小田原エンジニアリングのメール不正アクセス — 出向社員のアカウントが約5か月閲覧され、なりすましの入金指示で取引先に金銭被害が出た経緯と備え

小田原エンジニアリングのメール不正アクセスとは

2026年9月15日、株式会社小田原エンジニアリングは、ドイツの子会社 Odawara Automation Deutschland GmbH へ出向していた従業員のメールアカウントが第三者の不正アクセスを受け、取引先の個人情報が閲覧された可能性があると発表しました。調査の結果、第三者は2026年3月27日から8月31日までの間、このアカウントに継続的にアクセスし、メールを閲覧していたことが分かっています。同社はモーター・コイル用の巻線設備を開発・製造する産業機械のメーカーで、米国や中国などにもグループ会社と拠点を持っています。

被害はメールの閲覧だけにとどまりませんでした。第三者が従業員になりすまし、取引先に入金を指示するメールを送ったことで、一部の取引先に金銭的な被害が生じています。同社は被害を受けた取引先と連携して拡大の防止に取り組み、そのほかの取引先については、被害の有無を含めて個別に調べていると説明しました。

発覚から公表までの経緯

不正アクセスの痕跡が見つかったのは8月31日で、同社はその日のうちにパスワードの変更と全セッションの強制ログアウトを行いました。そのうえで監査ログを解析し、さかのぼって3月27日からアクセスが続いていたことを突き止めています。

閲覧された可能性のある情報と、取引先への影響

対象は、この従業員1名と取引先の担当者との間で送受信されたメールです。第三者がアクセスした時点で受信箱に保存されていた過去のメールも閲覧の対象になっており、最も古いものには2018年のメールが含まれていました。

同社は取引先に向けて、振込先口座、支払条件、担当者、連絡先の変更を同社名で連絡してきた場合は、手続きを進めずに窓口へ知らせてほしいと呼びかけています。あわせて、差出人のアドレスをドメインまで確かめること、心当たりのない添付ファイルやリンクを開かないことも求めました。パスワードや認証情報、クレジットカード情報をメールや電話で尋ねることはない、とも明記しています。

メールアカウントが乗っ取られると、なぜ取引先がお金を失うのか

メールアカウントが乗っ取られると、攻撃者は取引の相手、時期、金額、言い回しを知ったうえで、本物と見分けにくい支払いの依頼を送れるようになるからです。受け取った取引先から見れば、いつもの相手から、いつもの用件で届いたメールにしか見えません。小田原エンジニアリングの発表も、第三者が正規のやり取りを閲覧していたとみられると説明しています。

受信箱は、偽の依頼をつくる材料の置き場所になる

1つのメールアカウントには、何年分もの取引の記録が残っています。今回も、閲覧された範囲は2018年のメールにまで及んでいました。取引先の担当者の名前、請求書を送る時期、署名の書き方、相手との関係の温度感まで読み取れれば、偽の依頼を自然な流れの中に差し込めます。

IPAは、取引先との請求書の偽装をビジネスメール詐欺の代表的な型の1つに挙げています。攻撃者が取引のメールを何らかの方法で事前に盗み見て、取引の情報や担当者の名前を手に入れていることがある、という説明です。今回の事例は、まさにこの型の前提がそろった状態だったといえます。

入口は自社のメールでも、お金を失うのは支払う側

この事例で金銭的な被害を受けたのは、小田原エンジニアリングではなく、入金の指示を受け取った取引先でした。メールを読まれた会社と、お金を失う会社が別になるところに、メールアカウントの侵害の重さがあります。当社代表の青山も、総合解説「サプライチェーン攻撃の起点は中小企業にある」でこの事例に触れ、メールの閲覧だけでは小さく見える被害が、取引の文脈を知られることで取引先の金銭被害になると解説しています。

発覚後に同社が取った対応

同社が発表した対応は、アカウントを取り戻す作業、侵入の経路を狭める作業、影響を確かめる作業の3つに分けられます。いずれも、メールアカウントの侵害が分かったときに、ほかの会社がそのまま手順として使える内容です。

ビジネスメール詐欺で取引先の多い企業が狙われる理由

取引先が多く、請求と入金のやり取りをメールで回している企業ほど、攻撃者にとって偽の依頼を紛れ込ませる機会が多くなります。とくに海外拠点や出向者のアカウントは、本社とは別のメール環境で、時差を挟みながら使われている場合があり、本社の管理や確認の手順が届きにくくなりがちです。攻撃者が見ているのは会社の規模ではなく、ログインできる入口と、その先にある取引の情報だと考えておくべきでしょう。

メールアカウントの乗っ取りを防ぐには？取引先を守る3つの対策

取引先の多い企業が優先したいのは、①拠点や出向先を問わず、メールのログインに多要素認証と接続元の制限をかける、②ログインの記録と転送の設定を定期的に見直す、③入金や振込先の変更をメール以外の経路で確かめるルールを取引先と共有する、の3つです。①で入られにくくし、②で入られたときに早く気づき、③で読まれた情報が悪用されても送金まで進ませない、という組み合わせになります。

対策1：拠点や出向先を問わず、メールのログインに多要素認証と接続元の制限をかける

メールアカウントの乗っ取りに対していちばん効くのは、パスワードだけではログインできない状態を、すべての拠点のアカウントにそろえて作ることです。小田原エンジニアリングも、発覚の後に拠点外からのアクセスで多要素認証を必須にしました。侵入の方法は公表されていませんが、IDとパスワードが攻撃者の手に渡ったとしても、2つ目の認証が求められれば、その先には進みにくくなります。

IPAもビジネスメール詐欺の対策として、推測されにくいパスワードを設定して使い回さないこと、メールシステムに多要素認証やアクセス制限を入れることを挙げています。Microsoft 365 や Google Workspace のようなクラウドのメールなら、管理画面から組織全体に設定を強制できます。

1. 本社、海外拠点、出向者、共有アドレス、退職者のものまで含めて、すべてのメールアカウントを1つの表にまとめる
2. 管理画面で、全員に多要素認証を必須にする（スマートフォンのアプリでの承認や、ワンタイムパスワードなど）
3. パスワードだけで接続できる古いメールソフトの接続方式を止め、多要素認証を通らない経路を残さない
4. 業務で使う国やIPアドレスからだけログインを許す「接続元の制限」を、使える範囲で設定する
5. パスワードの漏えいが疑われたときに、変更と全セッションの強制ログアウトを誰が行うかを決めておく

判断の目安は、「どの拠点のどのアカウントでも、IDとパスワードだけでは外からログインできない」状態です。落とし穴は、海外拠点や出向者のアカウントが本社とは別の契約や管理者のもとにあり、設定の対象から漏れてしまうことでしょう。出張や時差を理由にした例外も、そのまま入口として残りがちです。担当は本社の情報システム部門で、海外拠点の管理者と連絡を取りながら進めれば、1〜2週間で全アカウントに行き渡らせられます。

対策2：ログインの記録と転送の設定を定期的に見直し、「読まれている」状態に早く気づく

2つ目は、入られた場合に、それを短い期間で見つけられるようにする備えです。小田原エンジニアリングの事例では、アクセスが始まってから痕跡が見つかるまで約5か月がかかっていました。同社は発覚後に監査ログを解析して影響の範囲を調べ、不正なログインの試みが成功していないかを日次で監視しています。

メールアカウントに入った攻撃者は一般に、気づかれずに読み続けるために、受信したメールを外部へ自動で転送したり、特定の件名のメールを見えない場所へ移す振り分けの設定を足したりすることがあります。そのため、ログインの記録とあわせて、メールボックスの設定そのものを点検の対象にするのが効果的です。

判断の目安は、「普段と違う場所からのログインに、1週間以内に誰かが気づける」状態です。落とし穴は、ログの保存期間が契約しているプランによって異なり、気づいたときにはさかのぼれないことにあります。必要な期間を先に確かめ、足りなければ定期的に書き出して保管しておけば、調査の範囲を後から特定できます。担当は情報システムの担当者で、通知の設定に半日、その後は月1回、30分ほどの確認で回せる作業です。

対策3：入金や振込先の変更は、メール以外の経路で確かめるルールを取引先と共有する

3つ目は、読まれた情報が悪用されたとしても、実際の送金まで進ませない仕組みをつくることです。この事例で金銭的な被害を受けたのは取引先でした。そこで、請求する側と支払う側の両方が同じルールを持ち、「メールだけでは口座も支払条件も変わらない」状態をつくっておくことが、取引先を守る直接の手段になります。

IPAは、急な振込先や決済手段の変更があった場合に、取引先へメール以外の方法で確認するよう、電信送金に関する社内規程を整えることを勧めています。請求する側に立って進めるなら、次の手順が実務に合います。

1. 「当社は振込先口座や支払条件の変更を、メールだけで依頼することはない」と、請求書、取引の案内、メールの署名に書いて、取引先に先に伝えておく
2. 口座を本当に変えるときは、書面に加えて、取引先が以前から登録している電話番号へ当社から連絡し、二重に伝える
3. 支払う側に立つときは、初めての口座、海外の口座、急ぎを強調する依頼のどれかに当たれば、登録済みの電話番号で折り返して確かめる
4. 変更の登録は、受け付けた担当とは別の人が承認する
5. 万一に備えて、取引先へ一斉に注意を呼びかける文面と、問い合わせの窓口を用意しておく

判断の目安は、「すべての取引先が、当社名義の口座変更はメールだけでは成立しないと知っている」状態です。落とし穴は、海外の取引先に日本語だけで案内して伝わっていないことや、担当者が替わった時点でルールが引き継がれないことでしょう。英語など取引先の言葉でも案内を用意し、担当の交代時に取引先へ改めて伝える手順を入れておくと、ルールが形だけになりません。経理の責任者と営業の責任者が組んで、1〜2日で整えられる内容です。

メールの侵害に備える役割分担：社内で固めることと、ガーディアンが担うこと

メールアカウントの守りと送金の確認の手順は、社内で固める領域です。一方で、自社のドメインを名乗る偽のメールへの備えや、取引先が最初に確かめる公式サイトの運用は、当社に任せると早く整います。役割を2列に分けると次のとおりです。

自社のドメインを名乗る偽メールへの備えは、SCSC Dog に任せる

SPF・DKIM・DMARC は、メールが本当にその会社のドメインから送られたものかを、受け取る側が確かめるための設定です。とくに DMARC では、確かめに通らなかったメールの扱いを送信側が指定でき、届くレポートから自社のドメインがどこで名乗られているかもつかめます。SCSC Dog は、この3つをホームページの運用と合わせて標準で整えます。同じ運用の仕組みが、2026年10月時点で76,325のサイトを支えています。

取引先が確かめに来る公式サイトと、拠点のWebを止めない

なりすましの依頼に気づいた取引先が真っ先に開くのは、公式サイトの窓口とお知らせです。SCSC Dog なら更新と24時間365日の有人監視を当社が担うため、社内が調査で手一杯の時期にも案内を出し続けられます。海外拠点やグループ会社のWebサイトは SCAN DOG ライト版で一度に洗い出し、継続して見たいものは SCAN DOG 正規版で定期的に確かめる使い分けが向いています。

SCS評価制度で問われる、認証とパスワードの管理

SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）は、セキュリティ対策の水準を★の数で表す任意の制度です。★3・★4の申請受付は2026年度末に始まる予定で、取引そのものを規制する制度ではありませんが、海外を含む取引先から評価の取得や同等の対策を求められる場面は出てくると考えられます。

この事例に関わるのは、★3の要求事項「4-1-3 認証の強度・実装方法の決定」と「4-1-6 パスワード管理ルール」です。前者では、重要な機密情報を扱うクラウドサービスに利用者と管理者がアクセスするとき、常に多要素認証を使うことが求められます。後者では、パスワードの漏えいが分かったとき、またはその疑いがあるときに、速やかに変更する手順を定めておくことが求められています（IPA「★3・★4 要求事項・評価基準」）。対策1の5つ目の手順は、後者の要求事項にそのまま対応します。制度全体の流れはSCS評価制度への対応を参考にしてください。

まとめ

小田原エンジニアリングの事例では、ドイツの子会社に出向していた従業員のメールアカウントに約5か月アクセスされ、約3,500通のメールが閲覧されました。第三者は従業員になりすまして入金を指示するメールを送り、一部の取引先に金銭的な被害が生じています。

取引先の多い企業が今日から手をつけたいのは、次の3つです。

• 海外拠点や出向者を含むすべてのメールアカウントに、多要素認証と接続元の制限をかける
• ログインの記録、外部への転送、振り分けの設定を、決まった頻度で点検する
• 口座や支払条件の変更はメールだけで成立しないことを、取引先に先に伝えておく

会社のホームページについては、守りの基本と集客の土台を 77's Check!! で無料で点検できます。

よくある質問

あわせて読みたい

• 
  総合解説

  サプライチェーン攻撃の起点は中小企業にある
• 
  事例一覧

  2026年 日系企業のサイバー被害事例一覧
• 
  SCS評価制度

  SCS評価制度への対応