【ITニュース解説】Nikkei Confirms Breach After 9,000 Phishing Emails Sent From Hacked Employee Account

日経が最近発表した二つの情報漏洩事件は、現代のサイバーセキュリティの脅威と、その対策の難しさを浮き彫りにした事例だ。システムエンジニアを目指す皆さんにとって、これは情報セキュリティの現実を理解するための重要な教訓となる。

一つ目の事件は、9月に発生したMicrosoft 365アカウントの不正アクセスに関するものだ。日経の従業員が使用していたMicrosoft 365アカウントが、外部の攻撃者によって乗っ取られた。攻撃者は、この正規の従業員アカウントを悪用し、9月30日に約9,000通ものフィッシングメールを送信した。これらのメールは、日経の社内スタッフだけでなく、外部の取材対象者やビジネス上の連絡先にも送られたという。この不正アクセスにより、フィッシングメールの受信者の氏名やメールアドレス、そして一部のケースではメールの内容までが、攻撃者に知られてしまった可能性がある。

二つ目の事件は、Google Workspaceアカウントの不正アクセスに関するもので、こちらはさらに早く、7月下旬から始まっていた。別の従業員のGoogle Workspaceアカウントが、権限のない第三者によってアクセスされていたことが、Googleからの通知を通じて8月上旬に日経によって把握された。この不正アクセスでは、日経の従業員およびビジネスパートナー1,646人分の氏名とメールアドレスが危険にさらされた可能性がある。日経は、このGoogle Workspaceの不正アクセスでは、読者やジャーナリストの情報源に関する情報は漏洩していないとしている。

今回の事件で特に注目すべきは、Microsoft 365アカウントからのフィッシングメールの件だ。多くのフィッシング詐欺は、偽装されたメールアドレスやドメイン、例えば「nikkei-support-security.net」のような、本物とは異なるアドレスから送られるため、受信者が怪しいと気づきやすい。しかし、今回のフィッシングメールは、日経の正規の従業員アカウント、つまり本物のドメインから送信されたという点が、従来のフィッシング詐欺と決定的に異なっていた。

この「本物の送信元」という特徴は、二つの深刻な問題を引き起こした。まず、正規の送信元からのメールは、一般的なスパムフィルターを容易にすり抜けてしまう。これにより、フィッシングメールが受信者のメインの受信トレイに直接届きやすくなった。次に、受信者が「日経の従業員からのメール」と認識するため、警戒心を持つことなくメールを開き、本文中に含まれる悪意のあるリンクをクリックしてしまう可能性が非常に高かった。攻撃者は、このような正規のアカウントからの送信という「信頼性」を悪用したのだ。メールの受信者の中には、ジャーナリストの情報源や過去に日経とやり取りのあった人々が含まれており、彼らにとって日経の記者からのメールを開くことは、ごく自然な行為だった。

実際に、この巧妙な攻撃は被害を生んだ。日経グループ会社の一つである日経BPの従業員が、この9,000通のフィッシングメールの一つを受信し、本文中の悪意のあるリンクをクリックして、誤って自身の認証情報（ユーザー名とパスワード）を入力してしまったのだ。これにより、攻撃者はその従業員のアカウントを乗っ取り、そこから26件の個人情報（氏名とメールアドレス）が漏洩した可能性がある。この事例は、攻撃者が正規のドメインを利用することで、わずか数日で目的を達成し、二次的な情報漏洩を引き起こす可能性を明確に示している。

この事件は、システムエンジニアを目指す皆さんにとって、情報セキュリティにおけるいくつかの重要な教訓を示している。 まず、**「信頼できる送信元からのメッセージであっても、常に疑ってかかる」**という心構えが非常に重要だ。従来のセキュリティ教育では「送信元を確認しよう」と教えられてきたが、今回のケースではその「確認」だけでは不十分だった。メールの内容や、リンクの先に何があるのかを、より慎重に判断する必要がある。 次に、多要素認証（MFA）の導入の重要性が改めて浮き彫りになった。日経BPの従業員はフィッシングページでパスワードを盗まれたが、もしそのアカウントで多要素認証が有効になっていれば、パスワードだけではアカウントを乗っ取られることはなかった。パスワードに加えて、スマートフォンアプリでの認証や生体認証など、複数の要素を組み合わせることで、たとえパスワードが漏洩しても不正アクセスを防ぐことが可能になる。これは、アカウントセキュリティにおける基本的で非常に強力な防御策だ。

さらに、この事件はメールエイリアス（別名）の活用という、少し高度な対策の有効性も示唆している。メールエイリアスとは、一つのメールボックスに対して複数のメールアドレスを割り当てることだ。もし、日経とのやり取りに専用のエイリアスアドレスを使用していれば、そのエイリアス宛に「セキュリティ更新」や「アカウント確認」といった、本来の目的とは異なる内容のメールが届いた場合、すぐに不審なメールであると判断できたかもしれない。これにより、どのサービスから情報が漏洩したのかを特定しやすくなる利点もある。

情報漏洩が発生した場合に備え、個人の対策も重要となる。もし過去に日経の担当者とメールでやり取りをしたことがある場合、自身の氏名やメールアドレスが今回送信された9,000通のメールのリストに含まれている可能性があると仮定し、以下の点に注意する必要がある。 まず、9月30日ごろに受信した覚えのない日経からのメールはすぐに削除し、決して本文中のリンクをクリックしない。 次に、今後も同様の攻撃が続く可能性を考慮し、「日経のセキュリティ更新」や「個人情報確認」を装ったメールには最大限の警戒が必要だ。正規の連絡が必要な場合は、メール内のリンクではなく、自身で日経の公式サイトなどで連絡先を調べて確認することが推奨される。 そして、自分のメールアカウントで多要素認証を必ず有効にすること。これは、不正アクセスから自分を守るための最も効果的な手段の一つだ。

今回の事件に関して、まだ完全に解明されていない点も多い。例えば、最初の不正アクセスの侵入経路（どのようにして従業員のアカウントが乗っ取られたのか）、攻撃者の正体、そして二つの情報漏洩事件（Microsoft 365とGoogle Workspace）が関連しているか否かなどは、現在のところ不明だ。日経は今後、これらの詳細について調査結果を発表する可能性があるため、ITニュースや日経自身の発表に引き続き注目することが重要だ。

今回の事件は、どんなに強固なシステムがあっても、人間が介在する限りは脆弱性が存在し、そこを巧妙に突く攻撃が後を絶たないことを示している。システムエンジニアを目指す皆さんには、このような現実の脅威を深く理解し、技術的な対策だけでなく、システム利用者のセキュリティ意識を高めるための教育や、運用上の工夫も、情報セキュリティにおいては非常に重要であることを心に留めておいてほしい。セキュリティは、システムと人間の両面から守る必要があるのだ。