株式会社インターネットイニシアティブ（IIJセキュアMXサービス）の個人情報漏えい（2025年4月15日公表）

IIJの法人向けメールサービス「IIJセキュアMXサービス」が2024年8月以降不正アクセスを受けていました。第一報では最大6493契約・約407万アカウントが影響を受けた可能性があるとし、続報で、132契約でメールアカウント31万1288件とパスワード（一部の契約はアカウントのみ）の漏えいを確認するなど、計586契約で漏えいを確認しました。原因は第三者製ソフトの未知の脆弱性で、7月に総務省から行政指導を受けています。

事故の概要

漏れたもの: メールアドレス
メールボックスの中身
ログインのトークン
その他
メールアカウントとパスワード（形式の記載なし）、メール本文・ヘッダ、連携する他社クラウドの認証情報。原因はActive! mailの脆弱性（JVN#22348866）
件数: 不明漏えいを確認した契約：メールアカウント・パスワード132契約（アカウント311,288件、一部の契約はアカウントのみ）、メール本文・ヘッダ6契約、他社クラウドの認証情報488契約（重複除き586契約）。第一報の最大値は6,493契約・メールアカウント4,072,650件。人数の公表なし
誰の情報か: 利用者（会員・顧客）
状態: 確定
原因: 不正アクセス
ドメイン: iij.ad.jp

経緯

検知4/10
初動対応—
公表4/15
調査結果4/22
再発防止策—

検知2025年4月10日

公表の5日前

IIJは4月10日、法人向けメールセキュリティサービスのIIJセキュアMXサービスで、顧客情報の一部が外部に漏れた可能性があることを確認しました。

サービスの設備は2024年8月3日以降に不正アクセスを受け、設備上で不正なプログラムが動いていました。同社は不正なアクセスの経路を特定して切り離し、原因と影響の範囲を調べ始めています。

出典IIJセキュアMXサービスにおけるお客様情報の漏えいについてwww.iij.ad.jp

公表2025年4月15日

前の出来事から5日後

IIJは、法人向けメールセキュリティサービスのIIJセキュアMXサービスで、顧客情報が漏れた可能性があると公表しました。サービスの設備が2024年8月3日以降に不正アクセスを受けて不正なプログラムが動いており、4月10日に確認しました。経路を特定して切り離し、今は安全に使える状態だとしています。

対象は、サービスの全契約にあたる最大6,493契約、メールアカウント4,072,650件で、不正アクセスの時点で利用を終えていた顧客も含みます。漏れた可能性があるのは、メールアカウントとパスワード、送受信したメールの本文とヘッダ、連携していた他社クラウドサービスの認証情報で、契約や使っていた機能によって異なります。

契約中の顧客には担当者から個別に案内し、過去の利用者向けには相談フォームを設けました。原因と影響の範囲は調査を続けているとしています。

出典IIJセキュアMXサービスにおけるお客様情報の漏えいについてwww.iij.ad.jp

調査結果2025年4月22日

公表から7日後・前の出来事から7日後

IIJは第二報で、調査の結果、実際に漏れたことが確認されたのは586契約だったと公表しました。内訳は、メールアカウントとパスワードが132契約（最初に可能性があるとした4,072,650アカウントのうち311,288件）、送受信メールの本文とヘッダが6契約、連携していた他社クラウドの認証情報が488契約で、重複を除いて586契約です。

原因は、サービスで使っていた第三者製ソフトウェアの脆弱性を悪用されたことでした。発覚の時点では知られていなかった脆弱性で、製造元が修正を終え、4月18日にActive! mailの緊急の脆弱性としてJVNで公開されています。このソフトウェアを使うオプション機能は2025年2月に提供を終えており、今は使っていないとしています。

対象の顧客には担当者から案内し、再発防止に向けてセキュリティ対策と監視体制の強化を検討しています。

出典IIJセキュアMXサービスにおけるお客様情報の漏えいについてのお詫びとご報告PDFwww.iij.ad.jp