日本ハンドセラピィ学会のメール乗っ取り事件から学ぶ、個人・中小企業のメールセキュリティ対策

医療系学会のメールアカウント乗っ取り事件の概要

2025年6月、一般社団法人日本ハンドセラピィ学会で研修会用メールアカウントが第三者に不正アクセスされ、スパムメール送信に悪用される事件が発生しました。

被害を受けたのは「sw_test_seminar@jhts.or.jp」というメールアドレスで、6月11日に不審なメールが送信されたとの報告を受けて発覚。学会側は即座にパスワード変更を実施し、メールシステム全体のログ調査を開始しています。

フォレンジック調査を行っていると、医療系や学術系の団体が狙われるケースを多く目にします。その理由は明確です。

信頼性の高い送信元として悪用される
医療系・学術系のメールアドレスは、受信者にとって「信頼できる送信元」として認識されがちです。攻撃者はこの心理を悪用し、フィッシングメールやマルウェア配信の踏み台として利用します。

セキュリティ意識の温度差
専門分野に集中している組織では、ITセキュリティが後回しになりがちです。パスワード管理や多要素認証の導入が遅れることで、攻撃者にとって格好の標的となってしまいます。

CSIRT（Computer Security Incident Response Team）として対応した実際の事例をご紹介します。

経理担当者のメールアカウントが乗っ取られ、取引先に偽の請求書を送信。被害額は約200万円。原因は「password123」という脆弱なパスワードの使用でした。

院長のメールから患者情報を含む不審なメールが大量送信。幸い患者情報の大規模流出は免れましたが、信頼回復に半年以上を要しました。

これらの事例で共通していたのは、基本的なセキュリティ対策が不十分だったことです。

以下の条件を満たすパスワードを設定しましょう：

パスワードが漏洩しても、追加の認証要素があれば不正ログインを防げます。Google Authenticatorなどのアプリを活用しましょう。

不審なログイン履歴がないか、月1回程度はチェックしましょう。普段使わない時間帯や場所からのアクセスは要注意です。

メールセキュリティは単体では成り立ちません。アンチウイルスソフトで端末レベルからの保護を行い、VPN で通信経路も暗号化することで、多層防御を実現できます。

技術的対策と同じくらい重要なのが、人的対策です。

「間違ってクリックしてしまった」「変なメールが届いた」など、気軽に報告できる雰囲気を作ることが大切です。隠蔽は被害を拡大させる原因になります。

今回の日本ハンドセラピィ学会の事例は、どの組織にも起こりうる身近な脅威です。幸い、迅速な対応により大きな被害は避けられましたが、対策が遅れていれば深刻な事態に発展していた可能性があります。

個人や中小企業こそ、基本的なセキュリティ対策を徹底することが重要です。「うちは狙われない」という油断が、最も危険な状態を生み出します。

メールセキュリティは、アンチウイルスソフトによる端末保護とVPN による通信保護を組み合わせることで、より強固な防御を実現できます。小さな投資で大きな安心を得られるのが、現代のセキュリティ対策の特徴です。