事案の概要データ
| 不正アクセス | 2026年10月24日 |
|---|---|
| 緊急メンテナンス開始 | 2026年10月24日 午前3時50分ごろ |
| 公表（続報） | 2026年10月25日 12時52分時点 |
| 対象サービス | メール配信サービス「ワイメール」 |
| 持ち出し・閲覧の可能性 | 顧客環境のセットアップ用スクリプト、決済代行会社との接続情報、アプリ設定ファイルなど |
| 確認された被害 | 一部の利用者の配信環境への不正侵入 |
| 実害 | 南魚沼市では、登録者のメールアドレス宛にフィッシングメールが送信された |
| 影響が報じられた組織 | 双葉町、南魚沼市、かたしな高原、どんどんプリント |
| 対応 | 認証情報の無効化、サーバーの停止 |
| 個人情報の漏えい | 有無を調査中 |
図解：この事故の構造
何が起きたのか
イグレックスのメール配信サービス「ワイメール」が、2026年10月24日に不正アクセスを受けました。同社は同日午前3時50分ごろから緊急メンテナンスを開始しています。
10月25日12時52分時点の発表では、ワイメールのポータルサイトから顧客環境のセットアップ用スクリプト、決済代行会社との接続情報、アプリ設定ファイルなどが持ち出された、または閲覧された可能性が明らかにされました。
また、一部の利用者の配信環境への不正侵入が確認され、認証情報の無効化とサーバーの停止が行われています。個人情報の漏えいの有無は調査中です。
影響が報じられているのは、福島県双葉町、新潟県南魚沼市、かたしな高原、どんどんプリントです。
実際にフィッシングメールが送られた
この事案が他と違うのは、被害が「可能性」で終わっていないことです。
南魚沼市は、登録者のメールアドレス宛にフィッシングメールが送信されたと発表しています。つまり、流出したアドレスが実際に悪用されました。
情報漏えいの事案では、「現時点で二次被害は確認されていない」という説明が多くあります。本件は、その二次被害が起きたケースです。
そして、自治体のメールマガジンを装ったフィッシングメールは、極めて危険です。受信者は市からの連絡だと思って開きます。防災情報や行政の案内だと思えば、リンクも踏みます。
2026年10月13日のアルカディアの事案でも、142万通を超えるフィッシングメールが不正に配信されました。メール配信基盤が奪われると、攻撃者は「信頼されている差出人」として送信できてしまいます。
「決済代行会社との接続情報」の重さ
持ち出された可能性があるものの中に、決済代行会社との接続情報が含まれています。
決済代行会社とは、クレジットカード決済などを仲介する会社です。システムが決済代行会社とやりとりするには、接続のための鍵（APIキーなど）が必要になります。
この鍵が渡れば、本来の利用者になりすまして決済システムに接続される可能性があります。カード情報そのものが漏れるのとは別の経路で、金銭的な被害につながりかねません。
また「セットアップ用スクリプト」も重要です。これは顧客の環境を構築する手順が書かれたプログラムで、初期パスワードや設定の仕組みが含まれていることがあります。それが分かれば、他の顧客環境へ侵入する足がかりになります。
実際、一部の利用者の配信環境への不正侵入が確認されています。
2026年10月、メール配信基盤で4件目
2026年10月は、メール配信サービスの事案が連続しました。
10月13日のアルカディア「SpeeCAN RAIDEN」（自治体の防災メール）、10月19日のユミルリンク「Cuenote FC」（第二報で延べ5,162万8,280件）、10月21日のブラストメール（ラクスライトクラウド・40組織超へ波及）、そして本件です。1か月で4件になります。
偶然ではないと考えられます。メール配信サービスには、組織が集めたメールアドレスが集まっています。1社に入れば、何十、何百の組織の登録者リストが手に入ります。そして、そのリストを使って信頼されている差出人としてメールを送れます。
攻撃者にとって、これほど効率のよい標的はありません。
メルマガを配信している中小企業へ
自社でメールマガジンを配信している場合、次の点を確認してください。
1. 配信サービスの管理画面に多要素認証をかける。 ユミルリンクの事案は、管理担当者の認証情報が使い回されていたために49システムへ拡大しました。
2. 不要な配信先リストを削除する。 何年も配信していないリスト、終了したキャンペーンのリスト。預けているデータは少ないほうが安全です。
3. 事故時に顧客へ連絡する手段を、配信サービス以外に用意する。 配信サービスが止まれば、メールで知らせることもできません。Webサイトへの掲載、SNS、電話。別の経路を決めておいてください。
4. 読者へ「メールのリンクは踏まない」と平時から伝えておく。 事故が起きてから伝えても遅いです。メルマガの末尾に一行入れておくだけで違います。
登録者の方へ
双葉町、南魚沼市、かたしな高原、どんどんプリントのメールマガジンに登録している方は、注意してください。
これらの名前で届くメールのリンクを踏まないでください。特に「登録情報の確認」「配信停止はこちら」といった誘導に注意が必要です。
用件がありそうな場合は、公式サイトをブラウザのブックマークか検索から開いて確認してください。メール内のリンクは使わないことが基本です。
すでにリンクを踏んでIDやパスワードを入力してしまった場合は、そのサービスのパスワードをすぐに変更し、同じパスワードを使っている他のサービスも変更してください。
時系列で見る経過
- 2026年10月24日メール配信サービス「ワイメール」が不正アクセスを受ける
- 2026年10月24日 午前3時50分ごろ緊急メンテナンスを開始
- 2026年10月25日 12時52分時点ポータルサイトからセットアップ用スクリプト、決済代行会社との接続情報、アプリ設定ファイルなどが持ち出された、または閲覧された可能性を公表
- 2026年10月25日一部の利用者の配信環境への不正侵入を確認。認証情報の無効化とサーバーの停止を実施
- 2026年10月26日南魚沼市が、登録者のメールアドレス宛にフィッシングメールが送信されたと発表
- 2026年10月26日双葉町が、メルマガ配信会社への不正アクセスを確認したと公表
中小企業が学ぶべきポイント
- メール配信基盤が奪われると、攻撃者は「信頼されている差出人」として送信できる。
- 自治体のメルマガを装うフィッシングは、受信者が疑わないため成功率が高い。
- 決済代行会社との接続情報が漏れると、なりすまして決済システムに接続されうる。
- 配信サービスの管理画面に多要素認証をかける。
- 不要な配信先リストは削除する。預けるデータは少ないほうが安全。
- 配信サービス以外に、顧客へ連絡する手段を用意しておく。
- 読者へ「メールのリンクは踏まない」と平時から伝えておく。
出典・参考
- メール配信サービス「ワイメール」への不正アクセスによるサイバー攻撃のまとめ - セキュリティ対策Lab
- 双葉町メルマガ配信会社、不正アクセスを確認 - 福島民友新聞
- 臨時報道資料 令和8年10月26日 - 南魚沼市
- 【メンテナンス】ワイメールの緊急メンテナンスについて - イグレックス
本記事は、各組織の公表資料および報道をもとに、要点をわかりやすく整理したものです。 被害件数は「漏えいした可能性のある最大件数」として公表されている場合があり、実際に漏えいが確定した件数とは異なることがあります。 また、調査の進展により内容が変わる場合があります。正確な情報は必ず出典元の公式発表をご確認ください。