事案の概要データ
| 公表日 | 2026年10月13日 |
|---|---|
| 原因 | 社員のMicrosoft 365アカウントへの第三者による不正ログイン |
| なりすましメール | 825通 |
| 漏えい件数・侵害範囲 | 調査中・未公表 |
| 注意 | 公表された825という数字はメールの通数であり、漏えい件数ではない |
図解：この事故の構造
何が起きたのか
東日本三菱自動車販売は2026年10月13日、社員のMicrosoft 365アカウントに第三者が不正ログインし、825通のなりすましメールが送信されたことを公表しました。漏えいした情報の件数や侵害の範囲は調査中です。
公表された825という数字は送信されたメールの通数であり、漏えいした個人情報の件数ではありません。
2026年に繰り返されたパターン
クラウド型の業務メール（Microsoft 365やGoogle Workspace）のアカウントが乗っ取られ、そこから取引先へなりすましメールが送られる——この構図は2026年を通じて繰り返されました。
8月の講談社（553件）、9月の東洋紡せんい（約1,500件）、10月4日の日本経済新聞社（約9,000件）、10月8日の八十二長野銀行、そして本件です。
受け取る側から見れば、それは「取引先の○○さんからのメール」です。送信元のドメインは本物、署名も本物、過去のやり取りの引用まで付いていることもあります。疑う理由がありません。
自動車販売会社であれば、顧客は車検・点検・保険の案内を日常的に受け取っています。そこに偽の案内が届けば、見破るのは困難です。
多要素認証で止められる
Microsoft 365やGoogle Workspaceは、インターネットからIDとパスワードだけでログインできる構造です。便利さと弱点が表裏一体になっています。
最も効くのは多要素認証です。パスワードが盗まれても、スマートフォンのアプリや物理キーがなければログインできません。両サービスとも管理画面から全社必須に設定でき、追加費用はかかりません。
加えて、(1)普段と違う国・端末からのログインを検知してブロックする設定、(2)勝手に作られたメール転送ルールを検出する監視、の2つを有効にしておくことが推奨されます。
乗っ取りが起きた場合は、パスワード変更だけでは不十分です。全セッションの強制ログアウトと、勝手に設定された転送ルールの確認をセットで行ってください。
時系列で見る経過
- 2026年10月社員のMicrosoft 365アカウントに第三者が不正ログイン
- 2026年10月乗っ取られたアカウントから825通のなりすましメールが送信される
- 2026年10月13日事案を公表。漏えい件数・侵害範囲は調査中と説明
中小企業が学ぶべきポイント
- Microsoft 365・Google Workspaceの多要素認証を全社必須にする。追加費用なしでできる。
- 普段と違う国・端末からのログインを検知してブロックする設定を有効にする。
- 乗っ取り時は、パスワード変更＋全セッション強制ログアウト＋転送ルールの確認をセットで。
- 「825通」はメールの通数であって漏えい件数ではない。数字の意味を確認する。
- 取引先へ「当社をかたるメールに注意」をすみやかに出す。連鎖を止めるのは早い通知。
出典・参考
本記事は、各組織の公表資料および報道をもとに、要点をわかりやすく整理したものです。 被害件数は「漏えいした可能性のある最大件数」として公表されている場合があり、実際に漏えいが確定した件数とは異なることがあります。 また、調査の進展により内容が変わる場合があります。正確な情報は必ず出典元の公式発表をご確認ください。