講談社、フィッシングで社員アカウントが乗っ取られ 553件へ二次被害メールが送信

事案の概要データ

何が起きたのか

講談社は2026年8月3日、フィッシング被害を起点とした情報漏えいと二次被害を公表しました。

きっかけは、取引先を装ったフィッシングメールです。社員がメール内のリンクから偽のログイン画面にアクセスし、そこにIDとパスワードを入力してしまいました。攻撃者はその情報を使ってアカウントに侵入し、メールアドレス帳を含む最大3,812件の連絡先情報にアクセスできる状態になりました。

同社は乗っ取りが発生した7月30日のうちにパスワードを変更しています。しかしその3日後、乗っ取られたアカウントから取得された連絡先に対し、553件の二次フィッシングメールが送信されました。

「パスワードを変えたのに、なぜ被害が出たのか」

この事案で最も学ぶべきなのはここです。パスワードを当日中に変更したのに、3日後に二次被害が出ています。理由は単純で、攻撃者はすでに連絡先データを手元にコピーし終えていたからです。

つまり、パスワード変更は「これ以上入られないようにする」対策であって、「すでに持ち出されたデータを取り返す」ことはできません。だからこそ、パスワード変更と同時に、連絡先に載っている取引先へ「当社をかたる不審なメールに注意してください」と先回りで知らせることが重要になります。

被害を受けた会社が、次は加害者側の“送信元”に見えてしまう。これがフィッシングの連鎖です。

なぜ社員は騙されたのか

「取引先を装った」という点が鍵です。まったく知らない会社からのメールなら警戒できますが、日頃やり取りしている取引先の名前で届けば、リンクをクリックするハードルは一気に下がります。

近年のフィッシングメールは日本語も自然で、ロゴやレイアウトも本物そっくりです。「見破る訓練」だけに頼るのは限界があり、多要素認証（MFA）のように「パスワードを盗まれても入られない仕組み」を用意しておくことが現実的な対策になります。

時系列で見る経過

• 2026年7月30日取引先を装ったフィッシングメールにより、社員が偽ログイン画面に情報を入力。アカウントが乗っ取られる
• 2026年7月30日同日中に当該アカウントのパスワードを変更
• 2026年8月2日ごろ取得された連絡先に対し、553件の二次フィッシングメールが送信される
• 2026年8月3日事案を公表。最大3,812件の連絡先情報が影響、553件に二次送信があったと発表

中小企業が学ぶべきポイント

1. パスワード変更は「これ以上入られない」対策。すでに盗まれたデータは戻らない。
2. アカウント乗っ取りを確認したら、パスワード変更＋全セッションの強制ログアウト＋関係先への注意喚起をセットで行う。
3. 多要素認証（MFA）を入れていれば、パスワードを入力してしまっても侵入を防げた可能性が高い。
4. 「取引先の名前」で届くメールが最も危険。金額や口座、ログインを求めるメールは電話で確認する習慣をつける。

出典・参考

• 2026年8月 個人情報漏洩の事例 まとめ - セキュリティ対策Lab