小田原エンジニアリングのメールに不正アクセス｜なりすましで取引先に金銭被害

小田原エンジニアリングが2026年9月15日、ドイツの子会社に出向していた社員1人のメールアカウントが第三者に不正にアクセスされ、取引先の担当者の個人情報が見られた可能性があると公表しました。 第三者は社員になりすまして取引先に入金を指示するメールを送り、一部の取引先で金銭の被害が出たとしています（小田原エンジニアリングの発表）。 海外の取引先や拠点とメールで請求・支払いのやり取りをしている会社は、すぐに確かめたい事例です。

公表された内容

• 対象：子会社 Odawara Automation Deutschland GmbH に出向していた社員1人のメールアカウント
• 期間：2026年3月27日から8月31日まで、第三者が続けてアクセスしメールを見ていたとしています。8月31日に痕跡を確認しました
• 見られたメール：確認できているのは約3500通で、最も古いものは2018年に送受信したメール（2026年9月15日の発表）。調査により増減する可能性があるとしています
• 情報の種類：社員と取引先の担当者の間で送受信したメールの内容。健康状態のような機微な個人情報、クレジットカード情報が漏えいした事実は、発表の時点で確認されていないとしています
• 二次被害：社員になりすました入金を指示するメールが取引先に送られ、一部の取引先で金銭の被害が出ています。被害の額や件数は公表されていません。ほかの取引先は被害の有無を個別に調べているとしています
• 原因：アカウントに入られた経路は公表されていません

会社の対応

• 対象のアカウントのパスワード変更と、全セッションの強制ログアウト
• 拠点の外から接続するときの多要素認証を必須に
• 不正に使われたドメインとのメールの送受信を止める設定
• 監査ログを取り出して影響の範囲を調査し、その後に不正なログインが成功していないことを毎日確かめている。ほかの社員のアカウントに同じ被害がないことも確認
• 顧問弁護士に相談し、日本の個人情報保護委員会とドイツの監督当局に報告
• 取引先には、同社名で振込先や支払条件の変更の連絡が来たらそのまま手続きせず窓口に知らせること、差出人のアドレスをドメインまで確かめることを求めています

中小企業が今日からできること

• 振込先の変更はメール以外で確かめる：「口座が変わった」「至急この口座へ」という連絡は、メールに書かれた番号ではなく、前から知っている電話番号にかけて本人に確かめるルールを、経理と営業で決める
• メールに多要素認証をかける：Microsoft 365 や Google Workspace のメールは、社外から使うときも含めて多要素認証を必須にする。海外の拠点や出向者のアカウントも対象にする
• メールの転送設定とログインの記録を見る：知らない転送の設定や受信ルールが作られていないか、普段と違う国や時間帯のログインがないかを、管理画面で定期的に確かめる
• 古いメールを残しすぎない：何年も前のメールが残っていると、見られたときの被害が広がる。保存の期間を決め、取引の記録は別の場所に保管する
• 取引先にもルールを伝える：「当社から振込先の変更をメールだけで頼むことはない」と取引先に前もって知らせ、相手からの変更の連絡も同じ方法で確かめる