事案の概要データ
| 公表日 | 2026年10月4日 |
|---|---|
| Microsoft 365 | 社員アカウントの乗っ取り。なりすましメール 約9,000件を送信 |
| Google Workspace | 外部からの不正ログイン。1,646人分の漏えいの疑い |
| 関連 | 同日、日経BPでもフィッシングによるメールアカウントの侵害（26件の流出のおそれ）を公表 |
| 原因 | アカウントの乗っ取り／外部からの不正ログイン |
図解：この事故の構造
何が起きたのか
日本経済新聞社は2026年10月4日、社員の業務アカウントが乗っ取られ、約9,000件のなりすましメールが送信されたことを公表しました。Microsoft 365のアカウントが乗っ取られた事案と、Google Workspaceへの外部からの不正ログインにより1,646人分の情報に漏えいの疑いがある事案が、あわせて明らかになっています。
同日には、グループの日経BPでもフィッシングによるメールアカウントの侵害（26件の流出のおそれ）が公表されました。
「日経からのメール」の威力
なりすましメールが約9,000件送信されたという点が、この事案の核心です。
受け取る側から見れば、それは「日本経済新聞社の記者・担当者からのメール」です。経済メディアからの連絡は、企業にとって無視できないものです。「取材のお願い」「掲載内容の確認」といった件名であれば、開封率は極めて高くなります。
被害を受けた会社が、次の攻撃の発信源になる——2026年8月の講談社（553件）、9月の東洋紡せんい（約1,500件）と同じ構図ですが、9,000件という規模と、報道機関という信頼度の高さが組み合わさった点で影響は大きくなります。
クラウド型メールのアカウントを守る
被害を受けたのは、Microsoft 365とGoogle Workspaceという、企業で広く使われているクラウド型の業務サービスです。
これらは便利な反面、「インターネットからIDとパスワードだけでログインできる」という構造を持ちます。社内にいなくてもアクセスできることが利点であり、同時に弱点でもあります。
対策の中心は多要素認証です。パスワードが盗まれても、スマートフォンのアプリや物理キーがなければログインできません。加えて、(1)普段と違う国・端末からのログインを検知してブロックする設定、(2)勝手に作られた転送ルールを検出する監視、の2つを有効にしておくことが推奨されます。
中小企業でも、Microsoft 365やGoogle Workspaceを使っているなら、管理画面から多要素認証を全社必須にできます。追加費用はかかりません。
時系列で見る経過
- 2026年10月社員のMicrosoft 365アカウントが乗っ取られる
- 2026年10月乗っ取られたアカウントから約9,000件のなりすましメールが送信される
- 2026年10月Google Workspaceへの外部からの不正ログインも確認される
- 2026年10月4日両方の事案を公表。Google Workspace分は1,646人分の漏えいの疑いと発表
- 2026年10月4日日経BPでもフィッシングによるメールアカウント侵害（26件の流出のおそれ）を公表
中小企業が学ぶべきポイント
- Microsoft 365・Google Workspaceの多要素認証を全社必須にする。追加費用なしでできる。
- 普段と違う国・端末からのログインを検知してブロックする設定を有効にする。
- 勝手に作られたメール転送ルールを検出する監視を入れる。
- 乗っ取りが起きたら、パスワード変更＋全セッション強制ログアウト＋関係先への通知をセットで。
- 信頼されている会社ほど、なりすましメールの成功率が上がる。公表を急ぐ理由になる。
出典・参考
本記事は、各組織の公表資料および報道をもとに、要点をわかりやすく整理したものです。 被害件数は「漏えいした可能性のある最大件数」として公表されている場合があり、実際に漏えいが確定した件数とは異なることがあります。 また、調査の進展により内容が変わる場合があります。正確な情報は必ず出典元の公式発表をご確認ください。