藤倉コンポジット、メールアカウント不正アクセスの最終報-メールの外部転送設定が6年間存在した可能性|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年08月07日更新日時: 2026年08月07日

藤倉コンポジット株式会社（東京都江東区、フジクラグループ）は2026年7月31日、同社が利用するメールアカウント1件における不正な自動転送設定について、「第二報・最終報」を公表しました。2026年6月22日に公表した第一報の続報にあたり、外部専門機関によるフォレンジック調査と社内調査が完了したことを受けたものです。

調査の結果、転送ルールが設定されていた可能性のある期間は「2020年〜2026年6月」と特定されました。同社が現在のメールシステム（Microsoft 365）へ移行した年である2020年まで送信失敗記録を遡れたものの、それ以上は確認できなかったためで、システム移行時の初期段階に不正な転送設定が行われていたと推定されています。

サマリー

発表日：2026年7月31日（第二報・最終報）
対象：藤倉コンポジット株式会社（フジクラグループ、ゴム製品・ゴルフ用カーボンシャフト等を製造）
前回発表：2026年6月22日（第一報）
発覚日：2026年6月8日（配信不能通知の多発により発覚）
原因：Webメール設定に、受信メールをすべて社外の特定アドレスへ自動転送するルールが不正に設定されていた
発覚のきっかけ：2026年6月4日、セキュリティ向上のため社外への自動転送を管理機能で一斉停止したことで転送が失敗し、配信不能通知が発生
外部専門機関による調査：発覚直前から過去1年間の操作ログを解析、不審な操作履歴は確認されず
漏洩対象期間の特定：社内調査で最古の送信失敗記録が2020年7月31日までさかのぼって確認され、これ以上は遡れず
漏洩の可能性がある期間：2020年〜2026年6月（システム移行時の初期段階に設定された可能性）
漏洩の可能性のある情報：メール送信元アドレス・本文（署名含む）・添付ファイル、CCに記載されたメールアドレス
対象者への対応：影響を受ける可能性のある送信者・CC該当者へ個別にお詫びとご案内のメールを送信済み
二次被害：現時点で流出データの公開や不正利用は確認されず
事業への影響：生産活動への影響なし
個人情報保護委員会への報告：完了済み
今後の対応：本報告を最終報とし、以降は個別対応に移行

何が起きたか

2026年6月8日9時頃、藤倉コンポジットの社内利用者から「多数の配信不能通知（エラーメール）が届く」との報告があり、調査を行ったところ、利用者の意図しない社外の特定アドレス宛にメールが自動転送されていることが判明しました。同社は同月22日、この事象を第一報として公表し、個人情報保護委員会への報告と対象者への個別連絡を進めてきました。今回の第二報・最終報は、外部調査機関による調査と社内調査がいずれも完了したことを受けたものです。

原因

該当アカウントのWebメール設定において、受信メールをすべて特定の外部アドレスへ自動転送するルールが不正に設定されていました。藤倉コンポジットがセキュリティ向上のため6月4日より管理機能で社外への自動転送を停止したことにより転送が失敗するようになり、その配信不能通知が大量に発生したことで発覚に至っています。

外部専門機関による調査結果

外部のセキュリティ専門会社に、発覚直前から過去1年間分の操作ログの解析を依頼した結果、この期間において不審な操作履歴は確認されませんでした。

社内調査結果と漏洩対象期間の特定

社内調査を継続した結果、古い送信失敗記録から、最古で2020年7月31日の記録が確認されました。2020年は現在のメールシステム（Microsoft 365）へ移行した年にあたり、これ以上ログを遡ることができないため、システム移行時の初期段階に不正な転送設定が行われたと推定しています。

これにより、漏洩の可能性が生じた期間を「2020年〜2026年6月」と特定しました。外部専門機関による直近1年間のログ解析では不審な操作は見つからなかった一方、それより前の期間については、送信失敗記録という間接的な痕跡から推定せざるを得なかった格好です。

漏洩の可能性のある情報

該当アカウントで受信した以下の情報が、漏洩した可能性があります。

メール送信元のメールアドレス、本文（署名含む）、添付ファイル
CCに記載されたメールアドレス

対象者への対応

上記期間内に該当アカウントで受信したメールを対象とし、スパムメール・ダイレクトメール・システム自動送信メール等を除外したうえで、影響を受ける可能性のある方（送信者およびCCに含まれる方）へ個別にお詫びとご案内のメールを送信しました。

再発防止策

藤倉コンポジットは、以下の3点を再発防止策として挙げています。

自動転送の制限：全社的に社外へのメール自動転送機能をすでに停止
全社設定チェック：全メール利用者を対象に、不審・不要な自動処理ルールの有無を総点検
運用手法の見直し：メール依存の運用を改め、クラウドストレージの活用など、より安全な情報共有・コミュニケーション基盤への移行を推進

なお、二次被害については、現時点で流出データのインターネット上での公開や不正利用などは確認されていません。事業活動への影響についても、生産活動への影響および重要情報の流出は確認されていないとしています。

前回発表からの変化

6月22日の第一報時点では、転送ルールがいつ設定されたのか、漏洩の可能性がある期間がどこまで及ぶのかは「調査中」とされていました。今回の最終報では、この期間が「2020年〜2026年6月」と特定され、約6年間にわたって不正な転送ルールが存在し得た可能性が示された点が最大の変化です。一方で、対象となった具体的な件数については、今回の発表でも明示されていません。

なお、藤倉コンポジットでは2025年8月にも同社のExchange Onlineアカウントへの不正アクセスが公表されており、当サイトでも藤倉コンポジットのMicrosoft Exchange Onlineアカウントへ不正アクセスとして第一報の時点から経緯を継続して取り上げてきました。今回の最終報により、少なくとも今回の事案（2026年6月発覚分）については報告が完結したことになりますが、同社にとっては2025年8月・2026年6月と、1年足らずの間にメールアカウントを起点とする情報漏洩の可能性を2度公表したことになります。

出典