講談社、フィッシング 被害で社用メールに不正アクセス 個人情報流出で553件に二次被害

株式会社講談社は2026年8月3日、外部の第三者による不正アクセスにより、社用の電子メールから個人情報が流出したことを公表しました。発端は取引先を装ったフィッシングメールで、社員が偽のログイン画面に認証情報を入力したことでメールアカウントが乗っ取られています。攻撃者は窃取した連絡先情報をもとに、当該社員になりすました二次的なフィッシングメールを外部へ大量に送信しており、被害が連鎖する形になった点が今回の事案の特徴です。

講談社の不正アクセス事案の概要サマリー

• 講談社は2026年8月3日、社用メールアカウントへの不正アクセスによる個人情報流出を公表しました。
• 発端は取引先を装ったフィッシングメールで、社員がリンク先の偽ログイン画面に認証情報を入力したことでアカウントが乗っ取られています。
• 攻撃者は最大3812件の連絡先情報を窃取し、うち553件のメールアドレス宛に当該社員になりすましたフィッシングメールを送信しています。
• 流出した個人情報はメールアドレスと、一部の方については氏名です。
• 社員が異常に気付いた当日にパスワード変更とセッションの削除を実施し、それ以降は当該メールアカウントへの不正なアクセスが確認されていません。
• 講談社は対象者への通知メール送信および個人情報保護委員会への報告を完了しており、発生原因の調査と再発防止策の検討を継続しています。

事案の概要

何が起きたか

一連の経緯は次のとおりです。2026年7月27日、講談社の社員が取引先を偽装したフィッシングメール内のリンクをクリックし、表示された偽のログイン画面に自身の認証情報を入力しました。これにより、当該社員が業務で使用しているメールアカウントの認証情報が攻撃者の手に渡ることになります。

3日後の7月30日、攻撃者はこの認証情報を使って社用メールアカウントへログインしました。ログイン後、アカウント内に保存されていた連絡先情報のうち最大3812件が窃取され、そのうち553件のメールアドレス宛には、侵害された社員になりすましたフィッシングメールが送信されています。実在する社員のアカウントから、実在するやり取りの延長線上で送られてくるメールであるため、受信者側が違和感なく開いてしまう可能性が高い点が、この種の攻撃の厄介なところです。

異変に気付いたのは同じ7月30日で、当該社員がログインパスワードの変更とセッションの削除を行っています。講談社によると、これ以降、当該メールアカウントへの不正なアクセスは確認されていません。流出が確認された個人情報は、連絡先情報に含まれていたメールアドレスと、一部の方については氏名です。

原因

今回のアカウント侵害は、社員が取引先を装ったフィッシングメールのリンクをクリックし、偽のログイン画面へ認証情報を入力したことに起因しています。攻撃者はこの窃取した認証情報を用いて実際のメールアカウントへログインしており、パスワードの使い回しや設定不備といった別要因ではなく、フィッシングによる認証情報の直接窃取が侵入経路になったことが公表内容から読み取れます。

なお、講談社は本件の発生原因についてあわせて調査を進めるとしており、フィッシングメールがどの程度巧妙な内容であったか、社内の多要素認証や不審メール検知の運用状況がどうであったかなど、より詳細な要因については現時点で明らかにされていません。

講談社の対応

講談社は情報流出の確認後、社内での初期対応を行い、流出した可能性のあるメールアドレス宛に7月31日付で本件の概要、漏えいした個人データの項目、本人が取り得る対応、問い合わせ窓口などを電子メールで通知しています。あわせて、個人情報保護法に基づく個人情報保護委員会への報告も完了しています。同社は今後、発生原因の調査・特定と再発防止策の検討を進めるとしています。

フィッシングメールを受け取った関係者が注意すべきこと

今回のように実在するアカウントから送信される二次フィッシングは、取引先や関係者になりすました不審メールと同様、送信元のアドレスだけでは正規のメールと見分けがつきにくいという特徴があります。講談社の社員を名乗るメールを受信した場合には、以下の点を確認することが有効です。

情報システム部門が今回の事案から確認すべき対策ポイント

社用メールアカウントの乗っ取りは、連絡先情報の窃取だけでなく、実在するやり取りを悪用した二次攻撃の起点になる点で影響範囲が広がりやすいインシデントです。情報システム部門としては、以下の観点で自組織の状況をあらためて点検しておくことが望ましいといえます。

とくに、フィッシングによる認証情報の窃取は、多要素認証を適切に運用していれば侵入そのものを防げた可能性がある領域です。パスワードのみの認証に依存している社内システムやメール環境が残っていないか、この機会に洗い出しておくことをおすすめします。

今後確認すべきこと

講談社は現在、発生原因の特定と再発防止策の検討を進めています。続報が出された際には、以下の点が実務上のポイントになると考えられます。

• フィッシングメールの具体的な手口や、社内の不審メール検知・多要素認証の運用状況
• 窃取された連絡先情報の詳細な内訳と、対象となった方への追加対応の有無
• 二次フィッシングメールを受信した553件の宛先における被害の有無
• 再発防止策として導入される認証強化やメール監視体制の内容

本記事は、株式会社講談社が公表した情報にもとづき、情報システム部門の実務担当者向けに要点を整理したものです。フィッシングメールを起点とした社用メールアカウントの乗っ取りは、認証情報の窃取から連絡先情報の流出、なりすましメールによる二次被害へと連鎖しやすい典型的な攻撃パターンです。自組織における多要素認証の導入状況やインシデント発生時の初動対応手順について、あらためて確認しておくことをおすすめします。

出典

株式会社講談社：不正アクセスによる個人情報流出のお詫びとお知らせ

関連記事

NVIDIA主導のAI セキュリティ連合「Open Secure AI Alliance」が発足 日本企業含む約37社が参加 株式会社スペース、社員メールアカウントが不正アクセスでフィッシングメールを送信される EPARKリラク＆エステの予約管理システムPeakManagerに不正アクセス、最大3300万レコードの情報漏洩の恐れダークウェブでハッカーが犯行声明 ハッカー グループ ShinyHuntersがアーンスト・アンド・ヤング（EY）へのサイバー攻撃を主張 インド国営銀行へ不正アクセスによるサイバー攻撃、攻撃者は多数の個人情報窃取を主張 山口県 山口市の法人が9600万円をだまし取られる-1か月で2件、山口県内で連続するBEC詐欺の手口を解説 岐阜市の機械小売会社がニセ社長詐欺(BEC詐欺)で4,500万円被害、LINEのQRコード返信から経理担当者を追加 Apple、iOS 26.6に87件・macOS Tahoe 26.6に155件の脆弱性修正-リモートカーネルメモリ破壊とroot権限昇格に注意 JetBrains、TeamCity On-Premises全バージョンに認証不要のRCE脆弱性（CVE-2026-63077）

投稿者：三村

セキュリティ製品を手がける上場企業にて、SOC（セキュリティオペレーションセンター）運営およびWebアプリケーション脆弱性診断の営業に8年間従事。その後、システムエンジニアへ転身し、MDMや人事系SaaSの開発に携わる。
8年の実務経験と開発者としての知見を活かし、「セキュリティ対策Lab」ではダークウェブ調査、セキュリティインシデントの分析、および高度なセキュリティ対策解説の執筆・編集を統括しています。
LinkedIn(外部サイト)