Gunosy、社内アカウントの認証情報を悪用され 取引先25名・役職員107名の情報が流出

事案の概要データ

図解：この事故の構造

何が起きたのか

Gunosyは2026年10月26日、社内業務用アカウントへの不正ログインがあり、取引先担当者と自社の役職員等の個人情報が流出したと公表しました。

公表文によれば、2026年10月21日午後、第三者が不正に入手した社内業務用アカウントの認証情報（ID・パスワード）を用いてログインし、クラウド環境や業務ツール等にアクセスされました。これを社内の監視システムが検知しています。

流出したのは、取引先ご担当者25名（当該アカウントとの間のメールに記載された氏名・メールアドレス、署名欄に記載された会社名・所属・役職・連絡先）と、役員・従業員・退職者等107名（氏名・メールアドレス、一部はアカウント復旧用に登録された連絡先を含む）です。

あわせて、当該アカウントとの間のメールの一部について本文が閲覧されました。添付ファイルが開かれた記録はないとされています。

「グノシー」などサービス利用者の情報の流出は確認されていません。認証情報がどのように入手されたかは調査中です。

「メールの本文を読まれた」という被害

件数は合わせて132名です。今月の事案の中では小さい数字です。しかし被害の質が違います。

メールの本文には何が書かれているでしょうか。見積の金額、納期の相談、値引きの交渉、契約の条件、人の採用や異動の話、トラブルの経緯。会社の交渉の中身がそのまま書かれています。

名簿の流出は「誰がその会社の顧客か」が漏れることですが、メール本文の閲覧は「その相手と何を話していたか」が漏れることです。

そして署名欄です。公表文は「署名欄に記載された会社名・所属・役職・連絡先」と明記しています。メールの署名は、氏名・会社名・部署・役職・電話番号・住所がきれいに並んだ、完成度の高い個人情報のかたまりです。

これがそろうと何ができるか。取引先になりすましたメールを送れます。 相手の会社名と役職を正しく書き、過去のやりとりの文脈を踏まえた内容で、「振込先の口座が変わりました」と連絡する。これがビジネスメール詐欺（BEC）の典型です。

メールボックスは、会社でいちばん情報が集まる場所です。そこへのログインを守ることは、顧客名簿を金庫に入れるのと同じ優先度で考えてください。

再発防止策の1行目が「共有アカウントの廃止」

この公表文で最も実務的なのは、再発防止策として「共有アカウントの廃止、多要素認証の徹底、アカウント権限の見直しなど」が挙げられている点です。

共有アカウントは、中小企業にほぼ必ずあります。

・`info@` や `support@` の受信箱に、複数人が同じパスワードでログインしている

・経理ソフトに「経理用」の1アカウントがあり、3人で使い回している

・ネットショップの管理画面を、店長とパートの方が同じIDで使っている

・退職した人が作ったアカウントを、後任がそのまま引き継いで使っている

共有アカウントには3つの問題があります。①誰が操作したか分からない（ログを見ても区別できない）。②パスワードを変えにくい（全員に伝え直す手間が発生するので、変えないまま年単位で放置される）。③人が辞めても止められない（他の人が使っているので無効化できない）。

対策はシンプルです。人数分のアカウントを作り、1つの受信箱を複数人で見る機能（共有メールボックス、グループアドレス）を使う。 GoogleやMicrosoftのサービスには標準で入っています。費用は増えますが、1人あたり月数百円の話です。

そして多要素認証です。本件はID・パスワードだけでログインできたから入られました。パスワードが漏れていても、スマホの確認がないと入れない状態にしておけば、この侵入は止まっていた可能性があります。

検知の当日に遮断し、5日で公表した

対応の速さも記録しておきます。

10月21日午後に監視システムが検知し、同日中に当該アカウントを停止して不正アクセスを遮断。10月23日に個人情報保護委員会へ報告。10月26日に対象者へ個別メールで連絡を開始し、同日に公表しました。

検知から遮断まで数時間、検知から公表まで5日です。2026年10月の事案を見てきた中では速いほうです。

そして、通知メールの書き方に優れた配慮があります。公表文は、対象者へ送るメールについて「このメールには、本お知らせへのリンク以外のリンクや添付ファイルは含まれておりません」と明記しています。

事故の通知メールは、フィッシングに一番悪用されやすい形です。「情報が流出した可能性があります。こちらから確認してください」というメールは、本物と偽物の区別がつきません。だから「本物にはこれ以外のリンクも添付もない」と先に宣言する。これは真似すべき一文です。

時系列で見る経過

• 2026年10月21日 午後第三者が不正に入手した社内業務用アカウントの認証情報でログイン。社内の監視システムが検知
• 2026年10月21日 中当該アカウントを停止し、不正アクセスを遮断。関連する認証情報を無効化・変更
• 2026年10月23日個人情報保護委員会へ報告
• 2026年10月26日対象者へ個別メールで連絡を開始。あわせて公表
• （継続）認証情報の入手経路を調査中。共有アカウントの廃止、多要素認証の徹底などを実施

中小企業が学ぶべきポイント

1. メール本文の閲覧は、名簿の流出とは質が違う。相手と何を話していたかが漏れる。
2. メールの署名欄は、氏名・会社名・部署・役職・連絡先がそろった完成度の高い個人情報。
3. 取引先の署名情報がそろうと、なりすましメール（ビジネスメール詐欺）の材料になる。
4. 共有アカウントは「誰が操作したか分からない・パスワードを変えにくい・人が辞めても止められない」の3重の問題を持つ。
5. 人数分のアカウントを作り、共有メールボックスやグループアドレスで1つの受信箱を複数人で見る。
6. ID・パスワードだけで入れる状態をやめる。多要素認証はこの手口を止められる。
7. 事故の通知メールには「本物にはこれ以外のリンクも添付もない」と先に宣言する。

出典・参考

• 当社役職員等ならびに一部お取引先ご担当者様の個人情報の流出に関するお詫びとお知らせ（Gunosy）
• Gunosy の社内業務用アカウントの認証情報を用いた不正ログイン（ScanNetSecurity）