要点
発表された事実
- 株式会社あっぷらぼは2026年10月12日、同社が運用するメールサーバへの外部からの不正アクセスを確認したと公表した（あっぷらぼの発表）。
- 10月11日、メールサーバのデータベース管理用パスワードが外部から突破され、不正にアクセスされたことを確認した。同社は「管理運用上、管理用経路が絞られていなかったことによる弊社の設定上の不備」で、利用者に起因するものではないとしている（同）。
- メールアドレスと、暗号化して保存しているパスワード情報の一部が参照された可能性がある。パスワードはそのまま使われることはないが、短い・単純なパスワードは時間をかけて解読されるおそれがあるとして、利用者にパスワードの変更を求めた（同）。
- 接続経路の遮断、データベース管理用パスワードの変更、管理用接続の社内限定、海外・匿名化ネットワーク経由のメール接続の遮断、普段と異なる場所からのログインを検知して遮断する仕組みの導入を実施した。不正アクセスの継続は確認されていない（同）。
わかっていないこと
- 参照された可能性のあるアカウントの数と、対象となる利用者（法人・ドメイン）の範囲
- データベース管理用パスワードが「突破」された方法（総当たり、推測、漏洩した認証情報の利用など）
- 不正アクセスが始まった時期と、10月11日に確認したきっかけ
- パスワードの「暗号化」の方式（復号できる暗号化か、ハッシュ化か）
- メールの本文など、データベース以外の情報へのアクセスの有無
関係しそうな既知の手口
- （考察）インターネットから到達できるデータベースや管理画面への、パスワードの総当たり・推測による侵入は古くからある手口で、同社自身が対策として「推測不可能な値に変更」と「管理用接続を社内からのみに制限」を挙げていることと整合する。ただし、突破の方法は公表されていない。
概要
- メールサービスを提供するあっぷらぼで、メールサーバのアカウント情報を収めたデータベースに、外部から管理用パスワードを破って入られた。
- 同社は原因を、管理用の接続をどこからでも受け付ける状態にしていた自社の設定の不備だと認め、公表の翌日にはパスワード変更の手順と強度の目安まで示した。
- 同社は2025年11月にホームページへの不正アクセス、2026年2月に正規アカウントの悪用によるスパム送信も公表しており、同社が公表したものでは、今回が今年2件目のメールサーバに関わるセキュリティ事案になる。
この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。
何が起きたか（時系列）
| 時期 | 出来事 |
|---|---|
| 2025-11-27（木） | 同社管理のホームページに不正アクセス。仕掛けられたプログラムにより問い合わせスパムが多数投稿され、一部のサーバでレピュテーションが低下（2025-11-28の発表） |
| 2026-02-22（日） | DKIM・DMARCの設定完了とAIによる常時監視の導入を告知（同社のお知らせ一覧） |
| 2026-02-25（水） | 第三者が正規のアカウント情報（ID・パスワード）を悪用し、同社メールサーバから大量のスパムメールを送信。Microsoft宛のメールが届きにくくなる（2026-02-26の発表） |
| 2026-10-11（日） | メールサーバのデータベース管理用パスワードが外部から突破され、不正にアクセスされたことを確認（2026-10-12の発表） |
| 2026-10-12（月） | 公表し、利用者にメールパスワードの変更を依頼（同） |
発表内容の整理
事実（2026年10月12日の発表）
| 項目 | 内容 |
|---|---|
| 侵入箇所 | 同社が運用するメールサーバのデータベース（管理用パスワードが突破された） |
| 原因 | 管理用経路が絞られていなかったことによる同社の設定上の不備 |
| 参照された可能性のある情報 | メールアドレス、暗号化して保存しているパスワード情報の一部 |
| 実施した対策 | 不正アクセスに使われた接続経路の遮断、データベース管理用パスワードを推測不可能な値に変更、管理用接続を同社と社内ネットワークからのみに制限、海外・匿名化ネットワーク経由のメール接続を遮断、普段と異なる場所からのログインを検知・遮断する仕組みを導入 |
| 現状 | 不正アクセスの継続は確認されていない |
| 利用者へのお願い | メールパスワードの変更。特に8文字以下、英字のみ・数字のみ、氏名・会社名・電話番号・生年月日などを含む、他のサービスと同じパスワードの人は早めに |
| 新しいパスワードの目安 | 12文字以上、英大文字・英小文字・数字・記号の組み合わせ、辞書の単語・氏名・会社名をそのまま含めない、使い回さない |
| 変更方法 | 同社が案内するパスワード変更ページ（URLのパスは /postfixadmin/）にログインして変更し、メールソフトやスマートフォンの設定も更新 |
考察
この発表は、侵入された「入口」をはっきり書いている点で、ここ数週間の国内の公表の中では珍しい。「データベース管理用パスワードが外部から突破」「管理用経路が絞られていなかった」という2つの説明を合わせると、データベースの管理用の接続口がインターネットから到達できる状態にあり、そこにパスワードだけで入れた、という構図が読み取れる（考察）。対策の筆頭が「推測不可能な値に変更」なので、もとの管理用パスワードは推測可能な強さだった可能性もあるが、同社はそこまでは書いていない。
利用者のパスワードについて「そのまま使用されることはない」が「時間をかけて解読されるおそれ」があるという説明は、復号できる暗号化ではなく、ハッシュ値として保存していて、手元で総当たりにかけられると弱いものから割れる、という状況の説明として読める（考察）。方式が書かれていないため、どの程度の強さのパスワードまで安全かは外からは判断できない。同社が「8文字以下」「英字のみ・数字のみ」を名指しで急ぐよう求めているのは、その見積もりの表れだろう。
2月の発表では、正規のアカウント情報が悪用され、短時間に大量ではなく「一定期間を空けて少量ずつ」スパムが送られたと説明している。今回、海外・匿名化ネットワーク経由のメール接続の遮断と、普段と異なる場所からのログインの検知を加えたのは、解読されたパスワードによる同じ形の悪用を見込んだ対策と読める（考察）。
関係しそうな既知の手口
事実（既知の知見）
- あっぷらぼは2026年2月26日、前日に第三者が正規のアカウント情報（ID・パスワード）を悪用して同社メールサーバから大量のスパムメールを送信し、Microsoftのメールサービス宛のメールが届きにくくなったと公表した。手口は一定期間を空けて少量ずつ送信を繰り返すもので、従来の検知を回避するものだったとしている（2026-02-26の発表）。
- JPCERT/CCは10月の注意喚起で、相次ぐ国内の漏えいの類型の一つに、標的ごとにさまざまな既知の脆弱性を探して悪用を試みるもの（ケースA）を挙げ、業務上必要のない管理機能の公開停止などを求めている（JPCERT/CC、各機関の注意喚起の記事）。
考察
- 管理用の接続口は「パスワードが強いか」より先に「届くか」：データベースや管理画面を外から触れる状態にしておくと、パスワードの強さだけが防御になる。今回の同社の対策は、まず届く範囲を社内に絞り、そのうえでパスワードを変えるという順番で、他の組織がそのまま使える点検項目になる。
- 小さな事業者のメールサービスは、利用企業の「入口」でもある：メールのパスワードが割れると、その企業になりすましたメールが、正規のサーバから、SPF・DKIMも通った状態で送られうる。2月に起きたスパム送信と同じ形で、今度は取引先を狙ったメールに使われるおそれがある（考察）。
利用者・運用者がいまできること
事実（発表に基づく）
- メールパスワードを変更する。特に8文字以下、英字のみ・数字のみ、氏名・会社名・電話番号・生年月日などを含む、他のサービスと同じ、のどれかに当たる場合は早めに。
- 新しいパスワードは12文字以上で、英大文字・英小文字・数字・記号を組み合わせ、辞書の単語や氏名・会社名をそのまま含めず、他のサービスと使い回さない。
- 変更後は、メールソフトやスマートフォンなどすべての端末の設定を更新する。古いパスワードで接続を続けると、認証の失敗が繰り返されて一時的に接続が制限される場合がある。
- 手順がわからない場合やパスワードを忘れた場合は、同社の担当者に連絡する。
考察（利用者向け）
- 同じパスワードを他のサービスでも使っていた場合は、そちらも変える。メールアドレスとパスワードの組がそろうと、他のサービスへの不正ログインに使われる。
- 社内の管理者は、退職者や長期間使っていないメールアカウントを整理する（同社は2月の発表でも呼びかけている）。使われていないアカウントのパスワードは変更されないまま残りやすい。
- 取引先から「メールが届かない」「不審なメールが来た」といった連絡があれば、自社アドレスからの不正送信を疑い、同社に相談する。
考察（運用者向け）
- データベースや管理画面の待ち受けを、インターネット全体から到達できる状態にしていないか確認する。管理用の接続は、社内ネットワークやVPN、踏み台サーバ経由に限る。
- 利用者のパスワードは、総当たりに時間のかかる方式（ソルト付きの遅いハッシュ関数）で保存する。保存方式を公表できれば、利用者が自分のリスクを判断しやすくなる。