Microsoft 365への不正アクセス 事例まとめ｜日経・東日本三菱自動車販売など国内7事案の被害と対策

Microsoft 365の業務用アカウントを第三者が不正利用し、取引先へのフィッシングメール送信や、メール・クラウドファイルの閲覧、個人情報の持ち出しにつながる事案が国内で公表されています。2026年10月13日には東日本三菱自動車販売が社員のMicrosoft 365アカウントへの不正アクセスと825件のなりすましメール送信を発表。10月4日には日本経済新聞社が約9,000件の不審メール送信を公表していました。

セキュリティ対策Labが公表資料を確認できた2026年の国内7事案では、1アカウントの侵害から大量メール送信へ発展した例だけでなく、6アカウントからファイルのダウンロードを確認した例、イベント運営業務の再委託先から関係者情報が影響を受けた例もあります。これらはMicrosoft 365のサービス基盤自体が侵害されたことを意味するものではなく、利用組織のアカウントが第三者に悪用された事例です。

公表された送信メール数、閲覧履歴の件数、ファイルのダウンロード数、漏えい対象人数は異なる指標です。本記事では合算せず、事案ごとに確認状況と侵入経路を区別して整理します。（確認基準日：2026年10月13日）

Microsoft 365不正アクセスの主な7事例一覧（2026年公表）

※上表は確認できた公表事例の抜粋であり、国内での全発生件数を示す統計ではありません。千葉大学では最初に学生1アカウントから短時間に630件の送信を検知しており、この630件は調査後に判明した合計1,301件の内数です。日本エネルギー経済研究所の「2,798件」はダウンロード痕跡であり、2,798人の情報漏えいを意味しません。

東日本三菱自動車販売：正規社員アカウントから825件のなりすましメール

東日本三菱自動車販売は10月13日、社員が使用するMicrosoft 365アカウントに第三者が不正ログインしたとみられ、なりすましメール825件が送信されたと発表しました。送信先のメールアドレスと氏名の漏えいを認め、過去メールの内容も攻撃者が閲覧できた可能性があるとしています。

同社は侵害アカウントを含む全社員のパスワードを変更し、その後の不正ログインは確認されていないと説明しました。送信先には個別に連絡してメールの削除を依頼し、個人情報保護委員会に報告。侵害範囲と漏えいした個人情報の件数の調査を継続しています。

10月13日の発表では第三者がどの認証方式を悪用したのか示されておらず、フィッシング、パスワードの使い回し、セッショントークン窃取などのいずれかと断定することはできません。

日本経済新聞社：約9,000件の不審メールが取材先などへ送信

日本経済新聞社は10月4日、社員のMicrosoft 365アカウントが攻撃を受け、9月30日に社内や取材先などへ約9,000件の不審メールが送信されたと公表しました。メールには悪性サイトへ誘導する内容が含まれていました。

送信先の氏名・メールアドレスと一部メール内容が漏えいしたとみられます。同社は対象アカウントのパスワードを変更し、送信先へ個別にメール削除を依頼。個人情報保護委員会にも報告しています。侵入経路は具体的に示されていません。

この公表とは別に、日経アメリカ社でも5月にMicrosoft 365アカウントへの不正ログインを公表していました。3月上旬、取引先に社員を装ったメールが届いたことが発覚のきっかけとなり、社員・取引先291人分の情報に漏えいの可能性が生じています。米子会社の事案と10月の本社事案が同一の攻撃者によるものという根拠は公表されていません。

関連する経緯は日経のMicrosoft 365不正アクセスと日経グループのアカウント侵害まとめで整理しています。後者にあるGoogle WorkspaceやSlackの侵害は、Microsoft 365の事例件数には含めていません。

日本化粧品工業会：デバイスコードを承認し、4,026通のフィッシングメール送信へ

日本化粧品工業会は9月14日付の調査結果で、職員1名のMicrosoft 365メールアカウントが不正アクセスを受け、8月12日に4,026通のフィッシングメールが送られたと発表しました。8月4日と12日には、メール475通と添付ファイルが第三者の環境へ持ち出された可能性も確認されています。

侵入の起点は7月30日に受信したフィッシングメールでした。職員は添付ファイルを介して正規のMicrosoftサインイン画面へ誘導され、攻撃者が用意したデバイスコードを承認しました。その結果、攻撃者がメールボックスにアクセス可能になったと調査報告は説明しています。

8月12日には受信メールを自動で削除・既読にする設定も作成されていました。侵害後のメール送信だけでなく、不審な通信を職員に気付かせないためのメールボックス設定変更が確認された事例です。同会はパスワードを再設定するとともに認証トークンを一括無効化しました。基幹サーバーやOneDrive、SharePointへの不正アクセスは確認されていません。

詳しくは日本化粧品工業会のデバイスコード悪用と4,026通のフィッシングメール送信を参照してください。

日本エネルギー経済研究所：6アカウントからメール閲覧・ファイル持ち出し

日本エネルギー経済研究所は9月11日、所員6名のMicrosoft 365アカウントへフィッシングを起点とする不正アクセスがあったと公表しました。7月29日に外部機関から情報提供を受け、調査によって判明したものです。

調査ではメール5,417件とファイル3,272件について閲覧痕跡があり、ファイル2,798件にはダウンロード痕跡が確認されています。10月2日の続報では、パスポート情報13件の漏えいが確認されたほか、メールアドレス759件、氏名・役職・所属23件などには漏えいの可能性があると判明しました。759件のうち5件には口座名義・口座番号等の金融関連情報が含まれています。

この事案は、Microsoft 365のメールだけでなく、アカウントに紐づくクラウド上のファイルに影響が広がる例です。メールの閲覧痕跡と、ダウンロードによる外部流出を分けて確認できた点でも参考になります。

関連する日本エネルギー経済研究所の10月2日続報では、対象情報の内訳を確認できます。

大阪・関西万博の再委託先：業務終了後も残るメール・添付ファイルが対象

2025年日本国際博覧会協会は8月20日、催事運営に関わる再委託先のMicrosoft 365アカウントが不正アクセスされたと発表しました。5月13日に再委託先の従業員が海外企業を装うフィッシングメールを受信したことが発端で、同日中に不正アクセスが確認され遮断されています。

影響対象となった可能性があるのは、関係者の氏名・所属・連絡先、従業員の勤務シフト、出演者の写真・スピーチ原稿・進行台本・登退場動線などを含むメールと添付ファイルです。協会は一般来場者の個人情報が対象に含まれた事実は確認されていないと説明しています。

イベント終了後の業務でも、受託者・再委託先のメールボックスに過去の資料が残る場合があります。委託契約上の保存期限と、メール・添付ファイルを実際に消去した証跡を照合する必要があります。

詳しくは大阪・関西万博の再委託先へのMicrosoft 365不正アクセスを参照してください。

千葉大学：学生アカウント4件から迷惑メール1,301件、共有フォルダの情報にも影響

千葉大学は4月17日、Microsoft 365の学生アカウントへの不正アクセスを公表しました。1月30日、1件のアカウントから短時間で630件のメールが送信されたことを検知して緊急停止。その後、合計4件のアカウントで不正アクセスの痕跡が確認されました。調査対象のログから計1,301件の迷惑メール送信を確認しています。

また、3アカウントが利用していた共有フォルダの課題データなどが閲覧された可能性があり、学生47人・教員1人の氏名が対象でした。同大学はフィッシングサイトまたは別サービスから流出したパスワード等による攻撃の可能性を挙げていますが、原因を一つに確定したものではありません。

個別の経緯は千葉大学のMicrosoft 365不正アクセス事案を参照してください。

日経BPへの波及：正規の差出人から届いたフィッシングが別の侵害につながる

10月4日には日経BPも、社員のメールアカウントへの不正アクセスを公表しました。日経社員のメールアドレスを使って届いたフィッシングメールによって認証情報が取得されたとし、26件の氏名・メールアドレスに漏えいの疑いが生じています。これは、攻撃者が一度乗っ取ったメールアカウントを利用し、別の組織の従業員や取引先をさらに狙うリスクを示す事例です。

なお、日経BP側で侵害されたメールアカウントのサービスがMicrosoft 365であったことまでは公表内容から特定できないため、上表の7事案には計上していません。

Microsoft 365アカウントはどのように悪用されるのか

デバイスコードフローは本来、画面入力が制限された端末で使う正規の認証方式です。しかし、第三者が始めた認証手続きを利用者に承認させるフィッシングに悪用される場合があります。正規のMicrosoftサインイン画面が表示されても、本人が開始していない認証を承認すべきではありません。Microsoftも、業務上必要な場合を除き、条件付きアクセスポリシーでこの認証フローを制限することを推奨しています。

一方、個別の公表で侵入経路が特定されていない事案について、パスワード漏えい、MFA回避、トークン窃取、Microsoft 365のゼロデイ脆弱性などを原因として一律に扱うことはできません。

不正アクセスを検知した場合の初動対応と調査

Microsoftの公式ガイダンスでは、被害アカウントの無効化、認証情報とセッションの無効化、認証設定・転送ルールの点検、サインインログ・メール送信履歴の確認などを順に実施するよう案内しています。

1. 封じ込め：侵害が疑われるアカウントのサインインを停止し、パスワードを変更して既存セッションを失効させます。パスワード変更だけで調査を終えず、攻撃者の接続経路や残存権限を点検します。
2. 認証の点検：登録済みMFA手段、不審な端末、アプリへの同意、管理者ロールの変更を確認します。
3. メール設定の点検：Exchange Onlineの外部転送、受信トレイルール（隠しルールを含む）、不審な削除・既読化・自動振り分けを確認します。
4. 影響範囲の調査：Microsoft Entra IDのサインインログ、Microsoft Purview監査、Exchangeのメッセージ追跡を使い、操作日時・IP・閲覧や送信の痕跡を照合します。利用ライセンスと監査設定に応じて取得できるログは異なります。
5. 受信者への連絡：侵害アカウントから不審メールが送られた場合は、件名、送信時間、削除依頼、リンクや添付ファイルを開いた場合の相談窓口を周知します。
6. 個人情報・委託先の確認：メール本文や添付ファイル、OneDrive・SharePointにあった個人情報の項目と対象者を特定し、個人情報保護委員会への報告・本人通知の要否を判断します。

Microsoft PurviewのMailItemsAccessedはメール項目へのアクセス調査に使える監査アクションです。ただし、監査ログで確認できるアクセス範囲と、実際に第三者が読んだ内容が完全に一致するとは限りません。メールを同期・取得された場合なども考慮し、調査期間とリスク評価を決める必要があります。

再発防止策：MFAを入れるだけで終わらせない

対策は「ログインを許さない」「侵害に気づく」「侵害後の外部送信・流出を抑える」に分けて設計します。

• 認証の強化：少なくとも全利用者へのMFA適用を確認し、管理者や情報アクセス範囲の大きいアカウントからパスキー（FIDO2）などフィッシング耐性のある認証へ移行します。Microsoft Entraの認証強度・条件付きアクセスポリシーを利用します。
• デバイスコードフローの制限：必要な端末・業務を洗い出したうえで、利用のない認証フローはブロックし、例外を限定します。認証方式を必要とする機器への影響を検証してから適用します。
• メールの異常送信検知：短時間の送信急増、海外IPからの不審サインイン、通常と異なる宛先への大量送信などを監視します。送信数だけでなく、攻撃者が既存の取引先に送信した場合も検知できるようにします。
• メールボックスへの永続化対策：外部転送、隠し受信トレイルール、アプリ同意、登録認証方式の変更を監査対象とします。
• クラウドファイルと委託先の管理：OneDrive・SharePointの共有権限、メール添付ファイルの保存期間、退職・契約終了後のデータ削除を確認します。
• フィッシング対策訓練：正規のMicrosoftログイン画面でも、本人が開始していないデバイスコードの入力・承認をしないこと、取引先の実在アカウントから届くメールでもリンクを確認することを訓練に含めます。標的型攻撃メール訓練の実施・運用も参考になります。

これらは各事件で未実施だったと断定したものではありません。公表事案で起きた事象と、Microsoftの防御・調査ガイダンスに基づく点検項目です。

FAQ

Microsoft 365への不正アクセスは、Microsoft側のサーバーが破られたという意味ですか？

必ずしもそうではありません。ここで紹介した事案の中心は、企業・大学などが利用する個々のMicrosoft 365アカウントへの不正ログインです。Microsoftのクラウド基盤自体の侵害と混同できません。

MFAを有効にしていれば、フィッシングを防げますか？

MFAはアカウント保護に有効ですが、すべての方式がフィッシングに強いわけではありません。正規画面上で利用者に不正なデバイスコードを承認させる攻撃も確認されています。管理者や機密データにアクセスするユーザーにはフィッシング耐性のある認証を検討します。

なりすましメールが数千件送られた場合、同数の個人情報が漏えいしたのでしょうか？

いいえ。送信通数と漏えい対象人数は異なります。同じ宛先への複数送信もあり得るほか、メールに含まれていた個人情報の件数は調査によって別途判明します。

パスワードを変更したら安全ですか？

不正アクセスの遮断には必要ですが、継続中のセッション、認証手段の追加、転送設定、アプリへの同意などを確認する必要があります。Microsoft公式手順でもアカウント無効化・セッション失効・メール設定の点検を案内しています。

出典

当事者組織の公式発表

• 社員のメールアカウントへの不正アクセスによるなりすましメール送信について（2026年10月13日）－東日本三菱自動車販売
• サイバー攻撃による情報漏洩、不審メールの送信について（2026年10月4日）－日本経済新聞社
• 不正アクセスによる情報漏えいに関するお詫びとお知らせ（2026年9月11日）－日本エネルギー経済研究所
• 不正アクセスによる情報漏えいに関するお詫びとお知らせ（続報、2026年10月2日）－日本エネルギー経済研究所
• 職員のMicrosoft 365メールアカウントへの不正アクセスに関する報告（2026年9月14日）－日本化粧品工業会
• 再委託先における不正アクセスと関係者・イベント出演者の情報への影響（2026年8月20日）－2025年日本国際博覧会協会
• クラウドサービス利用者アカウントへの不正アクセス・迷惑メール送信（2026年4月17日）－千葉大学
• 日本経済新聞社の米国子会社におけるMicrosoft 365不正ログイン（2026年5月）－当該発表を基にした日経グループまとめ

公式の調査・防御ガイダンス

• 侵害されたMicrosoft 365メールアカウントの対応手順－Microsoft Learn
• MailItemsAccessedによる侵害アカウントの調査－Microsoft Learn
• 条件付きアクセスでデバイスコードフローを制限する－Microsoft Learn
• 管理者にフィッシング耐性のあるMFAを要求する－Microsoft Learn