日経BP 26件の情報漏えいのおそれ、個人名とメールアドレスで何をされるのかまとめました

2026年10月4日、株式会社日経BPは、従業員のメールアカウントに不正アクセスがあり、メールの送受信先の一部の個人情報が漏えいした恐れがあると公表しました[1]。流出した恐れのある個人情報は、個人名とメールアドレスの26件としています。

件数は大きくありません。ただ、それで安心とは言い切れません。今回の入口は、従業員が受け取ったフィッシングメールでした。そのメールは、日本経済新聞社の社員のメールアドレスで届いたとされています[1]。「知っている相手のアドレスから届いたメール」が、入口になったということです。

「自分の名前とメールアドレスで、これから何をされるのか」。「会社として、どこから手を打てばよいのか」。この記事では、その2つに答えるために、漏れた情報が悪用されうる場面と、今回の事故で認証が関わる場所を、公開情報から整理しました。事故の経緯は多くの報道が扱っているため、短くとどめます。

この記事の要点

• 日経BPの社員や日経グループを名乗る、宛名入りのメールが届くおそれがあります。対象の人には、同社から個別にメールで連絡しているとしています[1]。
• 差出人のアドレスが本物でも、そのアカウントが乗っ取られている場合があります。メールのリンクから開いた画面で、IDやパスワードを入れないことが大切です。
• 会社側がまず見直したいのは、社員のメールアカウントへのログインの守り方です。

なお、本記事は公表文や公式のヘルプなど、公開情報だけをもとにしています。ログイン画面を実際に試すような調査はしていません。確認できなかった点は「確認できず」と書いています。

何が起きたか（要約）

公表文[1]によると、概要は次のとおりです。

同じ10月4日、日本経済新聞社も、社員が使っていた業務用の「マイクロソフト365」のアカウントが不正にログインされ、9月30日に約9000件のなりすましメールが社内や取材先などに送られたと公表しています[2]。メールは悪性サイトに誘導する内容だったとしています。日経BPの公表文は、このメールと同じものかを明記していません。ただ、日付と「日本経済新聞社の社員のアドレスから届いた」という経路は重なります。

漏れた情報で、何ができてしまうか

漏れたおそれがあるのは、日経BPの従業員とメールをやりとりしていた相手の、名前とメールアドレスです。これは「誰が、日経BPとやりとりしているか」という情報でもあります。

公表文は、メール本文の内容が流出したかどうかには触れていません[1]。そのため、ここでは名前とメールアドレスから考えられる範囲にとどめています。

大事なのは、今回の流れそのものです。日本経済新聞社の社員のアドレスから届いたメールで、日経BPの従業員の認証情報が盗まれ、その送受信先の情報が漏れたおそれがある。次に狙われうるのは、その送受信先です。差出人が知っている相手でも、それだけでは本人の連絡とは言えません。

今回の事故で認証が使われる場所

今回の事故は、利用者向けの会員サービスではなく、社員のメールで起きました。そこで、社員と送受信先のログインを中心に、日経BPの専門情報サービスなどで使われる「日経ID」[3]もあわせて並べました。

※「狙われやすさ」は、公開情報をもとにした当社の見立てです。実際のしくみを確かめたものではありません。

会社がまず見直すとよい所（優先順）

公表文では、接続の遮断と必要な対策を講じたこと、個人情報の安全を守るために最善を尽くすことが書かれています[1]。一方で、メールへのログインの確認方法を変えるといった、認証についての具体的な記載はありませんでした。認証の観点からは、次の順で見直すことが考えられます。

1. 社員のメールへのログインに、「持っているか」の確認を足す。今回は、フィッシングで盗まれた認証情報で入られました。IDとパスワードだけで入れる経路が残っていないかを洗い出すことが出発点です。
2. グループ会社や取引先から届いたメールでも、リンク先でログインさせる流れを疑う。差出人のアカウントが乗っ取られていれば、アドレスは本物のままです。「知っている相手だから」は、確認の代わりになりません。
3. 送受信先に、本物の連絡の見分け方を先に伝える。個別の連絡がどんな文面で届くのか、メール以外のどの手段で確かめればよいのかを示しておくと、便乗した偽の連絡と区別しやすくなります。

認証の観点から：「アドレスが本物」と「本人が送った」は違う

今回の事故で崩れたのは、「知っている相手のアドレスから届いたメールなら安心」という前提です。差出人のアドレスは、そのアカウントを乗っ取れば誰でも使えます。そして、IDとパスワードという「知っている情報」は、偽の画面に一度入力すれば、そのまま相手の手に渡ります。

知られた情報は、取り消せません。一方で、「その端末や電話回線を実際に持っていること」は、情報が漏れても変わりません。ログインの場面で「知っているか」だけでなく「持っているか」を確かめることが、連鎖を止める手がかりになります。

SMSで届くワンタイムパスワードも、「持っているか」を確かめる方式の一つです。ただし米国NISTのガイドラインは、SMSなど電話網を使う確認方法を「制限付き（restricted）」の手段と位置づけています[5]。禁止ではありませんが、端末の入れ替えやSIMの変更、電話番号の乗り換え（ポーティング）といったリスクを踏まえ、それだけに頼りきらない設計が求められています。

当社Infront Securityの電話番号認証は、利用者がワンタップで指定の番号に発信し、その発信者番号と端末の情報をサーバー側で照合して本人を確かめます。電話番号を知っていても、その回線から発信できなければ認証は通りません。偽サイトは利用者の電話回線を持っていないため、フィッシングに耐性のある方式です。

今のログインを壊さずに「持っているか」の確認を足す方法については、お気軽にご相談ください。

お問い合わせはこちら