TRUNK、従業員メールアカウントに不正アクセス　個人情報424件が漏えいした可能性、不審メール送信も確認

ホテルの開発・経営・運営を手がける株式会社TRUNKは2026年9月1日、従業員のメールアカウントが第三者から不正アクセスを受け、同社が保有する情報の一部が外部へ漏えいしたことを公表しました。

不正アクセスを受けたメールアカウントは第三者によって不正利用され、TRUNKおよび同社従業員になりすました不審メールが送信されていたことも確認されています。

漏えいした可能性がある情報は、氏名、住所、メールアドレス、勤務先などで、対象は424件です。同社はクレジットカード情報を保有しておらず、クレジットカード情報の漏えいはないとしています。

TRUNKの不正アクセス・個人情報漏えいのサマリー

• 株式会社TRUNKは2026年9月1日、従業員のメールアカウントへの不正アクセスを公表しました。
• 同社は、保有する情報の一部が外部へ漏えいしたことを確認しています。
• 漏えいした可能性がある情報は、氏名、住所、メールアドレス、勤務先などです。
• 対象件数は424件です。
• クレジットカード情報は同社が保有しておらず、漏えいはないとしています。
• 不正アクセスを受けたメールアカウントから、TRUNKや同社従業員になりすました不審メールが送信されていました。
• 同社は従業員が利用するメールアカウントのパスワードを変更し、不審メールの送信を停止したとしています。
• 個人情報保護委員会と管轄警察署へ報告済みです。
• 情報漏えいの対象者には順次、個別に連絡しています。
• 不正アクセスの発生日、侵入経路、認証情報が第三者に取得された方法は公表されていません。

従業員のメールアカウントが第三者から不正アクセス

TRUNKによると、同社従業員が利用するメールアカウントが第三者から不正アクセスを受けました。

その結果、同社が保有する情報の一部が外部へ漏えいしたことが判明しています。

また、第三者は不正アクセスしたメールアカウントを利用し、TRUNKや同社従業員になりすました不審メールを送信していました。

同社の公表では、不正アクセスが発生した日時、最初に異常を確認した日時、不正アクセスを受けたメールアカウント数は明らかにされていません。

フィッシング、パスワードリスト攻撃、マルウェアなど、認証情報が第三者に取得された具体的な経路についても公表されていません。

氏名・住所・メールアドレス・勤務先など424件が漏えいした可能性

TRUNKが「漏えいした可能性のある情報」として公表しているのは、氏名、住所、メールアドレス、勤務先などです。

対象件数は424件です。

一方、同社は「保有している情報の一部が外部に漏えいしたことが判明した」としています。つまり、情報漏えいそのものは確認されていますが、公表された424件すべてについて外部流出が確認されたとまでは説明されていません。

そのため、本件では「424件が漏えいした」と断定するのではなく、「424件が漏えいした可能性がある」と整理するのが適切です。

クレジットカード情報については、TRUNKがそもそも保有していないため、漏えいはないとしています。

不正アクセスされたメールアカウントから不審メールを送信

今回のインシデントでは、情報漏えいだけでなく、侵害されたメールアカウントが第三者に利用されたことも確認されています。

第三者はTRUNKや同社従業員になりすまし、不審メールを送信していました。

TRUNKは、同社や従業員を装うメールについて、件名や内容に心当たりがないものや、パスワード入力を求めるものなどを受信した場合、記載されたURLをクリックせず削除するよう呼びかけています。

侵害された正規のメールアカウントから送信されたメールは、単純な送信元ドメインの確認だけでは不審と判断しにくい場合があります。

同社は不審メールの送信停止措置を完了したとしていますが、受信済みメールが残っている可能性があるため、関係者側では過去に受信したメールについても確認が必要です。

パスワード変更で不審メール送信を停止

TRUNKは応急のセキュリティ強化として、従業員が利用しているメールアカウントのパスワードを変更しました。

これにより、不審メールの送信を停止したとしています。

ただし、同社の公表では、多要素認証（MFA）の導入・強化、既存セッションの失効、メール転送ルールの確認など、パスワード変更以外の具体的な対策内容は明らかにされていません。

同社は個人情報保護委員会および管轄警察署へ報告し、情報漏えいの対象となる人には順次、お詫びと案内を送っています。

情報システム部門への示唆

今回の事案では、メールアカウントへの不正アクセス後に、情報の外部漏えいと正規アカウントを使った不審メール送信の両方が確認されています。

企業側では、メールアカウント侵害を単なる「パスワード漏えい」として扱わず、侵害後の操作範囲まで確認する必要があります。

確認項目としては、次のようなものがあります。

• メールアカウントへMFAが適用されているか
• 不審な地域、IPアドレス、端末からのログイン履歴がないか
• 不審なメール転送ルールや受信トレイルールが作成されていないか
• OAuthアプリや外部アプリへの不審な認可がないか
• 侵害されたアカウントから外部へ送信されたメールを追跡できるか
• メールボックス内で第三者が閲覧・検索した情報を調査できるログが残っているか
• パスワード変更だけでなく、既存セッションやトークンを失効できているか
• 取引先や顧客へ不審メールが送信された場合の通知手順が決まっているか

特に、正規アカウントを使った不審メールは、受信側のメールセキュリティ製品を通過する場合があります。送信元の正当性だけでなく、通常と異なるログインや送信量、転送設定などを監視できる状態にしておく必要があります。

TRUNKは現時点で、不正アクセスの侵入経路を公表していません。今後、認証情報が取得された経路や追加の漏えい範囲、再発防止策が公表されるかが確認ポイントになります。

出典

• 不正アクセスによる個人情報漏えいのお詫びと当社メールアカウントを用いた不審メールへの注意喚起について – 株式会社TRUNK
• 会社概要 – 株式会社TRUNK

関連記事

神姫バスのウェブサイトでDDoS攻撃による接続障害、現在は復旧済み 個人情報漏えいは確認されず EDR・SIEMを導入してもSOC 運用は完成しない　24時間365日の監視を機能させる役割分担とは Insecamとは 世界のWEBカメラ/監視カメラを閲覧できるサイト サイバー攻撃集団 ロックビット(LockBit)とは？ I-SOON 中国政府へサイバー攻撃 ツールを提供していた企業から内部リーク Hugging FaceでAIのバックドア 付き 機械学習モデルを確認 ChatGPTやGeminiなどの文章生成AIで拡散するマルウェア Morris II を研究者が発表 AIや生成AIの悪用事例や事件を解説 富士通で個人情報漏洩の恐れ　マルウェア感染も

投稿者：三村

セキュリティ製品を手がける上場企業にて、SOC（セキュリティオペレーションセンター）運営およびWebアプリケーション脆弱性診断の営業に8年間従事。その後、システムエンジニアへ転身し、MDMや人事系SaaSの開発に携わる。
8年の実務経験と開発者としての知見を活かし、「セキュリティ対策Lab」ではダークウェブ調査、セキュリティインシデントの分析、および高度なセキュリティ対策解説の執筆・編集を統括しています。
LinkedIn(外部サイト)