インターネットイニシアティブ（IIJ）は2025年4月22日、同社が提供する法人向けメールセキュリティサービス「IIJセキュアMXサービス」において、最大約407万件のアカウントに影響を与えた不正アクセスの続報を発表しました。今回新たに、約31万件のメールアカウント情報が実際に外部へ漏えいしていたことが確認されました。
何が起きたのか？──IIJセキュアMXサービスへの不正アクセス
IIJセキュアMXサービスは、企業向けに提供されているクラウド型のメールフィルタリング・セキュリティ対策サービスです。今回のインシデントは、2024年8月以降に第三者によって発生した不正アクセスが発端となっています。
同社は2025年4月10日、不審な挙動に気づき、即座に調査を開始。その結果、最大で約407万件のメールアカウントが影響を受けた可能性があると発表しました。そして4月22日には、続報として、実際に漏えいが確認されたアカウント数は132契約で計311,288件にのぼると公表しました。
また、メール本文やヘッダ情報が流出した契約が6件、クラウドサービスと連携するための認証情報が漏えいした契約は488件と判明しており、影響を受けた契約数は重複を除いて586件に及んでいます。
▼ IIJからのリリース🔗
漏えいした情報の内容とそのリスク
今回漏えいが確認された情報は以下の通りです。
漏えいしたアカウント情報が悪用されれば、メールの不正送信やなりすまし、さらなる情報漏えいに繋がる恐れがあります。また、クラウドサービスと連携していた場合は、ストレージやファイル共有サービスなどの外部サービスが侵害される可能性もあるため、特に注意が必要です。
原因はActive! mailのゼロデイ脆弱性
IIJは、今回の不正アクセスの原因が、メール閲覧ソフト「Active! mail」に存在したゼロデイ脆弱性（CVE-2025-42599）だったことを明らかにしました。スタックベースのバッファオーバーフローにより、リモートから任意のコードを実行できる危険性があります。CVSSスコア（危険度を表す指標）は「9.8（緊急）」と非常に高く、迅速な対応が求められる脆弱性です。
Active! mailは、法人向けに多く利用されているWebメールソフトで、今回攻撃対象となったのは旧バージョンのものでした。IIJではこのオプション機能の提供をすでに終了していましたが、旧環境を利用していた一部の契約で被害が確認されました。
開発元のクオリティアはすでに修正済みの最新版を提供しており、セキュリティ対策の強化が呼びかけられています。
▼ Active! mail開発元のQUALITIA社からのリリース🔗
IIJの対応と今後の対策
IIJは、影響を受けた契約者に対し個別に連絡を行い、対応を進めています。契約中の企業には「IIJサービスオンライン」上で情報を提供。過去にサービスを利用していたが現在は契約が終了している企業向けには、専用の問い合わせフォームを設け、相談を受け付けています。
さらに、同社は原因となったソフトウェアの脆弱性について開発元と連携し、修正対応を行っています。今後はセキュリティ監視体制の強化と、再発防止に向けた仕組みの見直しを進めるとしています。
企業として取るべき対策とは？
今回の件を教訓として、企業がすぐに取り組むべき対策には以下のようなものがあります。
特に、旧バージョンのソフトウェアを長期間利用している場合は、脆弱性が放置されやすいため、定期的な更新と脆弱性の確認が不可欠です。
まとめ：ゼロデイ攻撃への備えを忘れずに
IIJの続報から明らかになったのは、ゼロデイ脆弱性を突いたサイバー攻撃が、企業にもたらす影響の大きさです。クラウドサービスやメールシステムといった日常的に使われるインフラが標的となる以上、どの企業も「自分ごと」として備える必要があります。
今回のインシデントを機に、ソフトウェアの脆弱性管理、アクセス権限の見直し、セキュリティ教育の強化といった基本対策を今一度確認し、自社のセキュリティ体制を見直してみてはいかがでしょうか。
コメント