メールボックスが盗まれるとき ― JSTの1万6000件漏えいが示す取引先への波及
科学技術振興機構（JST）が保有する役職員12名のメールボックスが不正アクセスを受け、外部の取引先アドレスを含む約1万6,000件のメール情報が漏えいした可能性がある。自組織の侵害が、関与のない取引先企業のアドレス情報流出に直結する構造を、このインシデントは鮮明に示している。
背景
JSTは2026年7月28日、外部機関からの情報提供を端緒として本件を把握した。自力での検知ではなく、外部からの通報によって初めて侵害を認識した点が特筆される。調査の結果、役職員12名分のメールボックスが不正アクセスの対象となっており、メール情報約16,000件、外部とやり取りした相手先メールアドレス約1,300件、および役職員自身のアドレス約1,000件が漏えいした可能性があると公表された（2026年8月7日付）。悪用されたアクセス経路はすでに遮断済みとされているが、漏えいしたアドレス情報がどこへ流通したかは現時点で確認されていない。JSTは公的な研究資金配分機関であり、大学・企業・省庁など広範なステークホルダーと日常的にメールでやり取りをしていることから、影響の輪は組織の外側に広く及ぶ。
リスクの全体像
今回の漏えいが情シス・広報担当者にとって重大な理由は、被害の起点がJST側にあるにもかかわらず、実害を受けるリスクが取引先に転嫁される非対称性にある。流出した約1,300件の外部アドレスは、JSTとのやり取りがあった企業・研究機関・行政の担当者を含む。攻撃者がこのリストを活用する典型的な脅威モデルは二段階だ。①JSTとの文脈を偽装した標的型フィッシングメールを取引先担当者へ送付し、認証情報やマルウェアを仕掛ける。②取引先の内部に侵入した後、そこを踏み台にさらに広い組織へ横展開する。取引先の情シス担当者はJSTとの取引実績があるため、「JSTからのメール」に対するガードが下がりやすく、フィッシングの成功率が高まる。自組織がJSTと取引関係にあるにもかかわらず、インシデントの一報を能動的に受け取れなかった企業は、現時点でも攻撃の射程内に入っている可能性を排除できない。
チェックリスト
- 自社の担当者がJSTとメールでやり取りした実績があるか過去1〜2年のメールログを確認し、対象者を特定する
- 特定した担当者のメールアカウントに対し、2026年7月以降に不審なログイン試行・転送ルールの追加・パスワードリセットが発生していないかを点検する
- JSTを名乗る・件名にJSTプロジェクト名を含む受信メールを対象に、送信元ドメインのSPF／DKIM／DMARC整合性をさかのぼり確認する
- 広報として、取引先への注意喚起コミュニケーションが必要かどうかを法務・経営層と協議し、対応方針を記録しておく
- JSTの公表ページ（2026年8月7日付）を参照し、自社が追加情報の提供対象となっているかを確認する連絡窓口を把握する
打ち手
優先度①：JSTとの取引担当者を特定し、当該アカウントのサインインログと受信トレイルールを48時間以内に確認する。優先度②：対象者のパスワードをリセットし、多要素認証が有効になっていることを検証する。優先度③：広報と情シスが連携し、JSTを騙った不審メールが届いた場合の社内報告フローを従業員へ周知する。優先度④：JSTからの追加発表を継続監視し、漏えいアドレスリストに自社ドメインが含まれるか確認できる情報開示があれば即時対応に移行する。
漏えいは自組織で完結しない。取引先こそが次の標的になる。
あわせて読みたい
- BEC（ビジネスメール詐欺）とは？ 手口・典型シナリオ・対策・被害時対応まで完全ガイド
- 【はじめてのセキュリティ 第3回】メールとフィッシング ― だます攻撃の見抜き方
- フィッシング詐欺とは？ 手口・見分け方・対策・被害時の対応まで完全ガイド
Omamori AI の結論
- 事実: JSTの役職員12名のメールボックスが侵害され、外部取引先アドレス約1,300件を含む約16,000件のメール情報が漏えいした可能性がある。発覚は外部機関の情報提供によるものであり、JSTは自力で検知できなかった。
- 判断軸: JSTとメールでやり取りのある企業・機関は、自組織が直接攻撃されていなくても、漏えいしたアドレスリストを悪用した標的型フィッシングの対象となりうる。取引関係の有無を確認し、リスクの所在を自組織内に明確に位置づけることが判断の出発点となる。
- 打ち手: 取引担当者の特定→アカウントログ点検→多要素認証の確認→社内周知の順で対応を進め、JSTの追加発表を継続的にモニタリングする。広報は対外的な問い合わせ対応方針を経営層と事前合意しておく。
経営者視点で考えるべきこと
取締役会が認識すべきは、今回のリスクが「JSTの問題」として外部化できない点だ。自社担当者のアドレスがJSTのメールボックスに存在していた場合、善管注意義務の観点から「取引先インシデントを把握した後に適切な対処をしたか」が問われる。個人情報保護法上、自社が保有する個人情報への影響が生じた場合は自社での管理責任が発生する。フィッシング被害が社内で発生し業務停止や情報流出に至れば、事業継続性と顧客・株主への説明責任が直結する問題となる。一方、今回必要な対応（ログ確認・MFA検証・社内周知）は大規模なシステム投資を要さない。経営層がこれを「取引先のインシデント」と判断して放置するコストは、実際の被害発生時の損害対応コストと比較して著しく非合理である。意思決定の記録を残すことも含め、今の時点で方針を決めることがリスク管理の証拠となる。
