日本カーソリューションズ、フィッシングメールから社員名簿と連絡先などの情報が流出

何が起きたのか

リリースによると、発端は2026年3月31日午後6時4分ごろでした。

日本カーソリューションズの役員名を騙る第三者が同社宛てにメールを送り、社員名簿および連絡先が保存されたファイルの送付を要求しました。その後、4月1日午前10時21分ごろ、同社担当者がそのメールに返信し、問題のファイルを添付して送信したと説明されています。

さらに4月6日、同じ第三者とみられる人物が別のメールアドレスから再び同社へメールを送信しました。

これをきっかけに、担当者がメール内容を不審に感じて部署内で共有し、調査を進めた結果、今回の流出が発覚したとしています。

つまり、典型的なシステム障害やマルウェア感染ではなく、なりすまし型のフィッシングメールを使った手口によって、内部から情報が送られてしまった事案です。

なぜ防げなかったのか

詳細は公表されていないですが、以下のような理由になります

• URLやマルウェアなどを添付していないフィッシングメールの場合、受信してもリスク判定されない場合があります。
• フィッシングメールの送信元がドッペルゲンガードメインなどを利用している場合、一見して怪しいメールと判断できません。
• AIの発展と普及により、精度の高いフィッシングメールが送信されるので、文章でもフィッシングか見分けがつきません。

会社が呼びかけている注意点

日本カーソリューションズは、流出した社員名簿や連絡先をもとに、今後、同社社員を騙るフィッシングメールやショートメッセージでフィッシングサイトへ誘導するメッセージが配信される可能性があるとしています。

そのため、同社社員からのメールを受け取った場合は、送信元メールアドレスが正規のものか確認し、従来のメールアドレスや名刺記載のメールアドレスと異なる場合は返信せず、担当部支店または代表番号に問い合わせるよう求めています。たとえメールアドレスが正規のものであっても、内容に不審な点があれば、同じく返信せず別経路で確認するよう案内しています。

電話についても同様で、同社社員を名乗る着信があった場合は、正規の電話番号かどうかを確認し、従前の番号や名刺記載の番号と異なる場合はいったん電話を切り、名刺記載の番号や代表番号へ折り返して確認するよう呼びかけています。代表番号は03-5207-2000、窓口開設時間は平日9時から17時30分と公表されています。

情報システム部門が学ぶべき点

今回の事案が示しているのは、社員名簿や連絡先が一度外部へ出ると、それ自体が次の攻撃の踏み台になるということです。攻撃者はその情報を使って、実在社員を装ったメール、SMS、電話をより自然に見せることができるようになります。つまり、今回の流出は単体の事故で終わらず、二段目、三段目のなりすまし被害につながるおそれがあります。

そのため、企業側には、役員や上長からの依頼であっても、機微情報をメール添付で送る前に別経路確認を必須化すること、社内名簿や連絡先一覧の送付ルールを厳格化すること、なりすましメールを前提にした訓練を行うことが求められます。今回のケースは、高度なマルウェアがなくても、確認手順が弱ければ重要情報は簡単に持ち出されることを改めて示しました。