e-Mobility Power社で発生したメール乗っ取り事件の概要
2025年10月18日、株式会社e-Mobility Powerの充電サービスシステムで利用しているメールサービスが不正アクセスを受け、同社のメールアカウントが踏み台として悪用される深刻なセキュリティインシデントが発生しました。
攻撃者は同社ドメインを装った「noreply@e-mobipower.co.jp」を悪用し、13:58から14:17までの約20分間という短時間で、国内外に大量の迷惑メールを送信したのです。
フォレンジックアナリストの視点から言えば、この手口は典型的な「メールアカウント乗っ取り攻撃」で、近年企業を標的とした攻撃手法として急増しています。攻撃者は正規のメールアカウントを乗っ取ることで、受信者からの信頼を悪用し、より効果的にマルウェアの配布やフィッシング詐欺を行うことができます。
メール乗っ取り攻撃の手口と被害の実態
一般的な攻撃手順
メール乗っ取り攻撃は以下の手順で実行されることが多いです：
- 初期侵入：フィッシングメールやパスワード推測攻撃によりアカウント情報を窃取
- アカウント乗っ取り：窃取した認証情報でメールアカウントにログイン
- 踏み台化：正規のメールアカウントから大量のスパムメールを送信
- 被害拡散：受信者が信頼できる送信者と誤認し、添付ファイルやリンクをクリック
企業への深刻な影響
メールアカウント乗っ取りによる被害は想像以上に深刻です。私がCSIRTで対応した過去の事例では、中小企業の営業部長のメールアカウントが乗っ取られ、取引先に偽の請求書が大量送信されたケースがありました。
その結果、以下のような被害が発生しました：
- 信頼関係の失墜による取引停止
- スパムメール送信による外部からの苦情対応
- システム復旧に数週間を要した業務停止
- セキュリティ対策強化に数百万円のコスト
個人と企業が今すぐできる効果的な対策
個人ユーザーの対策
今回のe-Mobility Power社の事例のような不審なメールを受信した場合の対処法：
- 添付ファイルを絶対に開かない：マルウェア感染のリスクが高い
- 本文中のURLをクリックしない：フィッシングサイトへの誘導の可能性
- メールごと削除する：転送や返信も避ける
- 送信元企業に直接確認：公式サイトの問い合わせ先に連絡
さらに重要なのは、日頃からの予防対策です。信頼性の高いアンチウイルスソフト
を導入することで、メール経由のマルウェアを事前に検知・ブロックできます。特に最新のAI技術を搭載した製品は、従来のシグネチャベースでは検出困難な新種のマルウェアも効果的に防御します。
企業のメールセキュリティ強化策
企業においては、以下の多層防御が不可欠です：
技術的対策
- 二要素認証の導入：パスワードだけでなく、スマートフォンアプリやSMSによる認証
- メールセキュリティゲートウェイ：送受信メールの全量スキャン
- DMARC/SPF/DKIM設定：なりすましメール対策
- 定期的なパスワード変更：強固なパスワードポリシーの策定
運用面の対策
- セキュリティ教育の徹底：従業員への定期的な研修実施
- インシデント対応体制：緊急時の連絡体制と対処手順の明確化
- ログ監視の強化：異常なメール送信パターンの早期検知
Webサイトの脆弱性も同時にチェックを
メール乗っ取り攻撃の多くは、企業のWebサイトやWebアプリケーションの脆弱性を突破口とすることがあります。攻撃者は以下の手順で企業システムに侵入します：
- Webサイトの脆弱性をスキャンして侵入口を特定
- SQLインジェクションやクロスサイトスクリプティングでシステムに侵入
- メールサーバーの認証情報を窃取
- 正規アカウントでメール送信を実行
このような複合的な攻撃を防ぐためには、定期的なWebサイト脆弱性診断サービス
が欠かせません。専門業者による診断では、自社では発見困難な潜在的な脆弱性を網羅的に検出し、具体的な対策方法まで提案してもらえます。
リモートワーク環境でのセキュリティ強化
昨今のリモートワークの普及により、従業員が社外から企業メールにアクセスする機会が増加しています。公衆Wi-Fiなどの不安定な通信環境では、メールアカウントの認証情報が盗聴される危険性が高まります。
そこで重要なのが、信頼性の高いVPN
の活用です。VPN接続により通信内容が暗号化され、たとえ悪意のある第三者がネットワークを監視していても、認証情報やメール内容を盗み見られる心配がありません。
特に企業の機密情報を扱うメール通信では、VPN接続は必須のセキュリティ対策と言えるでしょう。
まとめ：多層防御でメール乗っ取り攻撃を阻止
今回のe-Mobility Power社の事例は、どんな企業でも標的となりうるメール乗っ取り攻撃の脅威を改めて示しました。幸い個人情報の漏洩は確認されていませんが、企業の信頼性に与える影響は深刻です。
個人ユーザーは信頼できるアンチウイルスソフト
とVPN
の導入で基本的な防御を固め、企業はWebサイト脆弱性診断サービス
による潜在的リスクの発見と対策が重要です。
サイバー攻撃は日々進化していますが、適切な対策を講じることで被害を最小限に抑えることができます。今回の事例を教訓に、自社のメールセキュリティ体制を見直してみてはいかがでしょうか。
一次情報または関連リンク
e-Mobility Power、大量スパムメール送信を確認、個人データ流出は検出されず
