IIJでサイバー攻撃発生｜影響範囲は約400万アカウント、原因や対策を徹底解説

2025年4月10日、通信大手のインターネットイニシアティブ（IIJ）は、自社が提供する法人向けメールセキュリティサービス「IIJセキュアMXサービス」に対して、長期にわたる不正アクセス（サイバー攻撃）が行われていたことを公表しました。
今回のインシデントにより、最大で約407万件のメールアカウント情報が漏えいした可能性があります。

この記事では、IIJが発表した内容をもとに、被害の概要・影響範囲・IIJの対応策・企業や利用者が取るべき対処法について詳しく解説します。

サイバー攻撃の概要｜IIJが受けた不正アクセスとは？

IIJによると、不正アクセスが確認されたのは法人向け「IIJセキュアMXサービス」であり、攻撃の発生時期は2024年8月3日以降とされています。攻撃者は、IIJのサービスインフラに対して不正なプログラムを設置・実行し、利用者のメール通信やアカウント情報などを外部に流出させた可能性があります。

• 攻撃対象
  • IIJセキュアMXサービス（法人向け）
• 侵入期間
  • 2024年8月3日～2025年初頭（調査継続中）
• 攻撃内容
  • 不正プログラムによる認証情報・メール内容の窃取

IIJはすでに不正アクセス経路を遮断し、安全な状態に復旧したとしていますが、原因や影響範囲の全容は引き続き調査中です。

被害の規模と漏えいの可能性がある情報

IIJの公式発表によると、影響を受けた可能性があるのは最大6,493契約、約407万2,650のメールアカウントです。以下の情報が漏えいした可能性があると報告されています。流出の可能性がある情報は以下のとおりです。

• 電子メールアカウントおよびそのパスワード
• メールの本文・添付ファイル・ヘッダ情報（宛先・送信元・日時など）
• 他社クラウドサービスと連携した際の認証情報（APIキーやOAuthトークンなど）

なお、2024年8月3日時点でサービスをすでに解約していた顧客の情報も漏えいしている可能性があることから、契約終了済みの旧利用者にも注意喚起が行われています。

IIJの対応内容と顧客向けサポート

IIJは今回の事態を受け、以下のような対応を実施しています。

• 不正アクセスの経路を遮断・安全性を復旧済み
• 被害範囲の調査と影響顧客への個別連絡を開始
• 「IIJサービスオンライン」で契約者向け情報を掲載
• 契約が終了した顧客向けに専用相談フォームを開設
• 関係省庁・関係機関と連携しつつ継続調査中

今後、調査結果に応じて影響範囲の拡大や追加情報の公開があり得るため、継続的な情報収集が必要です。

利用者が実施すべき5つの具体的なセキュリティ対策

今回のIIJによる情報漏えいの報道を受け、企業や利用者が取るべき対策は多岐にわたります。ここでは、特に重要な5つのポイントについて、実務レベルでの対応策をわかりやすく解説します。

パスワード変更と再認証の徹底

まず最優先すべきは、影響を受けた可能性のあるアカウントのパスワード変更です。特に、同一パスワードを複数サービスで使い回していた場合は、関連するすべてのサービスに対しても変更が必要です。

加えて、不正ログインを防止するためには、すべてのユーザーに一度ログアウトしてもらい、再度ログインさせる再認証の対応も重要です。これにより、漏えい済みのセッションが維持されていた場合でも、不正利用のリスクを軽減できます。

クラウド連携サービスの見直しと再設定

IIJセキュアMXサービスと連携していた外部サービス（Google Workspace、Microsoft 365、Slackなど）のOAuth認証やAPIキーが漏えいしている可能性があります。
そのため、該当する連携設定をすべて確認し、認証情報の再発行や不要な連携の削除を実施しましょう。

自動化された処理やメール転送などの設定が不正利用されるリスクもあるため、細かな部分まで点検することが求められます。

メールログ・接続履歴などの監視と精査

今回の攻撃は数カ月間にわたり潜伏していたことが確認されており、長期のログ監視が不可欠です。
SMTP/IMAPなどの接続ログや送受信履歴、アカウントアクセス状況を90日以上さかのぼって確認し、不審なアクセス（例：海外IP、深夜帯の大量送信）がないかチェックしましょう。

SIEMやEDRといったツールを導入している場合は、アラートの見直しや侵入経路の特定も合わせて実施すると効果的です。

多要素認証（MFA）の導入と運用定着

メールアカウントに多要素認証（MFA）を導入することは、パスワード漏えいの影響を抑える上で極めて有効です。
具体的には、スマートフォンの認証アプリを使ったワンタイムパスコードの入力や、YubiKeyなどの物理セキュリティキーの導入が挙げられます。

特に管理者アカウントには、より強固な認証手段を適用し、運用定着のための社内教育やサポート体制の整備も忘れずに行いましょう。

旧契約者・過去の認証情報の棚卸し

IIJは今回、契約終了済みの旧顧客も影響を受けた可能性があると明らかにしています。
そのため、「もう使っていないから大丈夫」と油断せず、過去に使用していたメールアカウントやクラウド連携情報を再確認し、残存する認証情報や自動転送設定などを削除・無効化する必要があります。

不要なアカウントや設定を放置することは、不正アクセスの足がかりになり得るため、定期的な棚卸しを推奨します。

まとめ｜大手通信企業でも油断できない時代、今こそ“前提とした備え”を

IIJのような大手通信事業者であっても、サイバー攻撃の標的となり得ることが明らかになりました。
セキュリティ対策は「攻撃を防ぐ」から「侵害を前提とした体制づくり」へと移行すべき時代です。

企業や団体は以下の3点を意識して、体制を見直すことが求められます。

1. インシデントの早期検知体制（ログ、アラート、CSIRT）
2. 侵害後の影響最小化策（ゼロトラスト、アクセス権管理）
3. ユーザー・取引先への迅速な報告と説明責任

今後、IIJの続報にも注目しつつ、同様の脅威に備えた情報資産の棚卸しと再点検を進めましょう。