フィッシング被害というと、「変なメールを開かなければいい」で話が終わりがちです。でも業務アカウントが奪われると、被害は入力した本人の中で止まりません。そこには、ほかの人へ届く連絡先と、差出人としての信用が入っているからです。
講談社の事案で見るべき本題は、1人を責めることではなく、1回の偽ログイン入力が、最大3812件の連絡先流出と553件の二次フィッシング送信へどう連鎖したかです。
今回の登場人物
- フィッシング: 本物そっくりのメールや画面で、IDやパスワードなどを盗む手口です。
- 業務メールアカウント: 仕事で使うメールの入口です。受信箱だけでなく、連絡先や送信元としての信用も抱えます。
- セッション: 「いまログイン中です」という継続状態です。パスワードを変えたあとも、残ったセッションを別に切る必要がある場合があります。
- 個人情報保護委員会（PPC）: 個人情報の扱いを監督する国の機関です。一定の漏えい等は、ここへの報告対象になります。
何が起きたか
TBS NEWS DIGが2026年8月3日に報じた講談社の公表内容を、日付順に並べます。
7月27日、社員が取引先を装ったフィッシングメールのリンクを開き、偽のログイン画面に社用メールの認証情報を入力しました。7月30日、攻撃者がそのアカウントへ不正ログインし、最大3812件のメールアドレスと、一部の氏名を含む連絡先情報が流出しました。さらに同じ社員を装ったフィッシングメールが553件送信されました。
社員は7月30日に異常へ気づき、パスワードを変更し、ログイン中のセッションを削除しました。講談社は、それ以後このアカウントへの不正アクセスは確認していないと説明しています。7月31日には、流出した情報の項目や取るべき対応を対象者へ通知し、個人情報保護委員会への報告も完了したとしています。
ここで二つの数字へ名札を付けておきましょう。
- 最大3812件: 流出した連絡先情報の件数
- 553件: 乗っ取られたアカウントから送られた二次フィッシングメールの件数
3812人全員へ不審メールを送った、という意味ではありません。名簿の大きさと、実際に行われた送信の数は別です。
ここが本題
なぜ、1回の入力で被害が何段も広がったのでしょうか。
第一段階は、認証情報を盗むことです。攻撃者は、社員本人のPCを映画みたいに遠隔操作したと確認されているわけではありません。偽画面へ入力された、正規のログインに使える情報を手に入れました。警備員を倒すのではなく、本物の入館証をだまし取るやり方です。
第二段階は、その情報で本物の社用メールへ入ることです。不正ログインに成功すれば、システムからは一見、正規利用者に見えます。そこで連絡先情報へアクセスできたとみられます。今回流出したと公表されたのは、最大3812件のメールアドレスと一部の氏名です。決済情報や作品データまで侵害されたと広げて書ける事案ではありません。
第三段階は、奪った差出人の信用を使うことです。知らないアドレスから「至急ログインしてください」と来れば警戒できても、日ごろ連絡する相手の社用アカウントから届けば、反応してしまう人は増えます。攻撃者にとって、アドレス帳は次の標的一覧であり、本物のアカウントは借り物の名札です。
これが553件の二次送信へつながりました。フィッシングは一本の釣り糸ではなく、釣れたアカウントを次の釣りざおに変えることがあります。笑えない増殖方法です。
7月30日に起きた競争
7月30日は、不正ログイン、連絡先の流出、553件の送信、社員による発見、パスワード変更、セッション削除が集中した日です。被害拡大と遮断が、同じ日に競争していました。
パスワード変更に加えてセッションを削除した点にも意味があります。一般に、サービスへログインすると、しばらく本人確認済みとして扱うセッションが作られます。パスワードを変えただけで既存セッションが必ず即座に無効になるとは限りません。そこで、すでに中へ入っている状態も切る必要があります。
ただし、今回どの認証方式が使われ、セッションがどのように管理されていたかまでは公表内容から分かりません。「多要素認証がなかった」といった未確認の構成を決めつけてはいけません。確認できるのは、講談社がパスワード変更とセッション削除を行い、その後の不正アクセスは確認していないと説明したことです。
個人の注意だけでは足りない
こうした事件では、だまされた社員への非難が先に出がちです。でも「もっと注意する」で終われば、攻撃者にとっては好都合です。人は急ぎの取引、見慣れた社名、よく似た画面に反応します。注意力は大切ですが、毎回100点を取り続ける前提の防御は、だいぶ無理があります。
組織側では、盗まれたパスワードだけで簡単に入れない認証、普段と違う場所や端末からのログイン検知、短時間の大量送信を止める仕組み、必要最小限の連絡先だけを見せる権限設計などが考えられます。今回どれが導入済みだったかは未確認なので、講談社に「なかった」と断定する話ではありません。今後の再発防止策を見るための確認軸です。
個人情報保護委員会は、不正アクセスによる個人データの漏えいだけでなく、漏えいのおそれがある段階でも、一定の事案は報告対象になると案内しています。今回、講談社は7月31日に対象者への通知と委員会への報告を行いました。漏えい後の対応は、原因調査だけでなく、次のフィッシングを受ける可能性がある人へ早く知らせる意味があります。
対応は三つの時間軸に分けると見やすくなります。まず「いま止める」で、パスワードを変え、残るセッションを切る。次に「次を止める」で、流出対象者へ知らせ、乗っ取られた差出人から来たメールを開かないよう促す。そして「繰り返させない」で、ログイン記録や送信記録を調べ、認証、検知、権限の設計を見直す。講談社が公表したのは主に最初の二段階です。三段階目の具体策は、今後の説明で確認すべき点になります。
この切り分けが必要なのは、「侵入を止めた」と「被害が終わった」が同じ時刻ではないからです。不正ログインを遮断しても、すでに届いた553件のメールは受信箱に残り得ますし、流出した連絡先を攻撃者が後日使う可能性もあります。鍵を交換しても、外へ持ち出された住所録までは回収できない。対象者への通知は、その時間差を埋める防御でもあります。
受け取る側にも関係する
このニュースは、会社の情報システム担当だけの話ではありません。私たちは「いつもの相手から来た」という理由でメールを信用します。しかし今回のように、その相手の本物のアカウントが乗っ取られることがあります。
だから、差出人名だけで安全を決めないことが重要です。突然ログインを求めるリンク、急な支払い、普段と違う文体、妙に短い期限があれば、メールへの返信ではなく、いつもの電話番号や別の連絡手段で確認する。ひと手間ですが、連鎖の次の枝にならないための現実的な方法です。
まとめ
講談社の事案は、7月27日の偽ログイン入力から、7月30日の不正ログイン、最大3812件の連絡先情報流出、553件の二次フィッシング送信へ広がりました。同日にパスワード変更とセッション削除が行われ、7月31日には対象者への通知と個人情報保護委員会への報告が行われています。
大事なのは、3812件と553件を混ぜないこと、そして1人の不注意だけで説明を終えないことです。業務アカウントは、本人のメール箱であると同時に、他人へ届く連絡網と信用の束でもある。だから一つの鍵が盗まれると、被害は「盗む→入る→見る→送る」と連鎖する。