# IIJセキュアMXサービスへの不正アクセス(2025年4月公表)

> 2025-04-15に公表されたIIJセキュアMXサービスへの不正アクセスについて、侵入経路(Active! mailのゼロデイ)、漏えいした情報(31万1,288アカウントほか)、総務省の行政指導と会社の対応を、出典つきでまとめました。2026-10-06時点。

発行: 株式会社ウェステリア(https://westeria.jp) / 特集: 国内のデータ流出・不正アクセス事案まとめ(https://westeria.jp/security-incidents/) / 出典: https://westeria.jp/security-incidents/cases/iij-securemx-2025/

状態: 調査結果公表済み / 公開: 2026-10-06 / 最終更新: 2026-10-06

## 要点

- 法人向けメールセキュリティサービスの設備に、2024-08-03から不正アクセスが続いていました。対象は最大6,493契約・407万2,650アカウントです。
- 原因は、サービスで使っていた他社製Webメールソフト「Active! mail」の未知の脆弱性(ゼロデイ)でした。
- 漏えいを確認したのは重複を除き586契約で、うちメールアカウントとパスワードは132契約・31万1,288アカウントです。総務省が2025-07-18に文書で行政指導しました。

## 概要

- 公表日: 2025年4月15日
- 発生: 2024年8月NaN日
- 検知・発覚: 2025年4月NaN日
- 最新の公表: 2025年4月22日
- 組織・業種: IIJ「IIJセキュアMXサービス」(ISP・メールセキュリティ / 通信・ISP)
- 手口: [利用しているSaaS・他社製ソフト](https://westeria.jp/security-incidents/tactics/saas-third-party/)、[委託先・取引先経由](https://westeria.jp/security-incidents/tactics/supply-chain/)
- 漏えいした情報・件数: 最大6,493契約・407万2,650アカウントが対象。漏えいを確認したのは586契約(重複除外)。内訳はメールアカウント・パスワード132契約(31万1,288アカウント)、メール本文・ヘッダ6契約、連携するクラウドサービスの認証情報488契約
- 業務への影響: 経路を遮断し、サービスは継続。日本取引所グループや銀行など利用企業も影響を公表
- 業績への影響: 未公表
- 行政の対応: 総務省が2025-07-18、通信の秘密の保護と再発防止を求めて文書で行政指導
- 調査報告書・再発防止策: https://www.iij.ad.jp/news/pressrelease/2025/0422-2.html

## 経緯

- 2024年8月3日: この日以降、サービスの設備への不正アクセスが始まる(のちの調査で判明)。 [1]
- 2025年4月10日: サービスの設備で不正なプログラムが実行されていることを確認。 [1]
- 2025年4月15日: 第一報。最大407万2,650アカウントのメール情報が漏えいした可能性を公表。 [1]
- 2025年4月22日: 第二報。原因はActive! mailの脆弱性を突いたゼロデイ攻撃で、586契約で漏えいを確認したと公表。 [3]
- 2025年7月18日: 総務省が通信の秘密の保護と再発防止を求めて文書で行政指導。 [4]

## 侵入経路と原因

IIJの第二報によると、原因は「第三者製のソフトウェアの脆弱性を悪用されたこと」です。サービスで使っていたWebメールソフト「Active! mail」に、スタック型バッファオーバーフロー(想定より長いデータを送り込んでプログラムを乗っ取る種類の欠陥)がありました。

この脆弱性は、不正アクセスの時点では知られていませんでした。修正が出る前の脆弱性を突く攻撃を「ゼロデイ攻撃」と呼びます。IPA(情報処理推進機構)は2025-04-18にこの脆弱性(CVE-2025-42599)を公表し、深刻度を最も高い「緊急」(CVSS基本値9.8)としました。遠隔から細工したリクエストを送るだけで任意のコードを実行される恐れがあり、悪用する攻撃がすでに確認されているとして、修正版への更新を呼びかけています。

総務省の資料では、不正アクセスの期間は2024-08-03から2025-04-17までです。外部と接続するサーバの1つが入口になりました。IIJが不正なプログラムの実行に気づいたのは2025-04-10で、侵入から8カ月以上たっていました。気づくまでに時間がかかった理由や、攻撃者の特定は公表されていません。

## 影響

対象になり得たのは最大6,493契約・407万2,650アカウントです。漏えいの可能性がある情報は、メールアカウントとパスワード、送受信したメールの本文とヘッダ、サービスと連携する他社クラウドサービスの認証情報の3種類とされました。2024-08-03より前に利用を終えていた契約は、メールアカウントだけが対象です。

2025-04-22時点で漏えいを確認したのは、重複を除いて586契約です。メールアカウントとパスワードが132契約(31万1,288アカウント)、メール本文・ヘッダが6契約、連携クラウドサービスの認証情報が488契約でした。

このサービスは企業や団体のメールの入口にあたるため、影響は利用企業にも広がりました。日本取引所グループや銀行などの利用企業が、自社のメールに関わる影響を公表しています。漏えいした情報を使った二次被害の有無は、IIJの公表資料では確認できていません。

## 会社の対応と再発防止策

IIJは第一報の時点で不正アクセスの経路を特定して切り離しており、サービスは安全に使える状態だと説明しました。現在の契約者には担当者から個別に案内し、過去の利用者向けには専用の相談フォームを設けました(2025-08-21に受付を終え、以後は通常の窓口で対応)。Active! mailを使うオプション機能は、2025年2月で提供を終えていました。

第二報では、再発防止に向けて「セキュリティ対策および監視体制の強化について検討を進めている」としました。その後、2025-06-26に検知の機能を強化し、2025年7月中にファイアウォールの多層化を終える予定だと報告したと報じられています。

総務省は2025-07-18、通信の秘密の漏えいにあたるとして、通信の秘密の保護の徹底と再発防止策などを求めて文書で行政指導しました。業界全体のセキュリティ水準を上げる取り組みも求めています。

## この事案から学べること

- 自社で作っていないソフトでも、サービスに組み込めば、その脆弱性は自社の事故になります。
- ゼロデイ攻撃は修正を待つだけでは防げません。異常なプログラムの実行を見つける監視が、被害を短くする鍵になります。
- メールの基盤は、本文だけでなく連携するクラウドサービスの認証情報も預かっています。漏れたときの影響範囲は想像より広くなります。
- 通信サービスでの漏えいは、個人情報保護法に加えて通信の秘密の問題にもなり、所管官庁が動きます。

## 自社で確認すること

- 自社のサービスや社内システムに組み込んでいる他社製ソフトの一覧と、その更新状況を把握していますか。
- 外部に公開しているサーバで、想定外のプログラムが動いたときに気づける仕組みはありますか。
- メールなどのサービスから他のクラウドへ連携するための認証情報を、定期的に見直していますか。
- 確認項目の全体: https://westeria.jp/security-incidents/guide/checklist/

## よくあるご質問

### IIJのどのサービスが対象ですか。

法人向けのメールセキュリティサービス「IIJセキュアMXサービス」です。最大6,493契約・407万2,650アカウントが対象になり得ました。

### 原因のソフトはIIJが作ったものですか。

いいえ。IIJは原因を「第三者製のソフトウェアの脆弱性」と説明しています。Webメールソフト「Active! mail」の、当時知られていなかった脆弱性です。

## 出典

1. [IIJ、400万アカウント超のメール情報漏えいか 設備に不正アクセス](https://www.itmedia.co.jp/news/articles/2504/15/news112.html)(ITmedia NEWS、2025-04-15)
2. [IIJセキュアMXサービスにおけるお客様情報の漏えいについてのお詫びとご報告](https://www.iij.ad.jp/news/pressrelease/2025/0422-2.html)(株式会社インターネットイニシアティブ、2025-04-22)
3. [IIJ不正アクセス、原因は「Active! mail」の脆弱性を悪用したゼロデイ攻撃 586契約で漏えい判明](https://www.itmedia.co.jp/news/articles/2504/22/news156.html)(ITmedia NEWS、2025-04-22)
4. [株式会社インターネットイニシアティブに対する通信の秘密の保護に係る措置(指導)](https://www.soumu.go.jp/menu_news/s-news/01kiban18_01000259.html)(総務省、2025-07-18)
5. [IIJに行政指導、4月発表の不正アクセス巡り 総務省](https://www.itmedia.co.jp/news/articles/2507/18/news112.html)(ITmedia NEWS、2025-07-18)

## 関連ページ

- 2025年の事案一覧: https://westeria.jp/security-incidents/2025/
- 事案まとめ(ハブ): https://westeria.jp/security-incidents/

---

株式会社ウェステリアはAIを使った開発を行う会社で、セキュリティの専門会社ではありません。被害が起きたときの調査(フォレンジック)や対応は専門の会社に依頼してください。本ページは公式発表と報道で確認できた事実だけをまとめたものです。