東洋紡せんい、従業員のメールアカウントが乗っ取られ約1,500件のフィッシングメールを送信

事案の概要データ

図解：この事故の構造

何が起きたのか

東洋紡せんいは2026年9月25日、従業員のメールアカウントが乗っ取られ、そこから約1,500件のフィッシングメールが送信されたことを公表しました。

この構図は、2026年8月の講談社の事案（フィッシングで社員アカウントが乗っ取られ、553件に二次フィッシングメールが送信された）とまったく同じです。

「被害者が加害者に見える」連鎖

メールアカウントが乗っ取られると、攻撃者はそのアカウントの正規の送信者として、アドレス帳に登録された相手にメールを送れます。

受け取る側から見れば、それは「取引先の○○さんからのメール」です。送信元のドメインも本物、署名も本物、過去のやり取りの引用まで付いていることもあります。疑う理由がありません。

だから二次被害の成功率が高く、そこからさらに次の会社へと連鎖していきます。自社が被害者であると同時に、取引先にとっては攻撃の発信源になってしまう——これがフィッシングの最も厄介な性質です。

乗っ取られたら、何をするか

アカウントの乗っ取りを確認したら、次の4つを順番に行ってください。

1つ目はパスワードの変更。2つ目は全セッションの強制ログアウト（これをしないと、攻撃者はログインしたままの状態を維持できます）。3つ目は、勝手に設定された転送ルールや自動返信がないかの確認。4つ目は、アドレス帳の相手への注意喚起です。

特に3つ目は見落とされがちです。攻撃者は「受信メールを自分宛に転送する」ルールを仕込むことがあり、パスワードを変えてもメールを読み続けられてしまいます。

そして根本的には、多要素認証です。パスワードが盗まれても、もう一つの要素がなければログインできません。メールは他サービスのパスワード再発行の窓口にもなるため、最優先で守るべきアカウントです。

時系列で見る経過

• 2026年9月従業員のメールアカウントが乗っ取られる
• 2026年9月乗っ取られたアカウントから約1,500件のフィッシングメールが送信される
• 2026年9月25日事案を公表し、関係先へ注意を喚起

中小企業が学ぶべきポイント

1. メールアカウントには必ず多要素認証をかける。最優先で守るべきアカウント。
2. 乗っ取りを確認したら、パスワード変更＋全セッション強制ログアウトをセットで行う。
3. 勝手に設定された転送ルール・自動返信がないか必ず確認する。
4. アドレス帳の相手へ、自社名をかたるメールへの注意喚起をすぐ出す。
5. 被害者が次の加害者に見えてしまうのがフィッシング。連鎖を止めるのは早い通知。

出典・参考

• 2026年9月 サイバー攻撃の被害 事例 まとめ - セキュリティ対策Lab