エバーグリーン・マーケティングのメールアカウントに不正ログイン、社内外へフィッシングメールを送信

エバーグリーン・マーケティング株式会社は2026年7月31日、従業員1名のメールアカウントが第三者に不正利用され、社内外へフィッシングを目的とする不審なメールが送信されたと公表しました。不正ログインとメール送信が発生したのは6月26日で、従業員が異常を検知したことから事案が判明しています。同社は同日中に対象アカウントを停止し、パスワード変更とサインインセッションの無効化を実施しました。全従業員についてもパスワード変更とセッション無効化を行っています。現時点で個人情報を含む情報漏洩や不正利用などの二次被害は確認されていませんが、原因と影響範囲の調査は継続中です。

エバーグリーン・マーケティングのメールアカウント不正利用に関するサマリー

• エバーグリーン・マーケティングは2026年7月31日、従業員のメールアカウント不正利用を公表しました
• 2026年6月26日、従業員1名のメールアカウントへ第三者が不正ログインしました
• 侵害された正規アカウントから、社内外へフィッシング目的の不審メールが送信されました
• 従業員が異常を検知したことで、同日中に事案を把握しました
• 対象アカウントの停止、パスワード変更、サインインセッションの無効化を実施しました
• 全従業員についてもパスワード変更とサインインセッションの無効化を行いました
• フィッシングメールの送信先には注意喚起とお詫びを連絡しています
• 送信件数、宛先数、件名、本文、リンク先、添付ファイルの有無は公表されていません
• 不正ログインの発生時刻、継続時間、接続元IPアドレス、国・地域は未公表です
• 認証情報が窃取された経路や、不正ログインに使われた手法は調査中です
• メールボックス内の過去メールや連絡先が閲覧されたかは公表されていません
• 個人情報を含む情報漏洩や不正利用などの二次被害は現時点で確認されていません
• 関係当局へ報告済みですが、個人情報保護委員会を含むかは明記されていません
• 再発防止策として、不審ログインの監視、国外IP制限などのアクセス制御、MFA必須化を進めます
• 事案発生時に対象アカウントへMFAが設定されていたかは公表されていません

項目	内容
公表日	2026年7月31日
被害企業	エバーグリーン・マーケティング株式会社
事案発生日	2026年6月26日
対象	従業員1名のメールアカウント
事案の内容	第三者による不正ログインと、侵害アカウントからのフィッシングメール送信
メールの送信範囲	社内外
送信件数・宛先数	未公表
メールの件名・本文	未公表
誘導先URL・添付ファイル	未公表
原因	調査中
認証情報の窃取経路	未公表
不正ログインの期間	未公表
メールボックスの閲覧	未公表
漏洩情報の内容	個人情報を含む情報漏洩は現時点で確認されていない
二次被害	現時点で確認されていない
初動対応	アカウント停止、パスワード変更、サインインセッション無効化
全社対応	全従業員のパスワード変更とサインインセッション無効化
送信先への対応	注意喚起とお詫びを連絡
関係当局への報告	実施済み
個人情報保護委員会への報告	公表資料では明記されず
再発防止策	監視・検知強化、国外IP制限などのアクセス制御、MFA必須化
調査状況	原因と影響範囲を継続調査中

6月26日に従業員1名のメールアカウントへ不正ログイン

エバーグリーン・マーケティングによると、2026年6月26日、従業員1名が使用するメールアカウントへ第三者による不正ログインが行われました。

侵害されたアカウントから社内外へフィッシングを目的とする不審なメールが送信され、従業員が異常を検知したことで事案が判明しています。

公表資料では、不正ログインと不審メール送信のどちらを最初に検知したのか、メール送信システムのアラートが作動したのか、受信者から通報があったのかは説明されていません。

同社が事象を把握したのは不正ログインと同日のため、発見後の初動は当日中に行われています。

一方、攻撃者がアカウントへ最初にログインした時刻、メール送信を始めた時刻、アクセスを維持していた時間は公表されていません。

影響範囲を判断するには、不正ログインの開始から遮断までの時間だけでなく、攻撃者がメールボックス、連絡先、予定表、クラウドストレージなどへアクセスしたかを確認する必要があります。

正規のメールアカウントから社内外へ送信

今回の不審メールは、送信元表示だけを書き換えた一般的ななりすましではありません。

第三者が従業員の正規メールアカウントへログインし、そのアカウントからメールを送信しています。

受信者から見ると、過去にやり取りしたことがある正規のアドレスから届く可能性があり、メール認証も正規メールとして処理されることがあります。

SPF、DKIM、DMARCは送信経路やドメインの正当性を検証する仕組みです。正規アカウントと正規のメール基盤が悪用された場合、これらの認証だけで不審メールを見分けられないことがあります。

送信者のメールアドレスが正しいことを理由に、本文のリンクや添付ファイルを安全と判断すべきではありません。

特に、実在する担当者の署名、過去の会話と似た件名、業務上の文脈が使われていれば、受信者が正規メールと誤認する危険性が高まります。

フィッシングメールの件数と内容は未公表

エバーグリーン・マーケティングは、侵害アカウントから社内外へ不審メールが送られたことを公表しました。

一方、次の情報は明らかにしていません。

• フィッシングメールの送信件数
• 送信先の人数と組織数
• 社内と社外の内訳
• メールの件名
• メール本文
• 誘導先URL
• 添付ファイルの有無
• 入力を求められた情報
• 受信者がリンクを開いた件数
• 認証情報を入力した人の有無
• 不審メールが別の組織へ転送された範囲

このため、受信者は特定の件名だけを探すのではなく、6月26日前後に同社のメールアドレスから届いた、心当たりのないリンクや添付ファイルを含むメールを確認する必要があります。

同社はフィッシングメールが送信されたメールアドレス宛てに、注意喚起とお詫びを連絡しています。

ただし、注意喚起メールを装う二次フィッシングも想定されます。「不正メールの確認」「アカウント保護」「請求内容の確認」などを理由に再びリンクを開かせる連絡には注意が必要です。

対象アカウント停止とセッション無効化を同日実施

エバーグリーン・マーケティングは事象を把握した同日中に、対象メールアカウントを停止しました。

あわせてパスワードを変更し、サインインセッションを無効化しています。

メールアカウントが侵害された場合、パスワード変更だけでは攻撃者のアクセスを直ちに止められないことがあります。

攻撃者が有効なセッションや更新トークンを保持している場合、パスワード変更後も一定期間アクセスできる可能性があるためです。

同社がパスワード変更とセッション無効化を組み合わせたことは、この残存アクセスを遮断するための重要な対応です。

一方、外部アプリへ発行されたOAuthトークン、アプリパスワード、端末登録、メールボックスの委任設定などを確認したかは公表されていません。

インシデント対応では、アカウントの停止とセッション無効化に加え、攻撃者が別の認証手段や永続化設定を追加していないかを確認する必要があります。

全従業員のパスワードとセッションもリセット

同社は対象者1名だけでなく、全従業員のパスワード変更とサインインセッションの無効化も実施しました。

全社的なリセットを行ったことから、個別アカウントの侵害だけではなく、同じ攻撃が他の従業員へ波及していないかを警戒した対応と考えられます。

ただし、他の従業員アカウントへの不正ログインが確認されたとの公表はありません。

全社でパスワードを変更する場合、利用者が急いで単純なパスワードを設定したり、以前のパスワードへ数字だけを追加したりすると、かえって安全性が低下する可能性があります。

変更時には十分な長さを持つ固有のパスワードを設定し、他のサービスで使い回さないことが重要です。

既存セッションを一斉に無効化すると、従業員は各端末や業務アプリで再ログインを求められます。

このタイミングを狙い、「再認証が必要」「メール設定を更新してください」などと案内する偽メールが送られる可能性もあります。

認証情報の再設定案内は、メール内のリンクではなく、社内ポータルや情報システム部門が定めた正規の手順から行う必要があります。

不正ログインの原因は調査中

エバーグリーン・マーケティングは、原因と影響範囲の調査を継続しています。

公表資料では、認証情報が第三者に渡った経路を明らかにしていません。

一般的には、次のような経路が調査対象になります。

• フィッシングサイトへのID・パスワード入力
• パスワードの使い回し
• マルウェアによるブラウザー情報や認証情報の窃取
• セッションクッキーやOAuthトークンの窃取
• 不正なOAuthアプリへの同意
• 端末やブラウザーの共有
• 委託先や外部サービスからの認証情報流出
• パスワードスプレーや総当たり
• メールシステムや認証基盤の設定不備

今回の原因がこれらのいずれかだったと同社が公表した事実はありません。

再発防止策としてMFAの必須化を挙げていますが、事案発生時に対象アカウントへMFAが設定されていなかったとまでは公表されていません。

MFAが設定されていても、利用者が偽の承認要求を許可するMFA疲労攻撃や、認証済みセッションを窃取する中間者型フィッシングでは、アカウントを侵害される場合があります。

調査では、認証方法、サインインログ、端末、ブラウザー、MFA登録変更、OAuth同意、接続元の国・地域を確認する必要があります。

メールボックスの閲覧範囲は未公表

現時点で、個人情報を含む情報漏洩や不正利用などの二次被害は確認されていません。

一方、攻撃者が不審メールを送る前後に、メールボックス内の過去メール、連絡先、予定表、添付ファイルを閲覧したかは公表されていません。

侵害されたメールアカウントには、次の情報が含まれる可能性があります。

• 顧客や取引先の氏名とメールアドレス
• 契約、請求、電力供給に関する業務連絡
• 社内の担当者や組織情報
• 添付ファイル
• 会議予定
• 署名欄に含まれる電話番号や役職
• パスワード再設定や認証通知
• クラウドサービスへの共有リンク

ただし、これらが実際に当該メールボックスへ保存されていたことや、第三者に閲覧されたことは確認されていません。

不審メールの送信先を選ぶために、攻撃者が連絡先や過去メールを利用した可能性も否定できませんが、公表情報だけでは判断できません。

続報では、メールボックスへのアクセス履歴、対象メールの送信期間、個人情報漏洩のおそれ、対象者への追加通知が確認点になります。

個人情報漏洩と二次被害は現時点で未確認

エバーグリーン・マーケティングは、2026年7月31日時点で、本件に起因する情報漏洩や不正利用などの二次被害を確認していません。

不正ログインされたアカウントからフィッシングメールが送信された事実は確認されていますが、受信者がリンク先へ情報を入力した、マルウェアへ感染した、金銭を支払ったとの公表はありません。

メールボックス内の個人情報が漏洩したとの発表もありません。

そのため、本件を個人情報漏洩が確定した事案として扱うことはできません。

一方、調査は継続中であり、現時点の未確認は、将来にわたって被害がないことを保証するものではありません。

受信者や取引先は、不審メールを開いていないか、認証情報を入力していないか、端末へファイルを保存・実行していないかを確認する必要があります。

フィッシングメールを受信した場合の対応

エバーグリーン・マーケティングは、同社からのフィッシングメールと疑われるメールを受信した場合、問い合わせ先へ通知するよう案内しています。

メール内のリンクはクリックせず、誤操作を防ぐため速やかに削除してください。

業務メールで受信した場合は、削除前に情報システム部門やセキュリティ窓口へ報告すると、組織内で同じメールを受信した利用者の確認やURLの遮断に活用できます。

受信者は次の点を確認してください。

• 送信者名とメールアドレスが一致しているか
• 心当たりのない請求や契約確認ではないか
• 急いでログインや支払いを求めていないか
• 本文のリンク先が表示文字列と一致しているか
• Microsoft 365などのログインを突然要求していないか
• 添付ファイルのマクロや実行を求めていないか
• パスワード、カード情報、認証コードを要求していないか
• 振込先や請求先の変更を案内していないか

正規のアドレスから届いた場合でも、内容に不審な点があれば、メールへ返信せず、従来から把握している電話番号や公式サイトの連絡先から確認してください。

リンクを開いた・認証情報を入力した場合の対応

メール内のリンクを開いただけで、情報入力やファイル実行をしていない場合は、ページを閉じてください。

ブラウザー通知、拡張機能、アプリのインストールを許可していないかも確認します。

IDとパスワードを入力した場合は、正規サービスから直ちにパスワードを変更してください。

同じパスワードを別サービスでも使用している場合は、すべて異なるパスワードへ変更します。

MFAを有効にし、次の項目を確認してください。

• 身に覚えのないサインイン
• 未知の端末や国・地域からのアクセス
• MFA認証方法の追加・変更
• 復旧用メールアドレスや電話番号の変更
• メールの自動転送ルール
• 受信トレイのフィルターや削除ルール
• 送信済みメールと削除済みメール
• 不審なOAuthアプリや外部アプリ連携
• 委任設定や共有メールボックスの権限
• クラウドストレージの共有リンク

ワンタイムパスワードやMFA承認まで行った場合は、攻撃者がすでにログインしている可能性があります。

利用者自身のパスワード変更だけで対応を終えず、所属組織の情報システム部門へ連絡し、セッションとトークンの無効化を依頼してください。

添付ファイルを開いた場合は、端末をネットワークから切り離し、セキュリティ製品で検査します。

送金やカード情報の入力を行った場合は、金融機関やカード会社へ直ちに連絡してください。

取引先を狙う二次フィッシングとBECに注意

正規の業務用メールアカウントが侵害されると、攻撃者は送信元の信用を利用できます。

取引先は、次のような連絡に注意が必要です。

• 請求書や検針情報の確認を求める
• 契約更新や料金変更を案内する
• 振込先口座の変更を通知する
• 支払いの遅延や未払いを理由に対応を急がせる
• ファイル共有サービスからの文書確認を装う
• Microsoft 365などの再ログインを求める
• 過去の担当者名や署名を使って返信を求める
• 不正メールのお詫びを装い、別のリンクへ誘導する

今回のフィッシングメールの具体的な内容は公表されていません。

そのため、電力契約や請求に関するメールが実際に送信されたと断定することはできませんが、同社の事業や取引関係を知る受信者を狙う場合、業務上の文脈が利用される可能性があります。

請求書、送金先、契約条件、担当者、連絡先の変更は、メールだけで承認しないことが重要です。

従来から使用している電話番号、顧客ポータル、別の担当者など、メールとは異なる経路で確認してください。

セキュリティ対策Labでは、株式会社スペースの社員メールアカウントからフィッシングメール2,329件が送信された事案を取り上げています。

アクセリード ドラッグディスカバリー パートナーズで約7,000通のメールへ不正アクセスされた事案では、パスワード変更後も不正ログインが継続し、セッションやトークンを含めた無効化の重要性が示されました。

エバーグリーン・マーケティングは今回、対象アカウントと全従業員についてサインインセッションを無効化しており、パスワード変更だけにとどまらない対応を行っています。

国外IP制限だけでは十分ではない

再発防止策には、不審なログインの監視・検知強化と、国外IP制限などのアクセス制御が含まれています。

業務上アクセスする必要のない国・地域からのログインを遮断することは、不正ログインの機会を減らす対策になります。

一方、攻撃者は国内のクラウドサーバー、住宅用プロキシ、侵害済み端末を経由して接続することがあります。

国外IP制限だけでアカウント乗っ取りを防ぐことはできません。

利用者の通常行動と異なるサインイン、未管理端末、匿名化サービス、短時間の複数地域ログイン、メール大量送信などを組み合わせて監視する必要があります。

海外出張、海外拠点、委託先からの接続がある企業では、国単位の一律遮断が業務へ影響する場合があります。

条件付きアクセスを利用し、利用者、端末状態、接続元、認証リスク、対象アプリに応じて制御してください。

MFAは必須化に加えて方式の強度を確認する

エバーグリーン・マーケティングは再発防止策としてMFAの必須化を進めます。

MFAはパスワードが漏れた場合でも、追加認証によって不正ログインを防ぐ重要な対策です。

一方、SMSコード、メールコード、プッシュ通知を使う方式は、フィッシングや認証要求の連打によって突破される場合があります。

重要なメールアカウントや管理者には、パスキー、FIDO2セキュリティキー、証明書認証など、フィッシング耐性のある認証方式を優先する必要があります。

MFAを導入する際は、登録作業自体を攻撃者に乗っ取られないよう、本人確認と初期登録の手順も整備してください。

既存利用者が自由に認証方法を追加できる環境では、アカウント侵害後に攻撃者が自分の認証アプリや電話番号を登録する可能性があります。

次の変更を監視することが重要です。

• MFA認証方法の新規登録
• 電話番号や認証アプリの変更
• パスキーやセキュリティキーの追加
• 一時アクセスパスの発行
• 条件付きアクセスポリシーの変更
• 管理者による認証方法のリセット

メール送信の異常を早期検知する

今回の事案は、従業員が異常を検知したことで発覚しました。

人による気付きは重要ですが、侵害アカウントから大量のメールが送信される前に、自動的に停止・通知できる仕組みも必要です。

監視対象には次のようなものがあります。

• 通常より多い送信件数
• 短時間で多数の社外宛先へ送るメール
• 初めて送信するドメインの急増
• 外国語件名や同一文面の大量送信
• 深夜や休日の送信
• 送信済みメールの大量削除
• メール転送ルールの追加
• 受信通知を削除するフィルターの作成
• OAuthアプリへの高権限な同意
• 通常と異なる国・端末からのログイン直後のメール送信

大量送信の上限を設定し、基準を超えた場合はアカウントを一時停止する運用も有効です。

顧客や取引先へメールを多く送る部署では、通常業務との区別が難しいため、部署・役割ごとに基準値を設定してください。

メールゲートウェイのログだけでなく、認証基盤、エンドポイント、クラウド監査ログを相関して確認する必要があります。

情報システム部門への示唆

メールアカウントの侵害が判明した際は、パスワード変更だけで対応を完了させないことが最も重要です。

エバーグリーン・マーケティングが行ったアカウント停止、パスワード変更、サインインセッション無効化は、初動の基本となります。

情報システム部門は、次の対応を手順化してください。

• 対象アカウントを直ちに停止する
• パスワードを管理者側でリセットする
• すべてのサインインセッションと更新トークンを無効化する
• 登録済み端末とMFA認証方法を確認する
• 不審なOAuthアプリとアプリパスワードを削除する
• 転送ルール、フィルター、委任設定を確認する
• 送信済み・削除済みメールを保全する
• サインインログとメール監査ログを保存する
• 接続元IPアドレス、国・地域、端末、認証方法を調べる
• 同じ攻撃を受けた他の従業員がいないか横断検索する
• フィッシングメールの送信先を特定して注意喚起する
• 誘導先URLと添付ファイルをメール・DNS・プロキシで遮断する
• 侵害端末を隔離してマルウェアとブラウザー情報を調査する
• 重要SaaSのパスワード再設定履歴を確認する
• 個人情報や機密情報へのアクセス範囲を調査する
• 個人情報漏洩のおそれがある場合は当局報告と本人通知を検討する
• 取引先へ送金先変更などを別経路で確認するよう依頼する
• 復旧後も一定期間、対象アカウントと類似攻撃を監視する

全従業員へ一律のパスワード変更を求める場合は、変更案内を装ったフィッシングを防ぐため、正規の案内経路を明確にしてください。

MFAの必須化では、単に設定率を100％にするだけでなく、フィッシング耐性、登録方法、例外アカウント、復旧手順を確認します。

国外IP制限は補助的な対策として利用し、端末準拠、サインインリスク、フィッシング耐性のあるMFA、最小権限を組み合わせる必要があります。

今回の事案では、フィッシングメール送信の事実は確認された一方、原因と影響範囲は調査中です。

続報では、侵入経路、不正ログインの期間、送信件数、メールボックスの閲覧範囲、個人情報漏洩のおそれ、関係当局への報告内容、MFA必須化の完了時期が確認点になります。

出典

• 当社メールアカウントの不正利用に関するお知らせ – エバーグリーン・マーケティング株式会社
• Microsoft Entra IDで緊急時にユーザーアクセスを取り消す – Microsoft
• 条件付きアクセスで場所ごとにアクセスをブロックする – Microsoft
• サインインリスクベースの多要素認証 – Microsoft
• フィッシング耐性のある多要素認証 – Microsoft
• 株式会社スペース、社員メールアカウントが不正アクセスでフィッシングメールを送信される – セキュリティ対策Lab
• アクセリード ドラッグディスカバリー パートナーズ、フィッシングで認証情報が窃取されメール約7,000通に不正アクセス – セキュリティ対策Lab
• MaOI機構、メールアカウントの不正アクセスで個人情報漏洩のおそれ – セキュリティ対策Lab
• ビジネスメール詐欺の実態と対策 – セキュリティ対策Lab