何が起きたか

IIJが法人向けに提供する「IIJセキュアMXサービス」の設備が、2024年8月3日以降に不正アクセスを受けました。同社は設備上で不正なプログラムが実行されたことを確認し、2025年4月10日に顧客情報の漏えいの可能性を把握しました。4月22日の続報では、重複を除いた586契約で情報漏えいが確認されたと公表しています。IIJ第一報、IIJ第二報

同社によると、原因はサービスで利用していた第三者製ソフトウェアの脆弱性を悪用されたことでした。後に「Active! mail」の脆弱性としてJVN#22348866が公開されています。IIJは、攻撃発生から発覚した時点では未発見だった脆弱性だと説明しています。IIJ第二報「不正アクセスの原因」

どの情報が漏えいしたか

IIJの4月22日の続報で漏えいを確認した範囲は次のとおりです。IIJ第二報「漏えい事実が確認されたお客様契約数」

情報の種類 漏えいを確認した顧客契約数 補足
このサービスで作成したメールアカウント・パスワード 132契約 対象のメールアカウント情報は31万1,288件。ただし一部の契約ではアカウント情報のみの漏えい確認。
このサービスで送受信されたメールの本文・ヘッダ情報 6契約 個々のメール件数は公表値から分からない。
連携する他社クラウドサービスの認証情報 488契約 連携機能に関する認証情報。

3区分には同じ契約が重複しているため、合計は586契約です。132＋6＋488を単純に足した626契約を被害規模として使いません。また、31万1,288件はメールアカウント情報の件数であり、人数でも、同数のパスワード流出件数でもありません。IIJ第二報

当初の最大値との違い

4月15日の第一報では、漏えいした可能性を否定できない最大の範囲として、サービスの全顧客に当たる6,493契約、メールアカウント407万2,650件が示されていました。攻撃時にはすでに利用を終えていた顧客も含みます。これは全件で漏えいが確認されたという数字ではありません。IIJ第一報「情報が漏えいした可能性のあるお客様数」

4月22日に公表された586契約は、調査で実際の漏えいを確認した契約数です。第一報の最大値と第二報の確認済み数値を足したり、同じ意味で並べたりしません。IIJ第二報

対応とその後

IIJは不正アクセスの経路を特定して切り離し、第一報の時点でサービスを安全に利用できる状態だと説明しました。4月22日には、問題となったソフトウェアのオプション機能は同年2月に提供を終了し、当時は同ソフトウェアを利用していないと説明しています。4月18日には脆弱性の情報が公開されました。IIJ第一報、IIJ第二報、JVN

同年7月、IIJはこの事案について総務省から書面による指導を受けたと公表しました。サービス設備の振る舞い検知機能は6月26日に強化を完了し、Webアプリケーションファイアウォールの多層化は7月中に完了する見込みとしていました。予定された対策の完了を、この発表だけで断定しません。IIJの7月18日の発表

出来事の時系列

日時 出来事
2024年8月3日以降 サービス設備への不正アクセスと不正プログラムの実行。正確な侵入開始日時は未確認。
2025年4月10日 IIJが情報漏えいの可能性を確認。
同年4月15日 最大可能範囲を含む第一報。
同年4月18日 関連する「Active! mail」の脆弱性がJVNで公開。
同年4月22日 漏えい確認済みの586契約と原因を第二報で公表。
同年7月18日 総務省の指導と再発防止の対応状況を公表。

日付はIIJ第一報、第二報、7月の発表、JVNに基づきます。

この事例から分かること

企業が利用するメールサービスへの攻撃は、そのサービスを通るメールの本文や、連携先の認証情報にまで影響する場合があります。この事例では利用者の人数ではなく、契約数とアカウント情報の件数が公表されています。IIJ第二報

利用者への案内: 契約企業の担当者はIIJからの通知を確認してください。個々のメール利用者は、所属先・利用サービスからの正式な案内に従ってください。IIJの事故専用問い合わせフォームは2025年8月に終了しており、現在の問い合わせ先はIIJの第二報に追記されています。