アクセリードドラッグディスカバリーパートナーズ、フィッシングで認証情報が窃取されメール約7,000通に不正アクセス|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年07月24日更新日時: 2026年07月24日

創薬支援サービスを提供する株式会社アクセリードドラッグディスカバリーパートナーズ(以下、アクセリード)は2026年7月22日、社員1名が使用するメールアカウントへの第三者による不正アクセスが発生し、当該アカウント内のメールに含まれる個人データおよび機密情報が漏洩した可能性があると公表しました。発端は2026年4月23日に社員がフィッシングメールに騙されて認証情報を入力したことで、その後4月24日から5月21日にかけての約4週間、当該アカウント内の約7,000通のメールに第三者によるアクセスの痕跡が確認されています。創薬支援という業種の性質上、製薬企業との契約内容や研究開発に関わる業務情報が含まれる可能性があることから、機密情報の観点でも影響が注視される案件です。

サマリー

アクセリードドラッグディスカバリーパートナーズは2026年7月22日、社員1名のメールアカウントへの不正アクセスを公表しました
発端は2026年4月23日、当該社員がフィッシングメールにより認証情報を入力したことで、同社IT部門は判明後直ちにパスワード変更などの初動対応を実施しました
しかし、2026年4月24日から5月21日にかけて、当該アカウントへの第三者による不正ログインが継続しており、5月22日に不正ログインが確認されたためアカウントを無効化しました
不正アクセスの対象となったのは、2025年11月5日から2026年5月21日の期間に送受信された約7,000通のメールです
当該メールには、同社およびグループ会社の役職員、顧客、取引先その他の関係者に関する個人データのほか、取引先との契約および業務に関する情報が含まれていました
本稿執筆時点で、個人データまたは取引先との契約・業務情報が不正に利用された事実その他の二次被害は確認されていません
同社は2026年7月21日に個人情報保護委員会へ2回目の報告(確報)を実施したうえで翌22日に公表しており、再発防止策としてメールセキュリティの強化、多要素認証を含む認証管理の徹底、社員へのセキュリティ教育強化、監視体制の充実を掲げています

整理表

項目	内容
公表日	2026年7月22日
被害企業	株式会社アクセリードドラッグディスカバリーパートナーズ
事案の発端	2026年4月23日、社員1名がフィッシングメールにより認証情報を入力
IT部門の初動	判明後直ちにパスワード変更、セキュリティログ確認
不正ログインの期間	2026年4月24日〜5月21日
不正アクセスの確認・遮断日	2026年5月22日(不正ログイン確認後、直ちにアカウントを無効化)
影響を受けたメール数	約7,000通
対象メールの送受信期間	2025年11月5日〜2026年5月21日
含まれる情報	役職員・顧客・取引先の個人データ、取引先との契約・業務に関する情報
二次被害	本稿執筆時点で確認されていない
個人情報保護委員会への報告	速報(5月22日頃)、確報(2026年7月21日)
再発防止策	メールセキュリティ強化、多要素認証徹底、セキュリティ教育強化、監視体制充実

何が起きたか-フィッシングから不正ログインまでの時系列

アクセリードの発表によれば、事案は以下の流れで展開しました。2026年4月23日、社員1名がフィッシングメールにより認証情報を入力しました。同社IT部門は判明後直ちに当該アカウントのパスワード変更その他の初動対応を実施し、セキュリティツールのログ等を確認しています。

ここで注目すべき点があります。IT部門がパスワード変更という初動対応を済ませていたにもかかわらず、翌日の4月24日から当該アカウントへの不正アクセスが始まっています。その後、5月22日にようやく第三者による不正ログインを確認してアカウントを無効化するまで、4月24日から5月21日まで約4週間にわたって不正アクセスが継続したことになります。

パスワードを変更したにもかかわらず不正アクセスが継続したという事実は、この種の攻撃における重要な技術的論点を示しています。フィッシングサイトで認証情報を入力させる際に、同時にセッションクッキーやOAuthアクセストークンを窃取する中間者攻撃(AiTM)型の手口が使われていた場合、パスワードを変更しても攻撃者が保持するトークンはそのまま有効であるため、不正アクセスを防げません。当サイトで既報のFBIが警告したKali365フィッシング・アズ・ア・サービスでも解説したとおり、OAuthトークンをリアルタイムでキャプチャする手口では、パスワードを知らなくても、多要素認証をバイパスした形でアカウントへのアクセスが継続可能になります。今回の事案でも同様の手口が用いられていた可能性が考えられますが、同社のリリースでは侵入経路の詳細については言及されていません。

5月22日の不正ログイン確認からアカウントの無効化までは迅速に対応しており、その後フォレンジック調査会社による詳細調査を経て、約2か月後の7月21日に個人情報保護委員会への確報を行い、翌22日に公表に至りました。

影響を受けた情報の性質-創薬支援業務特有の機密性

アクセリードは製薬企業向けに創薬支援サービスを提供する企業です。流出した可能性のある情報として、役職員・顧客・取引先の個人データに加えて、取引先との契約および業務に関する情報が含まれていたと明記されている点は、この業種特有の観点から特に注意が必要です。

創薬支援業務においては、製薬企業との間で研究開発の進捗、化合物の評価結果、臨床前試験データ、ライセンス交渉の内容など、高い機密性を持つ情報がメールを通じてやり取りされることが通常の業務フローに含まれます。同社は今回の対象メールをすべて特定しており、影響を受ける可能性のある方および取引先へ順次連絡しているとしています。製薬企業の立場からは、自社に関わる研究開発情報が対象の7,000通に含まれていたかどうか、同社からの個別連絡を注視することが重要です。

二次被害の懸念-なりすましメール・BECへの悪用リスク

同社は本稿執筆時点で二次被害は確認されていないとしつつも、同社または取引先を装った不審なメールその他の連絡への悪用可能性を否定できないとして、注意喚起を行っています。約7,000通ものメールには送受信相手の氏名、メールアドレス、業務上のやり取りの文脈が含まれているため、これらを悪用したなりすましメールは、通常のスパムと異なり実際のビジネス上の文脈に即した内容で送られてくる可能性があり、受信者が本物と信じてしまうリスクがあります。

当サイトで既報のジェリービーンズグループのBEC詐欺で4,500万円が流出した事案のように、一度メールの文脈や関係者の情報が攻撃者の手に渡ると、精巧ななりすましメールによる詐欺や、送金先の変更を指示するBEC(ビジネスメール詐欺)の足がかりになりかねません。

同社は、同社から本件に関する連絡の際にパスワード等の認証情報の入力を求めることはないとも明示しており、これ自体が二次フィッシングへの注意喚起になっています。取引先各社においては、心当たりのないメールに記載されたURLへのアクセス、添付ファイルの開封、送金先の変更依頼などについては、別の連絡手段で送信者に確認するという対応を徹底することが求められます。

情報システム部門への示唆-パスワード変更だけでは止まらないフィッシング被害

今回の事案が示す最も重要な教訓は、フィッシングによる認証情報の窃取が発覚した場合、パスワードの変更だけでは不十分である可能性があるという点です。同社IT部門はパスワード変更という適切な初動対応を取りながらも、不正アクセスは翌日から継続しました。現代のフィッシング攻撃は、認証情報の窃取と同時にセッションを乗っ取るケースが多く、この場合はパスワード変更後もセッションが有効なため、アクセストークンの失効やアカウントの完全無効化まで行わないと不正アクセスを止めることができません。当サイトで既報のECOMMITで発生した社員メールアカウント不正アクセス事案でも同様のフィッシングを起点とする構図が見られており、このパターンは繰り返して発生しています。

インシデント対応の手順として、フィッシングによる認証情報の侵害が疑われる場合には、パスワード変更に加えて、アクティブセッションの強制終了(すべてのデバイスからのサインアウト)、OAuth連携アプリケーションへのアクセストークンの失効、そして多要素認証の即時有効化をセットで実施することが必要です。同社が再発防止策として多要素認証を含む認証管理のさらなる徹底を掲げている点は、まさにこの問題意識に沿ったものです。多要素認証は今回のようなフィッシング被害を予防する最も効果的な対策の一つであり、特に外部との連絡が多いビジネスメールアカウントや、機密情報を扱う業務用アカウントへの適用を優先的に検討することをお勧めします。