セキュリティニュース

サムティホールディングスとサムティ　利用メールサービスで不正アクセス被害　ヘッダ情報漏洩の可能性

サムティホールディングスとサムティは7日、両社が利用する株式会社TOKAIコミュニケーションズのメールサービス「OneOffice Mail Solution」において、システムログを保管するサーバが第三者による不正アクセスを受け、メールのヘッダ情報が漏洩した可能性があると発表した。ヘッダ情報にはメールアドレスと件名が含まれる。TOKAIコミュニケーションズからは現時点で情報漏洩の事実は確認されていないとの報告を受けているが、不審なメールへの警戒を呼びかけている。

弊社が利用するメールサービスへの不正アクセスに関するお知らせ｜サムティホールディングス株式会社・サムティ株式会社より引用

TOKAIコミュニケーションズのサービスで被害

今回の事案は、サムティグループが利用していたTOKAIコミュニケーションズのメールサービスで発生した不正アクセスに起因する。同サービスのシステムログ保管サーバが攻撃を受け、メールアドレスと件名を含むヘッダ情報が漏洩した可能性があるという。

サムティホールディングスとサムティは、TOKAIコミュニケーションズから現時点で情報漏洩の事実は確認されていないとの報告を受けているとしている。ただし、不審なメール、特にフィッシングメールやスパムメールを受け取った場合には十分に注意するよう顧客や関係者に呼びかけた。

TOKAIコミュニケーションズの複数回の公表

TOKAIコミュニケーションズは2025年12月19日、21日、22日の3回にわたり、「OneOffice Mail Solution」における不正アクセスと個人情報漏洩の可能性について公表している。段階的に被害の詳細が明らかになり、影響範囲が拡大した形だ。

サムティグループは詳細についてTOKAIコミュニケーションズのリリースを確認するよう案内し、本件に関して適切な対応を進めていくとしている。

メールヘッダ情報漏洩のリスク

メールヘッダ情報には送信者と受信者のメールアドレス、件名などが含まれる。これらの情報が漏洩すると、標的型フィッシングメールの材料として悪用されるリスクがある。

攻撃者は実際のメールのやり取りの内容を把握した上で、取引先や関係者を装った巧妙なフィッシングメールを送付できる。件名や送信者情報が実際のメールと関連性を持つため、受信者が本物と誤認しやすく、マルウェア感染や情報窃取につながる恐れがある。

クラウドメールサービスの脆弱性

今回の事案は、企業が利用するクラウド型メールサービスのセキュリティリスクを改めて浮き彫りにした。システムログを保管するサーバが攻撃されたことで、複数の顧客企業に影響が及んでいる。

クラウドサービスは複数の企業が共通のインフラを利用するため、サービス提供者側のセキュリティ侵害が多数の顧客に波及する特性がある。企業はクラウドサービスを選定する際、提供者のセキュリティ対策やインシデント対応能力を慎重に評価する必要がある。

サムティグループの事業概要

サムティホールディングスは不動産開発・賃貸事業などを手がける企業グループの持株会社だ。サムティは同グループの中核企業として、マンション開発や不動産投資事業を展開している。

不動産業界では顧客情報や取引情報など機密性の高い情報を多数扱うため、メール経由での情報漏洩は特に警戒すべきリスクとなる。取引先とのメールのやり取りから契約内容や物件情報などが推測される可能性もある。

複数企業への影響拡大か

TOKAIコミュニケーションズの「OneOffice Mail Solution」は法人向けメールサービスであり、サムティグループ以外にも複数の企業が利用しているとみられる。今後、他の利用企業からも同様の公表が行われる可能性がある。

サービス提供者側のセキュリティインシデントが複数の顧客企業に連鎖的に影響を及ぼすケースは、クラウドサービスの普及に伴い増加傾向にある。2024年から2025年にかけても、クラウドサービスの脆弱性を狙った攻撃が相次いで報告されている。

二次被害への警戒必要

サムティグループは不審なメールへの警戒を呼びかけているが、実際にフィッシングメールが送付される二次被害のリスクは高い。メールアドレスと件名の組み合わせから、取引関係や商談内容を推測し、巧妙に作り込まれたフィッシングメールが作成される恐れがある。

企業の従業員は、たとえ既知の取引先からのメールであっても、不自然な点がないか慎重に確認する必要がある。添付ファイルの開封やリンクのクリックには特に注意が求められる。

今後の対応

サムティグループは「適切な対応を進めていく」としているが、具体的な対策の詳細は明らかにしていない。今後、被害の詳細が判明した場合や、追加の対応が必要となった場合には、改めて公表される見込みだ。

企業がクラウドサービスを利用する際には、サービス提供者とのインシデント発生時の連絡体制や責任範囲を明確にしておくことが重要だ。また、定期的なセキュリティ監査やログの確認なども、リスク管理の観点から欠かせない取り組みとなる。

関連記事

著者紹介：CCSIセキュリティメディア編集部

CCSIセキュリティメディア編集部 サイバーセキュリティメディア、CCSI編集部です。


カテゴリ：
タグ：