今回は3本を取り上げます。JST（科学技術振興機構）はメールボックスへの不正アクセスで約1.6万件のメール情報が漏えいした可能性を公表。大手出版社ではフィッシング被害で社員のアカウントが乗っ取られ、最大3,812件の個人情報が流出した可能性があります。またWordPressのログイン画面にXSS脆弱性が発見され修正版がリリースされています。「フィッシング経由のアカウント侵害」「CMSの定期更新」という実務テーマを解説します。
NEWS 01
JST（科学技術振興機構）（発表） ｜ 2026年8月7日
JST メールボックスへの不正アクセスで約1.6万件が漏えいの可能性 外部メール・役職員アドレスを含む
JST（科学技術振興機構）は2026年8月7日、役職員12人のメールボックスに不正アクセスがあり、約1.6万件のメール情報が漏えいした可能性があると公表しました。外部機関から7月28日に指摘を受けて判明したもので、外部メールアドレス約1,300件、JST役職員アドレス約1,000件が含まれるとしています。不正アクセス経路はすでに遮断済みとしています。
メールボックスへの不正アクセスは、フィッシングや認証情報の窃取を起点とするケースが大半です。個人の受信メールには取引先の連絡先・社内の機密情報・システムへのログインリンクなどが含まれることが多く、一つのアカウントが侵害されるだけで広範な情報が持ち出されます。
▌中小企業への影響
メールアカウントは最も狙われる侵入口の一つです。社員が複数のサービスでパスワードを使い回していたり、フィッシングリンクをクリックしてパスワードを入力してしまった場合、攻撃者はそのアカウントの受信メールをすべて読める状態になります。取引先へのなりすましメールや、承認済み権限を悪用した内部操作のリスクもあります。
▌推奨対応
- メールアカウント（Microsoft 365・Gmail等）に多要素認証（MFA）を設定し、パスワードのみでのログインを禁止する
- 不審なログインを検知するアラート設定（海外IPからのアクセス等）を有効化する
- 社員に対してフィッシングリンクのクリック前にURLを確認する習慣を徹底し、不審なメールの報告窓口を設ける
- 退職者のメールアカウントが有効なままになっていないか定期確認し、即日無効化する手順を整備する
NEWS 02
大手出版社（発表） ｜ 2026年8月上旬
大手出版社 フィッシングで社員アカウント乗っ取り 最大3,812件の個人情報が流出の可能性
2026年8月上旬、大手出版社において社員がフィッシングメールのリンクをクリックし、偽のログイン画面でID・パスワードを入力してしまったことで、メールアカウントが不正アクセスを受けた事案が公表されました。その結果、氏名・メールアドレスなどを含む最大3,812件の個人情報が外部に漏えいした可能性があるとしています。
今回の手口は「取引先を装った請求書メール」に偽のログインURLが含まれていた典型的なビジネスメール詐欺（BEC）に近いフィッシングです。社員が普段やりとりしている取引先の名前を使って送られてくるため、見分けにくいのが特徴です。認証情報の入力を促すリンクが含まれるメールは、送信元が知人・取引先であっても一旦立ち止まる習慣が重要です。
▌中小企業への影響
「知っている会社からのメール」だからといってリンクをクリックする習慣は危険です。取引先のメールアカウントがすでに乗っ取られていれば、正規のアドレスから偽リンクが届きます。多要素認証がなければ、ID・パスワードが漏れた瞬間にアカウントを完全に奪われます。
▌推奨対応
- メールに含まれるURLは直接クリックせず、ブラウザで公式サイトのURLを手入力して確認する習慣を徹底する
- ID・パスワードの入力を求めるサイトは、URLバーのドメインが正規のものかを必ず確認する
- すべての業務アカウントに多要素認証を設定し、パスワードだけでのログインを不可能にする
- フィッシングを踏んだ可能性がある場合は直ちにパスワードを変更し、IT担当者・上長に報告する手順を社内に周知する
NEWS 03
WordPress（公式セキュリティリリース） ｜ 2026年8月7日
WordPress ログイン画面のXSS脆弱性を修正 自社WordPressサイトの更新確認を
WordPress開発チームは2026年8月7日、ログイン画面に存在するXSS（クロスサイトスクリプティング）脆弱性を修正したセキュリティリリースを公開しました。この脆弱性を悪用されると、攻撃者が細工したリンクを経由してログイン画面に不正なスクリプトを実行させ、ユーザーの入力情報を窃取する可能性があります。
WordPressは世界のWebサイトの約40%で使用されている広く普及したCMSであり、脆弱性が公開されると悪用が急速に広がる傾向があります。特にログイン画面を対象とした脆弱性は管理者権限の奪取につながるリスクがあるため、早期の更新が推奨されます。WordPress本体の自動更新が有効か、テーマ・プラグインの更新も確認することが重要です。
▌中小企業への影響
自社のWebサイトにWordPressを使っている場合、古いバージョンのままにしておくと脆弱性を悪用されたサイト改ざん・マルウェア配布ページへの転用・顧客情報の窃取につながります。Webサイトのセキュリティ管理を外部に委託している場合でも、更新作業の状況を確認することが重要です。
▌推奨対応
- WordPress管理画面でバージョンを確認し、最新のセキュリティリリースを適用する
- WordPress本体の自動更新を有効にし、マイナーバージョンの自動適用が設定されているか確認する
- 利用しているプラグイン・テーマも同時に最新版に更新する（古いプラグインも攻撃の入り口になる）
- WordPressの更新作業をホスティング会社や制作会社に委託している場合は、今回のリリースの対応状況を確認する
編集部まとめ
今回のJSTと出版社の2件に共通するのは「フィッシングによるアカウント侵害」です。どちらも技術的な脆弱性ではなく、人が騙されてパスワードを入力したことが発端です。多要素認証の導入はこのリスクを大幅に下げる最も効果的な対策で、優先度の高い施策です。
WordPressの更新は後回しにされがちですが、ログイン画面のXSSは管理者権限の奪取に直結します。自社サイトの管理を担当している方は今週中に更新状況を確認してください。
参考情報
- JST「メールボックスへの不正アクセスによるメール情報漏えいの可能性についてのお知らせ」（2026年8月7日）
- 大手出版社「弊社社員メールアカウントへの不正アクセスによる個人情報漏えいの可能性について」（2026年8月上旬）
- WordPress「WordPress Security Release」（2026年8月7日）
secure