IIJセキュアMXサービスへの不正アクセス(2025年4月公表)
結論から
- 法人向けメールセキュリティサービスの設備に、2024-08-03から不正アクセスが続いていました。対象は最大6,493契約・407万2,650アカウントです。
- 原因は、サービスで使っていた他社製Webメールソフト「Active! mail」の未知の脆弱性(ゼロデイ)でした。
- 漏えいを確認したのは重複を除き586契約で、うちメールアカウントとパスワードは132契約・31万1,288アカウントです。総務省が2025-07-18に文書で行政指導しました。
概要
- 公表日
- 2025年4月15日
- 発生
- 2024年8月NaN日
- 検知・発覚
- 2025年4月NaN日
- 最新の公表
- 2025年4月22日
- 組織・業種
- IIJ「IIJセキュアMXサービス」(ISP・メールセキュリティ / 通信・ISP)
- 漏えいした情報・件数
- 最大6,493契約・407万2,650アカウントが対象。漏えいを確認したのは586契約(重複除外)。内訳はメールアカウント・パスワード132契約(31万1,288アカウント)、メール本文・ヘッダ6契約、連携するクラウドサービスの認証情報488契約
- 業務への影響
- 経路を遮断し、サービスは継続。日本取引所グループや銀行など利用企業も影響を公表
- 業績への影響
- 未公表
- 行政の対応
- 総務省が2025-07-18、通信の秘密の保護と再発防止を求めて文書で行政指導
- 調査報告書・再発防止策
- 公式の資料を開く ↗
この事案の続報をメールで受け取る
続報(調査結果・侵入経路・再発防止策の公表)が出たらお知らせします。登録はメールアドレスだけです。
経緯
侵入経路と原因
IIJの第二報によると、原因は「第三者製のソフトウェアの脆弱性を悪用されたこと」です。サービスで使っていたWebメールソフト「Active! mail」に、スタック型バッファオーバーフロー(想定より長いデータを送り込んでプログラムを乗っ取る種類の欠陥)がありました。
この脆弱性は、不正アクセスの時点では知られていませんでした。修正が出る前の脆弱性を突く攻撃を「ゼロデイ攻撃」と呼びます。IPA(情報処理推進機構)は2025-04-18にこの脆弱性(CVE-2025-42599)を公表し、深刻度を最も高い「緊急」(CVSS基本値9.8)としました。遠隔から細工したリクエストを送るだけで任意のコードを実行される恐れがあり、悪用する攻撃がすでに確認されているとして、修正版への更新を呼びかけています。
総務省の資料では、不正アクセスの期間は2024-08-03から2025-04-17までです。外部と接続するサーバの1つが入口になりました。IIJが不正なプログラムの実行に気づいたのは2025-04-10で、侵入から8カ月以上たっていました。気づくまでに時間がかかった理由や、攻撃者の特定は公表されていません。
影響
対象になり得たのは最大6,493契約・407万2,650アカウントです。漏えいの可能性がある情報は、メールアカウントとパスワード、送受信したメールの本文とヘッダ、サービスと連携する他社クラウドサービスの認証情報の3種類とされました。2024-08-03より前に利用を終えていた契約は、メールアカウントだけが対象です。
2025-04-22時点で漏えいを確認したのは、重複を除いて586契約です。メールアカウントとパスワードが132契約(31万1,288アカウント)、メール本文・ヘッダが6契約、連携クラウドサービスの認証情報が488契約でした。
このサービスは企業や団体のメールの入口にあたるため、影響は利用企業にも広がりました。日本取引所グループや銀行などの利用企業が、自社のメールに関わる影響を公表しています。漏えいした情報を使った二次被害の有無は、IIJの公表資料では確認できていません。
会社の対応と再発防止策
IIJは第一報の時点で不正アクセスの経路を特定して切り離しており、サービスは安全に使える状態だと説明しました。現在の契約者には担当者から個別に案内し、過去の利用者向けには専用の相談フォームを設けました(2025-08-21に受付を終え、以後は通常の窓口で対応)。Active! mailを使うオプション機能は、2025年2月で提供を終えていました。
第二報では、再発防止に向けて「セキュリティ対策および監視体制の強化について検討を進めている」としました。その後、2025-06-26に検知の機能を強化し、2025年7月中にファイアウォールの多層化を終える予定だと報告したと報じられています。
総務省は2025-07-18、通信の秘密の漏えいにあたるとして、通信の秘密の保護の徹底と再発防止策などを求めて文書で行政指導しました。業界全体のセキュリティ水準を上げる取り組みも求めています。
この事案から学べること
- 自社で作っていないソフトでも、サービスに組み込めば、その脆弱性は自社の事故になります。
- ゼロデイ攻撃は修正を待つだけでは防げません。異常なプログラムの実行を見つける監視が、被害を短くする鍵になります。
- メールの基盤は、本文だけでなく連携するクラウドサービスの認証情報も預かっています。漏れたときの影響範囲は想像より広くなります。
- 通信サービスでの漏えいは、個人情報保護法に加えて通信の秘密の問題にもなり、所管官庁が動きます。
自社で確認すること
- 1 自社のサービスや社内システムに組み込んでいる他社製ソフトの一覧と、その更新状況を把握していますか。
- 2 外部に公開しているサーバで、想定外のプログラムが動いたときに気づける仕組みはありますか。
- 3 メールなどのサービスから他のクラウドへ連携するための認証情報を、定期的に見直していますか。
同じ手口の事案
利用しているSaaS・他社製ソフト
- JAL・ANA(Amadeus) (2026年10月28日) 航空会社が使う予約システムに不正アクセス。JAL・JTAの延べ約9万2,000件の予約情報が対象に
- デジタル庁 (2026年10月22日) Web制作サービス「Studio」への不正アクセスの波及で、問い合わせフォームの入力内容 最大1万3,323件が漏えいした可能性
- バルテック (2026年10月22日) 業務クラウドの脆弱性を突かれてマルウェアを設置され、契約企業1,213件の情報などを外部へ送信。20超のサービスを停止
委託先・取引先経由
- ベネフィット・ワン(トク買) (2026年10月28日) 委託先のシステムに不正アクセス。クレディセゾン会員向け優待サービスの2万9,465人分が漏えい
- JAL・ANA(Amadeus) (2026年10月28日) 航空会社が使う予約システムに不正アクセス。JAL・JTAの延べ約9万2,000件の予約情報が対象に
- デジタル庁 (2026年10月22日) Web制作サービス「Studio」への不正アクセスの波及で、問い合わせフォームの入力内容 最大1万3,323件が漏えいした可能性
関連する事案
よくあるご質問
- IIJのどのサービスが対象ですか。
- 法人向けのメールセキュリティサービス「IIJセキュアMXサービス」です。最大6,493契約・407万2,650アカウントが対象になり得ました。
- 原因のソフトはIIJが作ったものですか。
- いいえ。IIJは原因を「第三者製のソフトウェアの脆弱性」と説明しています。Webメールソフト「Active! mail」の、当時知られていなかった脆弱性です。
出典
- IIJ、400万アカウント超のメール情報漏えいか 設備に不正アクセス ↗ (ITmedia NEWS、2025-04-15)
- IIJセキュアMXサービスにおけるお客様情報の漏えいについてのお詫びとご報告 ↗ (株式会社インターネットイニシアティブ、2025-04-22)
- IIJ不正アクセス、原因は「Active! mail」の脆弱性を悪用したゼロデイ攻撃 586契約で漏えい判明 ↗ (ITmedia NEWS、2025-04-22)
- 株式会社インターネットイニシアティブに対する通信の秘密の保護に係る措置(指導) ↗ (総務省、2025-07-18)
- IIJに行政指導、4月発表の不正アクセス巡り 総務省 ↗ (ITmedia NEWS、2025-07-18)