【お知らせ】当社メールアカウントへの不正アクセスについて

2026年3月23日、当社社員1名のメールボックスが第三者に不正に閲覧されたことを確認いたしました。
前回のお知らせ：【重要】情報漏洩のお知らせとご注意のお願い
本件につきまして、現時点で判明している内容および当社の対応状況を、以下のとおりご報告いたします。

1. 被害状況

当社社員1名のMicrosoft 365アカウントが不正に利用され、Exchange Onlineメールボックスへの不正アクセスが発生しました。
当該不正アクセスにより、メールデータ合計116件が第三者により閲覧された可能性があります。
なお、現時点において、当該情報が外部へ拡散・悪用された事実は確認されておりませんが、
窃取されたメールデータを用いて当社社員を装ったフィッシングメールが送信される可能性があります。
また、当社ではMicrosoft 365テナント全体でデータの外部共有やメール転送を禁止しており、本件に起因する新たな情報漏えいは発生していないことを確認しております。

2. 概要

当社が取引している取引先のアカウントが第三者により侵害され、当該取引先を装った標的型攻撃メールが送信されました。
当該メールには、機密文書および見積書の確認を指示する内容が記載されており、添付ファイルを装った外部リンクが含まれていました。
当該リンクは、侵害された取引先の正規のOneDrive上に配置されたものでした。
リンクを開くと、Microsoft 365のOneNoteドキュメントを装った画面が表示され、認証情報の入力を求める不正なサイトへ誘導されました。
当社社員1名が当該メールを開封し、当該サイトにMicrosoft 365の認証情報を入力した結果、認証情報が窃取されました。
その後、窃取された認証情報を用いて当該社員のExchange Onlineメールボックスへの不正アクセスが発生しました。
アクセス元は米国のIPアドレスでしたが、実際の攻撃者の所在地を示すものではありません。
また、不正アクセスにより、当該取引先の情報の窃取を目的とする受信トレイルールが不正に作成されました。

3. 発生時系列