メール配信サービス「ワイメール」を運営するイグレックスは、2026年10月24日、ポータルサイトの攻撃を検知して緊急メンテナンスに入りました。その後、一部の契約者の配信環境で侵入の痕跡を確認し、そこからフィッシングメールが発信されたとしています。個人情報の漏洩の事実があったかは調査中で、ログ上は1メールマガジンあたり最大30件のメールアドレスが閲覧された可能性があるとしています。
事故の概要
- 漏れたもの
- メールアドレス
- 件数
- 不明件数は書かれていません。1メールマガジンあたり最大30件のメールアドレスの閲覧の可能性。送信されたフィッシングメールの合計件数、個人情報の漏洩の事実は調査中（第6報時点）。
- 誰の情報か
- 利用者（会員・顧客）
- 状態
- 可能性あり
- 原因
- 不正アクセス
- ドメイン
- y-ml.com
経緯
- 検知—
- 初動対応—
- 公表10/24
- 続報10/24
- 調査結果10/25
- 再発防止策10/26
公表2026年10月24日
イグレックスは10月24日、ワイメールのポータルサイトサーバーで、攻撃を企図した外部からの異常トラフィックを検知したため、アクセスを遮断し、3時50分ころから緊急メンテナンスを始めたと公表しました。終了時期は未定とされ、ポータルサイト、オンラインヘルプ、公式コラムなどが止まっています。
同日10時45分の第2報では、一部の契約者の配信環境で外部からの不審な通信の可能性を確認し、対象の環境を停止したとしています。11時44分ころには、通信が確認されていない環境も含め、すべての配信環境の管理者用ログイン情報を更新しました。13時57分の第4報で、コーポレートサイトにも不審な通信が確認されたため、採用エントリーページなどを停止したとしています。
続報2026年10月24日
18時08分の第5報で、攻撃により漏洩した可能性がある認証情報によって一部契約者の配信環境のWebアプリに侵入され、契約者が管理する宛先にフィッシングメールが送信された恐れがあると説明しました。メールの合計送信件数と、個人情報の漏洩の事実があったかは調査中としています。全顧客環境では、侵害された恐れのある認証情報を無効化し、全環境から強制ログアウトしました。
23時30分の第6報では、侵入の痕跡があった一部の環境のサンプル調査で、個人情報に直接アクセスしない配信操作のみが確認され、個人情報が直接持ち出された形跡は確認されていないとしています。ただしログの記録から、1メールマガジンあたり最大30件のメールアドレスが閲覧された可能性があります。送信件数と個人情報の漏洩の事実の有無は引き続き調査中で、復旧時期は未定です。
調査結果2026年10月25日
10月25日12時52分の第7報で、ポータルサイト（www.y-ml.com）から持ち出された、または読みとられた可能性があるデータの精査が完了したと公表しました。内訳は、お客様環境のセットアップ用スクリプト、決済代行会社との接続情報、サーバ内アプリケーションの設定ファイル、攻撃者がサーバ内を探索した際の記録データ、テスト環境等で使う弊社管理用のメールアドレスやダミーデータ、ページコンテンツ、コラム記事、ヘルプページ記事です。
これらにお客様やその他の個人の個人情報は含まれていないことを確認しているとしています。決済代行会社との接続情報と設定ファイルの秘匿情報は変更済みで、クレジットカード情報は含まれないとのことです。侵入の痕跡が認められたすべてのサーバの調査と報告書の作成を続けるとしています。
再発防止策2026年10月26日
10月26日7時04分の第9報で、フィッシングメールが配信環境から発信されたことを受け、念のためすべての顧客のDKIM秘密鍵を再作成してDNSサーバに再登録し、DMARCポリシーを「reject」に設定するとしています。
調査の過程で判明した、各配信環境のアプリケーションの不具合の改善が概ね完了し、アプリケーションの強制バージョンアップの準備を進めているとのことです。なお10月25日18時40分の第8報では、八王子警察署への報告と関連省庁への第一報の連絡を10月24日のうちに行ったと説明しています。
出典
正しい情報については、リンク元の一次情報を必ず参照してください。
このサービスを使っていた方へ
- 1会社を名乗るメールが来ても、リンクは開かず公式サイトから確かめてください。
- 2会社からの個別の連絡と問い合わせの窓口は、公式のお知らせで確かめてください。
誤りや続報のご連絡
掲載内容の誤りや続報の情報は、お問い合わせフォームより受け付けております。内容によっては、回答までにお時間をいただく場合がございます。