日本経済新聞社 ― 社員のMicrosoft 365からなりすましメール

要点

発表された事実

日本経済新聞社は2026年10月4日、社員が使っていた「マイクロソフト365」のアカウントが第三者に不正ログインされたとみられ、なりすましメール約9000件が送信されたと公表した（日本経済新聞社のお知らせ）。
メールは9月30日、社内と、複数の社員とやりとりがあった取材先などに送られ、悪性サイトに誘導する内容だった。送信先のメールアドレス・氏名と、一部のメールの内容が漏洩したとみられる。パスワード変更後の不正ログインは確認されていない（同上）。
同日、別件として、社員が業務で使う「グーグルワークスペース」のアカウントに7月下旬以降不正ログインがあり、社員や取引先などのメールアドレス・氏名など1646人分が漏洩した疑いがあると発表した。8月上旬にグーグルからの通知で判明。読者や取材先の情報は含まれないとしている（日本経済新聞）。
グループの日経BPも10月4日、従業員が「日本経済新聞社社員のメールアドレスで届いたフィッシングメール」から認証情報を入手され、9月30日にメールアカウントへ不正アクセスされたと公表。流出のおそれがある個人情報は26件（日経BP）。
【2026-10-16追記】日本経済新聞社は10月16日、システム開発に利用するクラウドサービスが不正アクセスを受け、同日時点で約183万件の個人情報が漏洩したと発表した。氏名・メールアドレス・住所・電話番号・生年月日のいずれかが含まれる個人情報が約15万件（うちメールアドレスを含むのが約12万件）、単体では個人を特定できない識別子のみが約168万件。クレジットカード情報は含まれない。クラウドへアクセスする認証情報が何らかの手段で窃取され、10月7日未明から朝にかけて不正アクセスを受けた。使われた認証情報は無効化済み。個人情報保護委員会には10月11日に報告。16日時点で二次被害や日経のシステム停止・データ改ざんは確認されていない（日経のお知らせ、ITmedia NEWS）。
【2026-10-17追記】日経BPは10月17日、日経が10月16日に発表した開発用クラウドの件で漏洩した個人情報の中に、日経BPのサービス利用者の情報も一部含まれている可能性があると発表した。調査中で、詳細がわかり次第報告するとしている（日経BP）。
【2026-10-18追記】テレビ東京とBSテレビ東京は10月16日付の連名のお知らせで、日経が同日発表した個人情報漏洩の中に、両社のサービスを利用している客の情報も一部含まれている可能性があることがわかったと発表した。詳細は調査中で、必要があれば改めて報告するとしている。この発表は10月18日に報じられた（テレビ東京・BSテレビ東京のお知らせ、オリコンニュース）。
【2026-10-20追記】日経CNBCと日経サイエンスも10月19日付のお知らせで、日経が10月16日に発表した個人情報漏洩の中に、それぞれ「日経CNBC online」「日経サイエンスDigital」の利用者の情報も一部含まれている可能性があるとわかったと発表した。どちらも調査中で、件数や項目は示していない。日経CNBCは必要があれば改めて報告する、日経サイエンスは詳細がわかり次第報告するとしている（日経CNBC online、日経サイエンス Digital）。
【2026-10-20追記】テレビ東京とBSテレビ東京は10月20日、連名の第2報で、日経からの連絡に基づく対応状況を知らせた。本件で個人情報の漏洩が確認された客には、10月21日（水）以降、日本経済新聞社から順次個別に知らせが届く予定。問い合わせは、正確で一貫した案内をするため、日経が開設した専用窓口（問い合わせフォーム）に一本化した。両社の利用者の件数・項目・対象サービスは今回も示されていない（テレビ東京・BSテレビ東京第2報、オリコンニュース）。

わかったこと

【2026-10-16】Microsoft 365／Google Workspaceの件とは別に、開発用クラウドの認証情報窃取による約183万件の漏洩が公表された（日経）。内訳は特定可能な個人情報約15万件と識別子のみ約168万件。
【2026-10-17】開発用クラウドの件の約183万件には、日経BPのサービス利用者の情報も一部含まれている可能性がある（日経BP）。
【2026-10-18】同じ約183万件には、テレビ東京・BSテレビ東京のサービス利用者の情報も一部含まれている可能性がある（テレビ東京・BSテレビ東京）。日経本体だけでなく、グループ会社のサービスの利用者にも影響が及びうることになる。
【2026-10-20】同じ約183万件には、日経CNBC online・日経サイエンスDigitalの利用者の情報も一部含まれている可能性がある（日経CNBC online、日経サイエンス Digital）。
【2026-10-20】開発用クラウドの件で漏洩が確認された人への個別の知らせは、10月21日以降に日経から順次届く予定で、テレビ東京・BSテレビ東京の利用者分の問い合わせも日経の専用窓口に一本化された（テレビ東京・BSテレビ東京第2報）。

わかっていないこと

Microsoft 365 側で漏洩した個人情報の件数（調査中。なお10月16日公表の約183万件は開発用クラウドの別件）
不正ログインの手段と、多要素認証の有無
侵害されたアカウントの数と、不正ログインが始まった時期
Google Workspace 側の侵入手段と、Microsoft 365 側との関連の有無
開発用クラウドの認証情報がどう窃取されたか、どのクラウド製品か
再発防止策の内容
【2026-10-17追記】約183万件のうち日経BPのサービス利用者の件数と項目（日経BPが調査中）
【2026-10-18追記】約183万件のうちテレビ東京・BSテレビ東京のサービス利用者の件数と項目、どのサービスが対象か（両社が調査中）【2026-10-20追記】10月20日の第2報でも示されていない。
【2026-10-20追記】約183万件のうち日経CNBC online・日経サイエンスDigitalの利用者の件数と項目（両社が調査中）

関係しそうな既知の手口

（考察）乗っ取った正規アカウントから、過去にやりとりのある相手へ一斉にフィッシングを送る「内部からの踏み台化」の構図。日経BPの発表は、日経社員のアドレスから届いたフィッシングでグループ会社の認証情報が盗まれたと書いており、連鎖が実際に起きたことを示している。

概要

報道機関の社員アカウントが乗っ取られ、取材先を含む約9000件に悪性サイトへ誘導するメールが送られた。
送信元が本物のアドレスのため、受信側は差出人で見分けられない。グループ会社では実際に認証情報が盗まれた。
Google Workspace でも7月下旬から不正ログインがあり、2つのクラウドで別々の侵害が公表された。

この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。

何が起きたか（時系列）

時期	出来事
2026-07下旬以降	社員の Google Workspace アカウントへ外部から不正ログイン（日経の発表として報道）
2026-08上旬	グーグルからの通知で判明し、パスワードを変更（同上）
2026-09-30	社員の Microsoft 365 アカウントから、社内と取材先などへなりすましメール約9000件が送信される（日経）
2026-09-30	日経BP従業員が、日経社員のアドレスで届いたフィッシングメールから認証情報を入手され、メールアカウントに不正アクセスされる（日経BP）
2026-10-04	日経が Microsoft 365 の件と Google Workspace の件を公表。日経BPも公表。いずれも個人情報保護委員会に報告
2026-10-07 未明〜朝	システム開発用クラウドへ不正アクセス。認証情報が窃取されていた（日経、10月16日発表）
2026-10-11	日経が本件（開発用クラウド）について個人情報保護委員会へ報告（日経）
2026-10-16	日経が開発用クラウドからの約183万件漏洩を公表（お知らせ）
2026-10-17	日経BPが、開発用クラウドの件で漏洩した個人情報に日経BPのサービス利用者の情報も一部含まれる可能性があると発表（日経BP）
2026-10-16（10月18日報道）	テレビ東京・BSテレビ東京が、同じ件で漏洩した個人情報に両社のサービス利用者の情報も一部含まれる可能性があると発表（テレビ東京・BSテレビ東京、オリコンニュース）
2026-10-19（月）	日経CNBCと日経サイエンスが、同じ件で漏洩した個人情報に「日経CNBC online」「日経サイエンスDigital」の利用者の情報も一部含まれる可能性があると発表（日経CNBC online、日経サイエンス Digital）
2026-10-20（火）	テレビ東京・BSテレビ東京が第2報。漏洩が確認された客には10月21日以降に日経から順次個別に知らせが届く予定とし、問い合わせを日経の専用窓口に一本化（テレビ東京・BSテレビ東京第2報、オリコンニュース）

発表内容の整理

事実

Microsoft 365 の件（日本経済新聞社）

対象: 社員が使っていた Microsoft 365 アカウント。第三者が不正にログインしたとみられる。
送信されたメール: 約9000件。悪性サイトに誘導する内容。宛先は社内と、複数の社員とやりとりがあった取材先など。
漏洩したとみられる情報: 送信先のメールアドレス・氏名、一部メールの内容。件数は調査中。
対応: パスワード変更（以降の不正ログインは未確認）、送信先へ個別に連絡しメール削除を依頼、個人情報保護委員会へ報告。
利用者への案内: 日経やグループ会社の関係者を装ったメールが増える可能性があるとして、不審なメールは問い合わせフォームへ連絡するよう求めている。

Google Workspace の件（日本経済新聞社）

7月下旬以降、社員が業務で使う Google Workspace アカウントへ外部から不正ログイン。
8月上旬にグーグルからの通知で判明し、すぐにパスワードを変更。以降の不正ログインは未確認。
漏洩した可能性がある情報: メールアドレスや氏名など1646人分。読者や取材先に関するものは含まれない。二次被害は現時点で未確認。

日経BPの件

9月30日、従業員のメールアカウントへ不正アクセス。日経社員のメールアドレスで届いたフィッシングメールから認証情報を入手された。
流出のおそれがある個人情報（個人名・メールアドレス）は26件。発覚後すぐに接続を遮断し、個人情報保護委員会へ報告。

考察

日経の発表は「不正にログインしたとみられる」とだけ書いており、パスワードがどう盗まれたのか、多要素認証がかかっていたのかは書いていない。一方で日経BPの発表からは、少なくとも9月30日のなりすましメールがフィッシングとして機能し、受け取った側の認証情報が実際に盗まれたことが読める。被害の中心は「日経が漏らした個人情報」よりも、「日経のアドレスから届いたメールを信じた相手」の側に広がりうる点にある。

Google Workspace の件は、判明が8月上旬で公表が10月4日と約2か月の間がある。Microsoft 365 の件と同じ日に公表された理由や、2件に関連があるかは発表からはわからない。

関係しそうな既知の手口

考察

乗っ取ったメールアカウントから、そのアカウントの過去の送受信相手に一斉送信する手口は、本物のメールサーバから送られるため送信元ドメインの認証（SPF・DKIM・DMARC）を通過しやすく、受信側のフィルタで止めにくい。国内では同じ時期に、日本エネルギー経済研究所もフィッシングによる所員6名の Microsoft 365 アカウントへの不正アクセスを公表している（ScanNetSecurity）。
報道機関の場合、取材先には官公庁や企業の広報・役員が含まれやすく、「記者から届いたメール」は開かれやすい。踏み台としての価値が高いアカウントといえる。
日経の過去のお知らせ一覧には、2025年11月の「業務用チャット『スラック』への不正ログインと情報流出について」、2026年5月の「米国子会社での不正ログインについて」があり、クラウドサービスへの不正ログインの公表は今回が初めてではない（お知らせ一覧）。各件の原因が共通しているかは確認できない。

利用者・運用者がいまできること

事実（発表に基づく注意）

9月30日前後に日経社員から届いたメールのリンクを開いていないか確認する。日経は送信先へ個別連絡と削除依頼をしている。
日経やグループ会社を名乗る不審なメールは、問い合わせフォームから連絡する。

考察（受け取った側・組織の運用者向け）

該当メールのリンクを開いてIDとパスワードを入力した場合は、そのアカウントのパスワードを変え、セッションを無効化し、多要素認証の設定とメールの転送ルール・受信トレイルールが勝手に追加されていないかを確認する。
Microsoft 365 なら、同じ件名・同じURLのメールを組織全体で検索して一括削除し、URLをブロックする。サインインログで海外や見慣れないIPからの成功ログインを確認する。
取引先や記者など「知っている相手」から突然届く共有ファイル・ログイン要求のメールは、別の連絡手段で本人に確かめる運用を周知する。

参考リンク

原文をGitHubで読む ↗