概要
日本経済新聞社は10月4日、社員が利用する「Microsoft 365」および「Google Workspace」のアカウントに第三者が不正ログインしていたと公表した。Microsoft 365のアカウントからは9月30日、社内スタッフや複数の取材先になりすました偽装メールが約9000件送信され、送信先の氏名やメールアドレス、一部メール本文の内容が漏洩した可能性がある。これらのメールには悪性サイトへ誘導する内容が含まれていたという。同社はパスワード変更後、追加の不正ログインは確認されていないとしている。
Google Workspaceでも別の侵害が発覚
Microsoft 365の事案とは別に、Google Workspaceのアカウントでも7月下旬以降に不正ログインが発生していたことが判明した。発覚したのは8月上旬で、グーグルからの通知がきっかけだったという。この事案では社員や取引先など計1646人分のメールアドレスと氏名が漏洩した恐れがあると追加で発表された。読者や取材先の個人情報は対象に含まれておらず、現時点で二次被害は確認されていないとしている。同社はいずれの事案についても個人情報保護委員会に報告し、被害範囲や漏洩件数の調査を進めている。
なお、関連会社の日経BPでも同時期に従業員のメールアカウントが侵害されており、フィッシングメールによって認証情報を盗まれたことで氏名・メールアドレスなど26件の個人情報が漏えいしたことが明らかになっている。今回の日経本体の事案で使われた手口とまったく同じかは明言されていないが、日経BPの事案は日本経済新聞社の社員のメールアドレスから届いたフィッシングメールが発端となっており、両事案には関連がある。
読者・取材先への影響と対応
日経は、なりすましメールの送信先に個別に連絡し、メールの削除を要請するとともに、関係者を名乗る不審なメールへの注意を呼びかけている。大手報道機関のアカウントが乗っ取られて取材先や社内外に偽装メールが拡散した今回のケースは、報道機関としての信頼性低下だけでなく、取材先の情報が外部に流出するリスクを伴う点で影響が大きい。同社は不審メールの報告体制強化などのセキュリティ対策を進める方針を示しており、今後の調査結果や再発防止策の発表が注目される。