要点
発表された事実
- メール配信サービス「ワイメール」を運営するイグレックス（東京都八王子市）は2026年10月24日、ポータルサイトのサーバーで攻撃を企図した外部からの異常なトラフィックを検知し、同日3時50分ごろからアクセスを遮断して緊急メンテナンスに入った。10月26日7時04分の第9報まで更新を続けている（イグレックス）。
- 同社によると、攻撃で漏洩した可能性がある認証情報により一部の利用者の配信環境のWebアプリに侵入され、そこで管理している宛先にフィッシングメールが送られた恐れがある。送信件数と個人情報の漏洩の有無は調査中（同、第5報・第6報）。
- 第7報（10月25日12時52分）では、ポータルサイト（www.y-ml.com）から持ち出された、または読み取られた可能性があるデータとして、「お客様環境のセットアップ用スクリプト（今回お客様環境への侵入のきっかけとなった情報）」、決済代行会社との接続情報、サーバー内アプリケーションの設定ファイル、攻撃者が探索に使ったスクリプトなどを挙げ、利用者やその他の個人の個人情報は含まれていないとした（同）。
- 侵入の痕跡があった一部の配信環境のサンプル調査では、個人情報に直接アクセスしない配信操作のみで、直接の持ち出しの形跡は確認されていない。ただしログから、メールマガジン1つあたり最大30件のメールアドレスが閲覧された可能性がある（同、第6報）。
- 同社は10月24日11時44分ごろ全配信環境の管理者用ログイン情報を更新し、侵害の恐れがある認証情報の無効化と全セッションの削除、必要な環境のWebサーバー停止を行った。第9報では、全利用者のDKIM秘密鍵を作り直し、DMARCポリシーを「reject」にすること、配信環境のアプリケーションのバージョン差による不具合を直して強制バージョンアップを準備していることを明らかにした。警察署と関係省庁には10月24日のうちに報告した（同）。
- 福島県双葉町は、町のメールマガジン（登録者約1,400名）と同じアドレスから、10月24日8時ごろに実在のクレジットカード会社を装った不審メールが配信されたと発表した。10月24日に痕跡を確認し、調査中としている（双葉町）。
- 新潟県南魚沼市も、ふるさと応援隊の会員向け、子育ての駅「ほのぼの」、消防団員向けの3つの配信サービスで不審なメールを確認した（南魚沼市）。
- 群馬県のスキー場「かたしな高原」を運営する大都開発は、登録者の名前を記載した「セゾンカード」などを名乗るメールが、同社のアドレスや運営会社のアドレス（info@igreks.jp）から送られたと説明した。配信サービスに登録しているのはメールアドレス、名前、会員種別の3点（かたしな高原）。
- 【2026-10-27追記】双葉町は10月27日の第2報で、10月24日午前2時ごろ（推定）にイグレックスの「ワイメール公式サイト」が不正アクセスを受けてワイメールの管理用アカウント情報が第三者に取得され、その情報で町のワイメール配信環境にログインされてフィッシングメールが送られたと説明した。イグレックスの調査速報によると、名前として登録された文字列とメールアドレスが最大60件流出した恐れがあり、同社が調査を続けている。カード情報の不正取得などの被害は確認されていない。町はメールマガジンの配信を止めており、個人情報保護委員会に報告するとした（双葉町 第2報）。
- 【2026-10-27追記】イグレックスは10月27日17時38分の第11報で、電話システムを管理する会社の緊急メンテナンスで電話がつながらず、同社からの発信もできない状態だとして、問い合わせはできるだけメールでするよう求めた。法令上必要な作業や依頼には速やかに対応し、調査中の件の精査を続けるとしている（イグレックス 第11報）。
- 【2026-10-28追記】イグレックスは10月28日3時14分の第12報で、今回の不正アクセスについて八王子警察署の管理番号と、IPAのコンピュータ不正アクセス届出窓口の受付番号が出たと公表した（イグレックス 第12報）。
わかっていないこと
- ポータルサーバーへの最初の侵入経路（どの脆弱性・設定が使われたか）
- フィッシングメールが送られた配信環境の数と、送信された総数
- 配信環境ごとに閲覧・持ち出しされた宛先の範囲（「1メルマガあたり最大30件」以上の閲覧がなかったか）（【2026-10-27追記】双葉町は、イグレックスの調査速報として、町の分で名前とメールアドレスが最大60件流出した恐れがあると発表した。ほかの環境の件数は未公表）
- 「セットアップ用スクリプト」に含まれていた認証情報の種類と、全顧客環境で共通の資格情報だったのか
- サービスの復旧時期と、利用組織への最終的な報告内容
関係しそうな既知の手口
- （考察）事業者側の管理サーバーから「全顧客環境に入れる鍵」が取られ、利用組織の正規の送信元からフィッシングを送られる形は、10月のブラストメールやユミルリンクの事例と同じく、メール配信事業者が攻撃の中継点にされる型に見える。
概要
- 自治体や企業がメルマガに使う「ワイメール」の運営会社のポータルサーバーが攻撃され、利用者環境の構築に使うスクリプトが持ち出された。
- その情報で一部の利用者の配信環境に入られ、登録者に宛名入りのカード会社を装うフィッシングメールが送られた。
- 運営会社は第9報まで調査結果を公開している。送信件数と漏えいの有無はまだ出ていない。
この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。
何が起きたか（時系列）
| 時期 | 出来事 |
|---|---|
| 2026-10-24（土）未明 | ワイメール公式サイトのサーバーが不正アクセスを受ける（かたしな高原が運営会社の報告として記載） |
| 10-24 2時ごろ（推定） | ワイメール公式サイトが不正アクセスを受け、管理用アカウント情報が取得される（双葉町 第2報、イグレックスの調査速報として） |
| 10-24 3時50分ごろ | イグレックスが異常トラフィックを検知し、ポータルサイトを遮断して緊急メンテナンス開始（イグレックス） |
| 10-24 8時ごろ | 双葉町メルマガと同じアドレスからカード会社を装う不審メール（双葉町）。かたしな高原も同時刻ごろ利用者からの連絡で把握 |
| 10-24 11時44分ごろ | 全配信環境の管理者用ログイン情報を更新（イグレックス） |
| 10-24 13〜15時台 | 送信元を運営会社のアドレスに変えた不審メールを確認（かたしな高原） |
| 10-24 夕方以降 | 配信環境のサーバーを順次停止・遮断（イグレックス、かたしな高原） |
| 10-25 12時52分 | 第7報：ポータルから持ち出された可能性のあるデータを公表（イグレックス） |
| 10-26 7時04分 | 第9報：全利用者のDKIM鍵の再作成、DMARCのreject化、アプリの強制バージョンアップ準備（イグレックス） |
| 10-27 | 双葉町が第2報。町の分で名前とメールアドレスが最大60件流出した恐れ（イグレックスの調査速報）。メルマガ配信は停止中（双葉町 第2報） |
| 10-27 17時38分 | 第11報：電話がつながらない状態のため、問い合わせはメールでと要請（イグレックス 第11報） |
| 10-28 3時14分 | 第12報：八王子警察署の管理番号とIPAのコンピュータ不正アクセス届出の受付番号が出たと公表（イグレックス 第12報） |
発表内容の整理
事実（イグレックスの発表）
| 項目 | 内容 |
|---|---|
| 攻撃を受けた場所 | ワイメールのポータルサイト（www.y-ml.com）のサーバー。コーポレートサイトの採用エントリーページにも不審な通信（第4報） |
| 持ち出し・読み取りの可能性があるデータ | 顧客環境のセットアップ用スクリプト、決済代行会社との接続情報、アプリの設定ファイル、攻撃者の探索記録、管理用メールアドレスやダミーデータなど（第7報） |
| 顧客環境での被害 | 一部の配信環境のWebアプリに侵入され、宛先にフィッシングメールが送られた恐れ。1メルマガあたり最大30件のメールアドレス閲覧の可能性 |
| 対応 | 全環境の管理者ログイン情報の更新、セッション削除、必要な環境の停止、DKIM鍵の再作成とDMARC reject化、アプリの強制バージョンアップ準備、警察・関係省庁への報告（【2026-10-28追記】八王子警察署の管理番号とIPAの届出受付番号が出た） |
事実（利用組織の発表）
| 組織 | 内容 |
|---|---|
| 双葉町 | 町メルマガ（登録者約1,400名）と同じアドレスからカード会社を装う不審メール |
| 南魚沼市 | ふるさと応援隊、子育ての駅「ほのぼの」、消防団員向けの3配信で不審メール |
| 大都開発（かたしな高原） | 「セゾンカード」などを名乗り、登録者の名前入りのメール。件数は10月26日中に運営会社から報告を受ける見込み |
考察
第7報は、ポータルから取られたのは利用者の個人情報ではなく「お客様環境のセットアップ用スクリプト」だと説明し、それが侵入のきっかけだったと認めている。構築用のスクリプトに各環境で使える認証情報が書かれていたのであれば、ポータル1台の侵害が全利用者の配信環境の鍵になる作りだったことになる（考察）。
今回のメールは、登録者が普段受け取っている正規の送信元から、宛名入りで届いた。受け手がふだんの「迷惑メールらしさ」で見分けるのは難しい。運営会社がDKIM鍵を作り直し、DMARCを「reject」にするのは、乗っ取られた環境やなりすましからの送信を受信側で落とせるようにするためと読める（考察）。
関係しそうな既知の手口
事実（既知の知見）
- 10月にはメール配信サービス「ブラストメール」でもAPI用サーバーへの侵入で全契約者の情報が持ち出され、利用組織の公表が相次いだ（ブラストメールの記事）。
- ユミルリンクの「Cuenote FC」でも、配信基盤の脆弱性からサポート担当者の認証情報が奪われた（Cuenote FCの記事）。
- JPCERT/CCは2026年10月、国内で相次ぐ不正アクセスについて注意喚起を出している（JPCERT/CC）。
考察
3件とも、事業者が多数の顧客環境をまとめて管理するための仕組み（API、サポート用の権限、構築用スクリプト）が狙われている。配信事業者を選ぶ側は、配信内容そのものより、事業者の管理用の鍵がどこにあり、一つが漏れたときにどこまで届くのかを確かめる必要がある（考察）。
利用者・運用者がいまできること
- メルマガ登録者は、カード会社や登録先を名乗る「利用確認」のメールのリンク（配信解除のリンクを含む）を開かない。入力してしまった場合はカード会社に連絡し、パスワードを変更する。
- ワイメールの利用組織は、自組織の配信環境に侵入の痕跡があったか、何件の宛先が閲覧されたかを運営会社に確認し、登録者に注意を呼びかける。
- 自組織のドメインから配信事業者経由で送っている場合は、SPF・DKIM・DMARCの設定と、配信事業者側の鍵の更新状況を確認する。