日経新聞の社員アカウントが乗っ取られ、なりすましメール約9,000件——「本物のアドレスから届く詐欺」への備え

2026年10月4日、日本経済新聞社が、社員の業務ソフト「マイクロソフト365」のアカウントへの不正ログインで、社員になりすましたメール約9,000件が取材先などに送られたと発表しました。送信元は、乗っ取られた本物の社員のアドレスです。「送信元を確認する」だけでは見抜けない詐欺メールへの備えを解説します。

普段やりとりのある相手から届いたメールなら、つい安心して開いてしまいます。今回のように相手のアカウントそのものが乗っ取られると、その安心が狙われます。受け取る側と、アカウントを守る会社の側の両方から整理します。

何が起きたのか

日本経済新聞社は、10月4日に2件の不正ログインを公表しました。

同社は、同社やグループ会社の関係者を装ったメールが増える可能性があるとして注意を呼びかけています。

本物のアドレスから届く詐欺は、送信元を見ても見抜けない

詐欺メールの多くは、差出人の表示を偽装しているだけなので、送信元を確かめれば9割は見分けられます。ところが今回のようにアカウントそのものが乗っ取られた場合、メールは正規のサーバーから正規の手順で送られます。送信元のアドレスも、メールの認証の仕組み（SPF・DKIM・DMARC）の判定も、すべて「本物」になります。

差出人の表示が偽装されたメールと、乗っ取られたアカウントから送られたメールの違いは、自分のアドレスから自分宛に届いた警告メール、乗っ取りか偽装かの見分け方で詳しく解説しています。

手がかりになるのは、送信元ではなく中身と文脈です。

• やりとりの流れと関係なく、突然ファイルの共有やログインを求めてくる
• いつもと違う言い回しや、署名・敬称の違和感がある
• リンク先が、その会社やサービスとは関係のないドメインになっている
• 同じ内容のメールが、社内の複数の人に同時に届いている

メールを受け取った側がやること

1. 知っている相手からのリンクでも、ログインを求められたら手を止める

「資料を共有しました」「確認をお願いします」というメールのリンクから、マイクロソフトやグーグルのログイン画面が出てきたら要注意です。本当に相手が送ったものか、電話や別のメールなどメール以外の手段で確認してから開いてください。

2. 入力してしまったら、すぐにパスワードを変える

偽のログイン画面にパスワードを入力してしまった場合は、すぐにパスワードを変更し、2段階認証を設定してください。会社のアカウントなら、情報システムの担当者にも連絡します。入力後の手順はフィッシングに引っかかってしまった後にやるべきことにまとめています。

会社のメールアカウントを守るために

乗っ取られたアカウントは、取引先や顧客を狙う踏み台として使われます。自社が被害者であると同時に、加害の起点にもなってしまうのが、この手口の厄介なところです。

• 2段階認証（多要素認証）を全員に必須にする。パスワードが盗まれても、それだけではログインできなくなります。ただし、設定していても乗っ取られるケースもあるため、これだけで安心しないことが大切です
• 管理者向けの通知を受け取れるようにしておく。今回のグーグルワークスペースの件は、グーグル社からの通知で判明しました。不審なサインインや大量送信の通知が、確実に担当者に届く設定になっているかを確認してください
• 乗っ取られたときの手順を決めておく。パスワードの変更、送信先への連絡、関係先への報告を誰がどの順で行うかを決めておくと、初動が早くなります。症状と対処は会社のメールアカウントが乗っ取られた症状と対処法、連絡の段取りはセキュリティインシデント発生時の連絡フローの作り方で解説しています

まとめ：「知っている相手から」は安全の証明にならない

• 日経新聞の社員のアカウントが乗っ取られ、本物のアドレスからなりすましメール約9,000件が送られた
• 乗っ取られたアカウントからのメールは、送信元も認証も「本物」になる。中身と文脈で疑う
• 会社は、2段階認証の必須化、管理者向けの通知、乗っ取り時の手順の3つを確認する

届いたメールが「差出人を偽装したもの」か「本物のアカウントから送られたもの」かは、メールの配送記録（ヘッダー）を見ると判断できます。BULLCOM Securityの不審メール調査では、配送記録から判定し、その根拠をご説明します。社員向けに、こうした手口を見抜く練習をしたい会社にはセキュリティ講習も承っています。まずはLINEでお気軽にご相談ください（無料）。

参考：日本経済新聞社「サイバー攻撃による情報漏洩、不審メールの送信について」「不正ログインによる情報漏洩について」（いずれも2026年10月4日）