イレブンラボ、Udemy Businessの個人情報漏洩で不審メール発生|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年05月13日更新日時: 2026年05月13日

2026年5月11日、ソフトウェア開発・DXコンサルティングを提供する株式会社イレブンラボ（神奈川県川崎市、eleven-lab.co.jp）は、「【重要】弊社メールアドレス流出に伴う不審メール発生と被害報告のお願い」を公表しました。

自社のメールアドレスが何らかの経路で外部に流出し、そのアドレスを悪用した不審メールが発生している状況を告知するとともに、被害を受けた関係者への報告を呼びかけています。

流出元の詳細については同社のお知らせページにて調査結果が公表される予定です。なお、2026年4月27日には恐喝グループShinyHuntersがオンライン学習プラットフォームUdemyから窃取した140万件のデータ（勤務先情報を含む）を公開しており、これが流出経路の一つの可能性として考えられます。ただし現時点でその因果関係は確認されておらず、他のSaaS・メーリングリスト・直接攻撃等を通じた流出の可能性もあります。

この記事のサマリー

2026年5月11日、株式会社イレブンラボが「弊社メールアドレス流出に伴う不審メール発生と被害報告のお願い」を公表。流出元は現時点で不明です。
流出したメールアドレスを悪用した不審メールが既に発生しており、同社は関係者への注意と被害報告を呼びかけています。
参考情報として：2026年4月27日、ShinyHuntersがUdemyの140万件のデータを公開。HIBPが確認したデータにはメールアドレス・氏名・住所・電話番号・勤務先情報・講師の支払い方法が含まれており、法人メールアドレスを登録していた場合、勤務先情報と紐付いた形で流出した可能性があります。
ただし、Udemyへの侵害とイレブンラボの今回の件との直接的な因果関係は確認されていません。
不審メールを受信した際の対処法、および同様の状況が懸念される企業向けの確認事項をまとめています。

1 概要
2 メールアドレス流出の考えられる経路
3 同時期に発生したUdemy侵害について
4 不審メールを受信した際の対応
5 企業の情シス担当者へ——法人メールアドレスの流出リスクの確認
- 5.1 参考情報

概要

2026年5月11日付で公表したお知らせのタイトルは「【重要】弊社メールアドレス流出に伴う不審メール発生と被害報告のお願い」で、自社のメールアドレスが何らかの経路で外部に流出し、そのアドレスを悪用した不審メールが発生している状況を告知するとともに、被害を受けた関係者への報告を呼びかけています。

メールアドレス流出の考えられる経路

一般に企業のメールアドレスが外部に流出する経路は多岐にわたります。以下はあくまで一般論として考えられる経路の例示であり、今回の件がいずれかに該当するかは確認されていません。

利用しているSaaSサービスの侵害として、業務や個人学習等で法人メールアドレスを登録したサービスがサイバー攻撃を受けた場合、そのアドレスが流出することがあります。メーリングリスト・名簿系サービスの侵害として、業界団体・セミナー・採用サービス等のメーリングリストが侵害された場合も同様です。フィッシングによる直接窃取として、フィッシングメールへの誤操作により認証情報が窃取された場合があります。ウェブサイトやシステムへの直接攻撃として、自社または委託先のシステムが直接攻撃された可能性もあります。

同時期に発生したUdemy侵害について

以下は直接の因果関係が確認されたものではなく、同時期の環境として参考情報として記載します。

2026年4月24日、恐喝グループShinyHuntersがオンライン学習プラットフォームUdemy（udemy.com）のダークウェブリークサイトへの掲載を開始。Udemyが4月27日の交渉期限に応じなかったとして、同日に約2.3GB・1,401,259件のデータを公開しました。

Have I Been Pwned（HIBP）がデータを確認し、含まれる情報としてメールアドレス・氏名・住所・電話番号・勤務先情報（employer information）・講師の支払い方法（PayPal・銀行振込・小切手）**を公表しています。

特にこの侵害で注目されるのが**「勤務先情報（employer information）」の含有です。法人メールアドレスを使ってUdemyに登録していた場合、「このメールアドレスは○○社の従業員のものである」という情報が攻撃者の手に渡った可能性があります。この情報を用いた企業名を騙ったフィッシングや、業務上のやり取りに偽装したBEC詐欺に悪用されるリスクがあります。

Udemyは2026年5月12日時点でこの侵害を公式に確認も否定もしていません。