TENTIALのメール送信サービスが不正利用、正規アドレスからフィッシングメール約11万通を送信

株式会社TENTIALは2026年7月28日、同社が利用するメール送信サービスの認証情報であるアクセスキーが第三者に不正利用され、正規のメール送信環境から約11万通のフィッシングメールが送信されたと公表しました。

不正送信は7月25日午後8時から26日午前5時までに行われ、[email protected]など、TENTIALが使用する正規の送信元アドレスが悪用されています。TENTIALは不正利用されたアクセスキーを無効化し、送信経路を遮断しました。顧客データベースへの不正アクセスや個人情報漏えいは現時点で確認されておらず、悪用されたアクセスキーにも顧客情報を閲覧する権限はなかったと説明しています。

TENTIALのアクセスキー不正利用とフィッシングメール送信の概要サマリー

• TENTIALは2026年7月28日、メール送信サービスのアクセスキーが第三者に不正利用されたと公表しました
• TENTIALの正規メール送信環境から、約11万通のフィッシングメールが送信されました
• 不正送信が確認された期間は2026年7月25日午後8時から26日午前5時までです
• 送信元として[email protected]、[email protected]、[email protected]が悪用されました
• 件名には「Abonnement PrimeVideo」など複数のパターンが確認されています
• 不正利用されたアクセスキーはメール送信に特化しており、顧客情報を閲覧する権限はありませんでした
• 顧客データベースへの不正アクセスや個人情報漏えいは現時点で確認されていません
• TENTIALはアクセスキーの無効化と不正送信経路の遮断を実施しました
• 不正送信はすでに停止しています
• アクセスキーが第三者に利用可能となった経路は調査中です
• フィッシングメールの宛先となったメールアドレスの入手元は公表されていません
• 不審メールのリンク先、入力を求められた情報、実際の被害件数は公表されていません
• 個人情報保護委員会への報告については公表文に記載がありません

項目	内容
公表日	2026年7月28日
被害企業	株式会社TENTIAL
対象	TENTIALが利用するメール送信サービス
発生事象	メール送信用アクセスキーの不正利用
不正送信期間	2026年7月25日20時～7月26日5時
概算送信件数	約11万通
悪用された送信元	[email protected]、[email protected]、[email protected]
確認された件名例	Abonnement PrimeVideoなど複数
顧客データベース	不正アクセスは確認されていない
漏えい情報の内容	個人情報漏えいは現時点で確認されていない
アクセスキーの権限	メール送信に限定され、顧客情報の閲覧権限なし
原因	アクセスキーが不正利用可能となった経路を調査中
宛先情報の入手元	未公表
利用者の被害	未公表
個人情報保護委員会への報告	公表文に記載なし
対応状況	アクセスキー無効化、不正送信経路の遮断、影響範囲と原因の調査
現在の状態	不正送信は停止済み

メール送信用アクセスキーが第三者に不正利用

TENTIALによると、同社が利用するメール送信サービスの認証情報であるアクセスキーが第三者に不正利用されました。

アクセスキーは、アプリケーションや業務システムがメール送信サービスのAPIなどを利用する際、正規のシステムであることを示すために使われる認証情報です。

攻撃者が有効なアクセスキーを取得すると、メール送信サービスから見れば正規のシステムによる操作として処理される可能性があります。その結果、企業が通常使用しているドメインや送信基盤から大量のメールを送信されることがあります。

今回の不正メールは、差出人欄だけを単純に書き換える送信元偽装ではありません。TENTIALは、同社の正規メール送信環境からフィッシングメールが送信されたと説明しています。

正規の送信基盤が悪用された場合、受信側の迷惑メール対策を通過しやすくなり、利用者からも本物の案内と誤認される危険性があります。

約11万通を9時間にわたり送信

TENTIALが確認した不正送信の期間は、2026年7月25日午後8時から7月26日午前5時までです。

約9時間にわたり、概算で11万通のフィッシングメールが送信されました。

単純計算では1時間当たり約1万2,000通に相当しますが、実際の送信量が時間帯ごとに均等だったかは公表されていません。

不正送信に利用されたアドレスは次の3つです。

• [email protected]
• [email protected]
• [email protected]

kencoco.comは、TENTIALが過去に展開したウェルネス専門ECプラットフォームKENCOCOで使用していたドメインです。

正規ドメインのメールアドレスが送信元として表示されるため、受信者がドメインだけを確認して正規メールと判断する可能性があります。

メールセキュリティでは、差出人アドレスが正しいことだけで安全性を判断できません。件名、本文、リンク先ドメイン、要求される操作、受信時刻などを合わせて確認する必要があります。

Prime Videoを装う件名を確認

TENTIALは、不審メールの件名例として「Abonnement PrimeVideo」を挙げています。

フランス語でPrime Videoの契約や購読を意味する表現であり、動画配信サービスの支払い、契約更新、アカウント確認などを装っていた可能性があります。

ただし、TENTIALはフィッシングメールの全文、リンク先、誘導先で入力を求められた情報を公表していません。

件名は複数存在するとされているため、「Abonnement PrimeVideo」以外のメールも不正送信に含まれる可能性があります。

顧客データベースへの不正アクセスは未確認

TENTIALは、同社の顧客データベースなどへの不正アクセスや個人情報漏えいは、現時点で確認されていないと説明しています。

不正利用されたアクセスキーはメール送信に特化したもので、顧客情報を閲覧する権限も持っていませんでした。

このため、アクセスキーそのものを使ってTENTIALの顧客氏名、住所、購入履歴、決済情報などを取得した事実は確認されていません。

一方、約11万通の送信先となったメールアドレスを攻撃者がどのように入手したのかは、公表文で説明されていません。

TENTIALの顧客データベースから取得したとは限らず、過去の別事案で流出したメールアドレス、公開情報、無差別に生成した宛先、攻撃者が以前から保有していたリストなどが使用された可能性があります。

現時点では送信先リストの出所を特定できる情報がないため、TENTIALの顧客情報が漏えいしてフィッシングに使われたと断定することはできません。

アクセスキーの流出経路は調査中

TENTIALは、アクセスキーが第三者に不正利用可能となった経路と影響範囲を調査しています。

アクセスキーがどのように取得されたかは明らかにされていません。

一般的には、ソースコードや設定ファイルへの誤記載、公開リポジトリへの登録、開発端末へのマルウェア感染、クラウド環境の設定不備、ログやチャットへの貼り付け、委託先からの流出などが確認対象になります。

ただし、今回の原因がこれらのいずれかであるとTENTIALが公表した事実はありません。

アクセスキーが単独で漏えいしたのか、メール送信サービスの管理アカウントや開発環境も侵害されたのかについても調査が必要です。

不正利用されたアクセスキーを無効化

TENTIALは事象を検知後、不正利用されたアクセスキーを直ちに無効化しました。

同時に不正送信経路を遮断し、現在はフィッシングメールの送信を停止しています。

アクセスキーを無効化すると、そのキーを使用する正規システムからのメール送信も停止する可能性があります。このため、緊急失効後は新しいキーを発行し、正規システムへ安全に再設定する作業が必要です。

新しいアクセスキーを発行する場合も、旧キーと同じ保管方法や権限設計を継続すると再発する可能性があります。

キーの失効と再発行だけでなく、流出経路の特定、権限縮小、保存方法の変更、利用元制限、監視強化まで実施する必要があります。

正規アドレスから届いても信用できない

今回の事案では、TENTIALが実際に使用するメールアドレスと正規のメール送信環境が悪用されています。

一般的なフィッシング対策では、差出人アドレスのドメインを確認するよう案内されます。しかし、正規の送信認証情報が侵害された場合、差出人ドメインの確認だけでは見分けられません。

受信者は次の点を確認してください。

• 心当たりのない契約や購入に関する案内ではないか
• 急いで支払いや本人確認を行うよう要求していないか
• 日本語利用者に対して不自然な外国語の件名や本文ではないか
• リンク先がtential.jpなどの公式ドメインと一致しているか
• 短縮URLや無関係なドメインが使われていないか
• パスワード、カード情報、ワンタイムパスワードを求めていないか
• 添付ファイルの実行やアプリのインストールを要求していないか

送信元が正規に見える場合でも、メールのリンクからログインせず、公式サイトや公式アプリを直接開いて状況を確認する方法が安全です。

不審メールを受信した場合の対応

TENTIALは、不審メールを受信した人に状況別の対応を案内しています。

リンクや添付ファイルを開いていない場合は、メールを削除します。

リンクを開いただけで情報を入力していない場合は、入力せずにブラウザーを閉じます。

ID、パスワード、個人情報を入力した場合は、該当サービスのパスワードを速やかに変更してください。

同じパスワードを別のサービスでも使用している場合は、使い回しているすべてのサービスで異なるパスワードへ変更します。

カード情報を入力した場合は、カード会社へ連絡し、利用停止や再発行、不正利用監視について相談する必要があります。

ワンタイムパスワードまで入力した場合は、すでに不正ログインや決済が成立している可能性があるため、対象サービスのログイン履歴、登録情報、注文履歴、決済履歴を確認します。

添付ファイルを開いた場合は、セキュリティ製品でスキャンします。実行ファイルやマクロを起動した可能性がある場合は、端末をネットワークから切り離し、所属組織の情報システム部門へ連絡してください。

フィッシングメールを開いた後の対応については、セキュリティ対策Labのフィッシングメールを開いてしまった場合の対処方法でも状況別に整理しています。

メール送信サービスのAPIキー悪用が相次ぐ

メール配信サービスやクラウドメールのAPIキーが悪用され、大量のフィッシングメールや迷惑メールを送信される事案は、TENTIALに限りません。

セキュリティ対策Labでは、SaveExpatsで外部メール配信サービスのAPIキーが不正利用され、約14万通のフィッシングメールが送信された事案を取り上げています。

つくるAIのAWSアカウントが不正アクセスを受け、約17万6,000通の迷惑メールが送信された事案でも、認証情報を悪用したメール送信基盤の踏み台化が確認されました。

送信ドメインの信頼性にも影響

正規のメール送信サービスから大量のフィッシングメールが送信されると、メールを受信した利用者だけでなく、送信企業の通常業務にも影響します。

受信事業者がTENTIALのドメインや送信元IPアドレスを一時的にブロックした場合、注文確認、発送通知、パスワード再設定などの正規メールが届きにくくなる可能性があります。

迷惑メール報告やバウンスが増えると、メール送信サービス側のレピュテーションにも影響します。

復旧時には、アクセスキーを失効するだけでなく、次の確認が必要です。

• 不正送信の停止
• 送信キューに残るメールの削除
• 送信元ドメインとIPアドレスの評価確認
• SPF、DKIM、DMARCの設定確認
• バウンス率と迷惑メール報告率の確認
• 正規メールの到達状況の確認
• 受信事業者やメール送信サービスへの連絡
• 顧客向け注意喚起と正規メールの識別方法の案内

DMARCを設定していても、正規の送信サービスと認証済みドメインが悪用された場合、不正メールが認証を通過する可能性があります。

メール認証は送信経路の正当性を確認する仕組みであり、メール本文が安全であることまでは保証しません。

情報システム部門への示唆

情報システム部門と開発部門は、メール送信サービスのアクセスキーを単なる設定値ではなく、企業の対外的な信用を使用できる特権認証情報として管理する必要があります。

不正利用されたキーに顧客情報の閲覧権限がなくても、企業の正規アドレスから大量のフィッシングメールを送信できれば、利用者と取引先に大きな被害を与えます。

最初に、メール送信サービス、クラウドメール、SMTPリレーで使用している認証情報を棚卸ししてください。

台帳には次の項目を記録します。

• 利用サービス
• キーや認証情報の所有者
• 使用するシステム
• 送信可能なドメインとアドレス
• 付与された権限
• 利用元IPアドレスやネットワーク
• 発行日と最終更新日
• 保管場所
• ローテーション期限
• ログとアラートの保存先
• 緊急失効の担当者と手順

アクセスキーはソースコード、設定ファイル、コンテナイメージ、チャット、チケット、Wikiへ直接記載せず、クラウドのシークレット管理サービスや安全な資格情報保管庫で管理します。

可能なサービスでは、送信元IPアドレス、利用リージョン、送信ドメイン、API操作を制限し、キーが漏えいしても任意の環境から使用できないようにします。

開発、検証、本番でアクセスキーを分離し、一つのキーを複数システムで共用しないことも重要です。

送信量については、通常の時間帯・件数・宛先ドメインを基準化し、急増した場合に自動停止または担当者へ通知します。

特に次の事象を監視してください。

• 深夜や休日の大量送信
• 通常と異なる国やIPアドレスからのAPI利用
• 未使用の送信元アドレスからの送信
• 外国語件名の急増
• 初めて送信する宛先ドメインの増加
• バウンス率や苦情率の急上昇
• キーの新規作成や権限変更
• 送信制限の引き上げ
• ログ設定や通知先の変更

インシデント対応手順には、アクセスキーの失効、送信キューの停止、ドメイン評価の確認、受信者への注意喚起、正規メールの復旧を含めます。

外部のメール送信サービスを利用している場合は、契約時に異常送信の自動検知、送信上限、顧客別の環境分離、ログ提供、緊急連絡窓口、侵害時の責任分界を確認してください。

今回の事案では約9時間で約11万通が送信されています。日次請求や月次レポートだけでは検知が遅れるため、送信量とAPI操作をリアルタイムに近い形で監視する必要があります。

出典

• メール送信サービスの認証情報不正利用による不審メールに関する注意喚起 – 株式会社TENTIAL
• ウェルネス専門ECプラットフォームKENCOCOβ版がオープン – 株式会社TENTIAL
• SaveExpats、外部メール配信サービスのAPIキー不正利用で約14万件のフィッシングメールを送信 – セキュリティ対策Lab
• つくるAI、AWSアカウントへの不正アクセスで迷惑メール17.6万通を配信 – セキュリティ対策Lab
• フィッシングメールを開いてしまった場合の対処方法 – セキュリティ対策Lab