭影響
- —
- サプライチェーン
- —
時系列
- 2025-11-12
- 2025-11-18PCデポが、会員宛メールに酷似した不審メールが不特定多数に送信され被害が報告されているとして注意喚起（今回の事案とは別）。3
- 2026-09-04 09:00確認された不正メール送信期間の開始。1
- 2026-09-08 21:00確認された不正メール送信期間の終了。1
- 2026-09-11
- 2026-09-11同日時点の調査で、会員データベースなどへの不正アクセスと会員の個人情報漏えいは確認されていない。1
- 2026-09-11不正利用されたアクセスキーの無効化と不正送信経路の遮断が実施され、不正送信は停止。受信者にはパスワード変更等を案内。1
- 2026-09-28ScanNetSecurityが本件を報道。2
- 2026-09-30セキュリティ対策Labが本件の解説記事を掲載。認証情報の不正利用経路は調査中で、SPF/DKIM/DMARCの判定結果は未公表。1
技術解説
公表されている事案の範囲 事実
報道によると、PCデポは2026年9月11日、会員向けに提供しているメールドメイン「@ozzio.jp」の認証情報が第三者に不正利用され、同社の正規メール送信環境から約1,800通のフィッシングメールが送信されたと公表した。確認された送信期間は9月4日9時から9月8日21時まで。件名例は「【重要】お客様の個人情報流出に関する緊急のお知らせとお詫び」である。送信元には@ozzio.jpが使われたことを確認しているという。1,800通は「約」の数字で、二次被害の件数は公表されていない。同社は、不正利用された認証情報を「メール送信に特化したもの」で、会員情報を閲覧する権限はないと説明している。
対応状況と未公表の事項 事実
9月11日時点の調査では、会員データベースなどへの不正アクセスと会員の個人情報漏えいはいずれも確認されていない。事象検知後、不正利用されたアクセスキーの無効化と不正送信経路の遮断を直ちに実施し、不正送信は停止している。受信者には、リンクを開いていなければ削除、開いたが入力していなければ入力せずブラウザを閉じる、ID・パスワード等を入力した場合は速やかにパスワードを変更するよう案内している。認証情報が不正利用されるに至った経路は調査中である。攻撃者、アクセスキーの種類、送信先アドレスの入手方法、URL、二次被害件数は公表されていない。SPF、DKIM、DMARCの判定結果も公表されていない。
過去の注意喚起との関係 事実
報道によると、PCデポは2021年3月、2021年12月、2023年5月、2025年11月にも、OZZIOメールを装うフィッシング等について注意喚起しており、今回は正規メール送信環境の認証情報が不正利用された点で構造が異なるとされる。2025年11月18日の同社の注意喚起は、会員向けメールに酷似した不審メールが不特定多数に送信され、被害が報告されていると述べ、お知らせで「pcdepot.co.jp」または「ozzio.jp」以外のドメインでサービスを案内することはないとしていた。2025年11月の注意喚起と今回の事案の関係は、渡された出典では示されていない。
受信者にとっての見分けにくさ（解釈） 解釈
今回のメールは、同社の正規メール送信環境から送られ、送信元に@ozzio.jpが使われたと報じられている。ドメイン名を手がかりにした従来の見分け方は、この種のメールでは助けにならない可能性がある。件名例が個人情報流出のお詫びを装っており、受信者の不安に訴える内容だった点も、開封や入力を促しやすかったと考えられる。ただし、メールの本文やリンク先、受信者が実際に入力した件数は公表されていないため、これは公表内容からの推測にとどまる。メール認証（SPF/DKIM/DMARC）を通過していたかも不明で、受信側の迷惑メール判定への影響は評価できない。
公表の評価と今後の焦点（解釈） 解釈
今回の公表は、送信期間、送信数、権限範囲、実施した遮断措置、受信者への行動案内を含んでおり、利用者が取るべき行動は具体的に示されている。一方、渡された出典に同社自身の2026年9月の発表は含まれず、報道経由の情報に基づく点には留意が必要である。侵入口が調査中のため、認証情報がどのように漏れたのか、送信先の宛先がどこから得られたのかは、再発防止策の評価に関わる重要な点だ。同社が会員情報への影響を確認していないとした範囲は9月11日時点であり、調査の進展で記述が更新される可能性もある。続報の公表が待たれる。
対応
- 封じ込め
- 事象検知後、不正利用されたアクセスキーの無効化と不正送信経路の遮断を直ちに実施し、不正送信は停止している。
- 公表の仕方
- 2026年9月11日に公表。不審メール受信者には、リンクを開いていなければ削除、開いたが入力していなければ入力せずブラウザを閉じる、ID・パスワード等を入力した場合は速やかにパスワード変更するよう案内している。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| メール送信用の認証情報は、送信しかできない最小権限にとどめつつ、漏えい時に悪用できる範囲を技術的に絞る必要がある。 | 送信専用キーを用途別に分け、送信元IP制限、許可する送信元アドレス/ドメインの固定、日次送信上限を設定する。キーはシークレット管理基盤に置き、定期ローテーションとリポジトリ・CIログのシークレットスキャンを運用に組み込む。 |
| 正規の送信環境が悪用されると、受信者は偽装との区別が難しい。送信量や宛先の異常を、組織側が早く検知できる仕組みが要る。 | 送信APIの時間あたり送信数、新規宛先の比率、普段と異なる件名・本文テンプレートに対するアラートを設定する。送信ログをSIEMに集約し、キー別・IP別に集計して閾値超過で自動停止または承認制にする。 |
| 送信ドメインの認証結果を可視化しておくと、不正送信の範囲特定と受信側での扱いの判断が速くなる。 | SPF/DKIM/DMARCを設定し、DMARCの集約レポート(rua)を定常的に解析する。DKIMセレクタを送信経路やキーごとに分け、侵害時に該当セレクタだけ失効できるようにする。会員向けと業務用でサブドメインを分離する。 |
| キーの無効化・経路遮断・利用者案内を、事前に手順化しておくほど被害の拡大を抑えやすい。 | アクセスキー失効、送信経路停止、送信ログ保全の手順書(runbook)を整備し、年1回以上の机上訓練で所要時間を測る。受信者向け案内のテンプレートを準備し、ドメインだけで正否を判断できない前提で、問い合わせ窓口や公式サイトからのアクセスを案内する文面にする。 |
自組織などでの確認項目
- 自組織のメール送信用の認証情報（APIキー、アクセスキー、SMTP認証）は何件あり、それぞれの権限、IP制限、送信上限、最終ローテーション日を一覧で説明できるか。
- 自組織の送信ドメインについて、SPF/DKIM/DMARCの設定状況とDMARCレポートの確認頻度を把握しているか。正規送信環境から不正メールが出た場合に、送信量の急増を何分以内に検知できるか。
- 自組織の顧客向け注意喚起は、「自社ドメインのメールなら安全」と受け取られる書き方になっていないか。正規の送信環境が悪用された場合にも使える案内になっているか。
- 送信用キーが漏えいした疑いが出たとき、誰がキーの無効化と送信経路の遮断を判断し、顧客への案内をどの順で行うかを決めているか。
未解明点
- 認証情報（アクセスキー）が第三者に不正利用されるに至った経路はどこか。
- 攻撃者の特定や、アクセスキーの種類（送信基盤の種別）は公表されるか。
- 送信先アドレスをどのように入手したのか、また実際にリンクを開いたりID・パスワードを入力したりした人の数、二次被害件数はどれだけか。
- SPF/DKIM/DMARCの判定結果はどうだったか。メール認証を通過していたのか。
- 9月4日9時より前に不正利用が始まっていた可能性はないか。検知日時はいつか。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2026-09-30報道本文確認済
- 2ScanNetSecurity2026-09-28報道本文確認済
- 3株式会社ピーシーデポコーポレーション2025-11-18公式本文確認済
- 4株式会社ピーシーデポコーポレーション2025-11-12公式本文確認済
- 5株式会社ピーシーデポコーポレーション（PC DEPOT WEBSHOP）2025-11-12公式本文確認済