海外子会社でM365に不正アクセス、スパムの踏み台に - TEIKOKU
【TEIKOKU】海外子会社でMicrosoft 365に不正アクセス。従業員アカウントがスパムメールの「踏み台」にされた脅威の現実
シンガポール子会社で発生した「Microsoft 365」アカウント乗っ取りの経緯
同社の公式発表によると、今回のサイバーインシデントの舞台となったのは、シンガポールに拠点を置く販売子会社「TEIKOKU SOUTH ASIA」です。
事象が発覚したのは2026年4月24日のこと。同社のセキュリティシステムにおいて、特定の不審なメールに関する報告が急激に集中したため、同社が詳細な内部調査を行ったところ、従業員1名が利用している「Microsoft 365アカウント」への不正アクセスが成功していた事実が判明しました。
ハッカーは該当アカウントの管理権限を奪取したのち、その子会社の正規の取引先メールアドレスに向けて、大量の迷惑（スパム）メールを送信。さらに、該当アカウント宛てに過去に送信されていた業務メールや機密情報についても、第三者によって不正に閲覧された可能性が極めて高いとされています。
TEIKOKUが講じた緊急セキュリティ対策と二次被害への警戒
不正アクセスの検知を受け、TEIKOKU側は即座に被害の拡大を食い止めるための緊急措置を実行しました。
- 全アカウントの強制ログアウト：セッションを一度すべて切断し、攻撃者の接続を遮断。
- パスワードの強制変更：乗っ取られた、あるいは漏洩した可能性のある認証情報をリセット。
- 取引先への注意喚起：実際に迷惑メールが送信されてしまった対象の取引先に対し、速やかに事実を報告し、不審な添付ファイルなどを開かないよう連絡。
「従業員アカウント1つの乗っ取り」が、企業へ致命傷を与える理由
今回のTEIKOKUの事例は、「たった1名のアカウント侵害」が企業ブランドと顧客との信頼関係にいかに大きなダメージを与えるかを物語っています。ハッカーにとって、企業のMicrosoft 365やGoogle Workspaceといったクラウドメールを乗っ取ることは、単にスパムを大量送信する以上の価値を持ちます。
最大の脅威は、本物の従業員のメールアドレスから、本物の取引先に向けてメールが送られる点です。これにより、受信側は「いつもの取引先からの連絡」だと完全に信じ込み、ウイルス付きの添付ファイルを開いてしまったり、巧妙に偽装された請求書に応じて詐欺口座に送金してしまう「ビジネスメール詐欺（BEC）」の被害に直結しやすくなります。
特に東南アジアなどの海外拠点・子会社は、日本国内の本社ほど多要素認証（MFA）などのセキュリティ統制が厳格に運用されていないケースが多く、格好の「踏み台」として狙われます。一人のログイン情報の漏洩が、グループ全体の信頼失墜の引き金になるという現実を、全社的な教訓とすべきです。
まとめ：現時点で未公開の論点と今後の焦点
今回の公表においてTEIKOKUは、アカウントの乗っ取りを確認し、即時対応を完了した事実を透明性高く伝えています。
一方で、なぜその従業員のアカウント情報が外部に漏れてしまったのか（フィッシング詐欺によるものか、あるいはマルウェア感染によるものか）という具体的な原因や、メール閲覧による情報流出の最終的な被害規模、実害の有無などについては、現時点では明らかにされていません。企業のガバナンス体制も含め、今後のさらなる詳細報告が注目されます。
