東日本三菱自動車販売、Microsoft 365に不正アクセス―なりすましメール825件送信、個人情報漏えい|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年10月14日更新日時: 2026年10月14日

東日本三菱自動車販売株式会社は2026年10月13日、社員が業務で使用するMicrosoft 365のアカウントがサイバー攻撃を受け、なりすましメール825件が送信されたと公表しました。第三者が同アカウントへ不正にログインしたとみられ、送信先のメールアドレスや氏名が漏えいしたほか、過去のメール内容も攻撃者が閲覧できる状態になっていた可能性があります。

同社は、侵害されたアカウントを含む全社員のパスワードを変更し、送信先へ個別に連絡してメールの削除を依頼しました。個人情報保護委員会へも報告しており、侵害範囲と漏えいした個人情報の件数を調査しています。

東日本三菱自動車販売のMicrosoft 365不正アクセスのサマリー

公表日：2026年10月13日
対象：社員が使用する業務用Microsoft 365アカウント
被害：侵害されたアカウントから、なりすましメール825件を送信
侵入状況：第三者による不正ログインとみられる
情報漏えい：送信先のメールアドレスと氏名が漏えい
追加の影響：過去のメール内容が攻撃者に閲覧可能だった可能性
対応：全社員のパスワード変更、送信先への個別連絡と削除依頼
調査：個人情報保護委員会へ報告し、漏えいした情報の件数・侵害範囲を調査中

項目	公表内容
対象企業	東日本三菱自動車販売株式会社
公表日	2026年10月13日
対象システム	Microsoft 365の社員アカウント
不正送信	なりすましメール825件
影響した情報	送信先のメールアドレス・氏名、過去のメール内容は閲覧された可能性
漏えい人数	調査中
実施した対応	全社員のパスワード変更、送信先への通知・削除依頼
個人情報保護委員会	報告済み

※825件は送信されたメールの件数であり、送信先の実人数や個人情報の漏えい件数ではありません。

正規の社員アカウントから825件のなりすましメールを送信

東日本三菱自動車販売によると、社員が利用するMicrosoft 365アカウントがサイバー攻撃を受け、第三者が不正ログインしたとみられています。このアカウントから825件のなりすましメールが送信されました。

正規の社員アカウントが第三者に利用された場合、受信者には実在する従業員からのメールとして届くことがあります。取引先や顧客が送信者を知っている場合でも、送信元の表示だけで真正な連絡と判断することはできません。

同社は今回のメールを受信した相手に個別連絡し、削除を依頼しています。また、同社の関係者になりすました不審メールが増える可能性があるとして注意を呼びかけています。

メール送信先の氏名・アドレスが漏えい、過去メールにも閲覧の可能性

同社は、なりすましメールの送信先のメールアドレスと氏名が漏えいしたと説明しています。加えて、侵害されたアカウントに保存された過去のメール内容が、攻撃者に閲覧可能な状態となった可能性があります。

送信済みメールや受信メールには、顧客・取引先との連絡履歴、過去の商談内容、担当者情報などが含まれる場合があります。ただし、今回の公表は過去メールに含まれる具体的な情報項目や、実際に第三者が閲覧・取得したメールの件数まで確定したものではありません。

同社は、漏えいした個人情報の件数とアカウントの侵害範囲について調査を続けています。メール送信数の825件を、漏えいした個人情報の件数として扱うことはできません。

全社員のパスワードを変更、個人情報保護委員会へ報告

不正アクセスを把握した同社は、侵害されたアカウントだけでなく、全社員のパスワードを変更しました。その後、新たな不正ログインは確認されていないとしています。

さらに、なりすましメールの送信先への個別連絡とメール削除依頼を実施し、個人情報保護委員会にも報告しました。今後もセキュリティ対策を強化するとしています。

不審なメールについての問い合わせ先は、東日本三菱自動車販売の総務部総務課（電話：03-3710-7811、受付時間10時～18時、火・水曜日定休）です。

日経など国内でもMicrosoft 365のアカウント侵害が相次ぐ

2026年10月には日本経済新聞社も、社員のMicrosoft 365アカウントへの不正アクセスにより、約9,000件の不審メールが社内外へ送信されたと公表しました。同社では、メール送信先の氏名・メールアドレスなどの漏えいのおそれも発表しています。

日本経済新聞社のMicrosoft 365不正アクセスと不審メール送信では、国内の関連事案を整理しています。ただし、今回の東日本三菱自動車販売と日本経済新聞社の事案について、同じ攻撃者や侵入手法によるものとする情報は公表されていません。

情報システム部門が確認したいクラウドメールのアカウント保護

Microsoft 365などのクラウドメールでは、アカウントの不正利用が判明した場合、パスワードの変更に加えて、サインイン履歴や送信履歴、メール転送設定、付与されたアプリのアクセス許可、既存セッションの有効性を確認する必要があります。攻撃者がメールボックス内の過去のやり取りを把握した可能性がある場合は、影響を受けた相手への通知範囲も検討対象になります。

平時には、多要素認証の適用範囲、管理者・一般利用者の認証ポリシー、不審な送信量の検知と送信制限、クラウド監査ログの保持期間を点検できます。今回の公表では具体的な侵入手法が示されていないため、特定の認証方式や脆弱性が突破されたと断定することはできません。