八十二長野銀行、フィッシングで職員のメールが乗っ取られ法人取引先627社に影響

事案の概要データ

図解：この事故の構造

何が起きたのか

八十二長野銀行は2026年10月8日に初報を出し、19日に第2報を公表しました。

2026年10月7日、海外企業をかたるフィッシングメールに対して職員1名が認証操作を行い、メールアカウントが不正アクセスを受けました。第2報では、これが「正規の認証機能を悪用する手口」であったと説明されています。

漏えいの可能性があるのは、個人情報34名、法人取引先627社（社名・海外拠点名531社、取引に関する情報96社）、関係機関11機関です。口座情報や暗証番号の漏えいは確認されていません。

「正規の認証機能を悪用する手口」とは

第2報のこの表現は重要です。偽のログイン画面にパスワードを入力させる従来型のフィッシングとは異なり、正規の認証の仕組みそのものを使った手口であることを示しています。

近年増えているのが、多要素認証を回避する手口です。たとえば、利用者に「承認してください」という通知を何度も送り、うんざりしたところで承認させる方法や、正規のログイン画面を間に挟んで認証情報とセッションを横取りする方法があります。

つまり、多要素認証を入れていても安全とは言い切れません。重要なのは、(1)身に覚えのない承認通知は絶対に承認しない、(2)承認を求める通知が連続して来たら、それ自体が攻撃の兆候だと認識する、という従業員側の理解です。

技術的には、フィッシング耐性のある認証方式（パスキーや物理セキュリティキー）への移行が有効とされています。

法人取引先627社という広がり

この事案で漏えいの可能性があるのは、個人34名に対して法人取引先が627社です。

銀行の職員が扱うメールには、取引先の社名、海外拠点名、取引に関する情報が含まれます。特に海外取引に関わる部署であれば、どの企業がどの国と取引しているかが分かります。

これは競合にとって価値のある情報であると同時に、その取引先を狙ったビジネスメール詐欺（BEC）の材料にもなります。「○○銀行です。海外送金の手続きについて」という偽メールを、実際の取引内容に触れながら送れるためです。

2026年10月13日の赤武エンジニアリングの事案でも、漏えいの約99%が取引先の担当者情報でした。企業が持つ情報の多くは「取引先の情報」であり、自社の規模とは比例しません。

初報の数字が訂正された

第2報では、初報で示された「35名」という数字が、実際には関係機関のメールアドレス数35を指すものだったと説明・訂正されています。

初報の段階では、何を数えたものかが整理しきれていないことがあります。2026年10月16日のスカイチケットも、第1報の「カード番号の流出なし」を第2報で訂正しました。

初報の数字は暫定的なものであり、意味が後から変わりうる。読む側も、公表する側も、この前提を共有しておく必要があります。

時系列で見る経過

• 2026年10月7日海外企業をかたるフィッシングメールに職員1名が認証操作を行い、メールアカウントが不正アクセスを受ける
• 2026年10月8日初報を公表
• 2026年10月19日第2報を公表。「正規の認証機能を悪用する手口」と説明し、初報の件数の意味を訂正

中小企業が学ぶべきポイント

1. 多要素認証を入れていても、正規の認証機能を悪用する手口で突破されることがある。
2. 身に覚えのない承認通知は絶対に承認しない。連続して来たら攻撃の兆候。
3. フィッシング耐性のある認証（パスキー・物理キー）への移行を検討する。
4. 企業が持つ情報の多くは「取引先の情報」。自社の規模とは比例しない。
5. 初報の数字は暫定。何を数えたものかが後から訂正されることがある。

出典・参考

• 情報漏洩・不正アクセスの企業一覧（随時更新） - SmartScope