日経のGoogle Workspace不正ログインは、日経ではなくGoogleからの通知で発覚した。盗まれたのがパスワードではなく、MFAを通した後の認証済みセッションだったなら、この発覚経緯は説明しやすい。そして9月30日、日経の正規アカウントから約9,000件のメールが送られた。受け取った側も認証履歴とセッションを確認しておきたい。
2026年10月4日、日本経済新聞社は、社員が利用するMicrosoft 365とGoogle Workspaceへの不正ログインを公表した。
Google Workspaceでは7月下旬以降に不正ログインがあり、社員や取引先など1,646人分の氏名やメールアドレスが漏えいした可能性がある。
この件で気になったのは人数ではない。
8月上旬、Googleからの通知で発覚した。
日経自身が先に見つけたのではない。
なぜGoogleには分かり、日経には分からなかったのか。
私は、盗まれたのがパスワードではなく、認証済みのセッションだった可能性を考えている。
普通のフィッシングなら、偽サイトでIDとパスワードを盗み、攻撃者が別の端末からログインする。
しかしAiTM型のフィッシングでは少し違う。
偽サイトが本物のGoogleやMicrosoftとの間に入り、利用者が入力したID、パスワード、さらにMFAまで本物へ中継する。
本人は正常にログインできる。
攻撃者が狙うのは、その後に発行される認証済みのセッションだ。
これを取られると、攻撃者は改めてパスワードやMFAを入力することなく、本人としてサービスを使える。
つまり、
MFAを破るのではない。 MFAを通した後を盗む。
Microsoftも、AiTM攻撃でこの方法によってMFA後のセッションを奪い、メールボックスへアクセスする事例を報告している。
では、盗まれたセッションはどのくらい使えるのか。
Google WorkspaceのWebセッション継続時間は、管理者が変更していなければ標準14日だ。Google管理コンソールから変更でき、期限が来ると再認証が求められる。
つまり認証済みセッションを取られた場合、Googleが異常を検知して切るか、期限が来るまでは、攻撃者は新たにログインする必要がない。
標準設定なら、再認証なしで最長14日程度、本人として静かに使える可能性がある。
メールを読む。
連絡先を見る。
過去のやり取りを調べる。
必要な情報だけ取る。
派手な操作をしなければ、利用企業の側からは「いつもの社員」のアクセスに見えてもおかしくない。
ここでの14日は、Googleが14日後に異常を検知するという意味ではない。
攻撃者が再ログインせずに動ける可能性のある時間だ。
利用企業から見れば、認証済みユーザーのアクセスに近い。
しかしGoogle側には、そのセッションがどこで作られ、その後どこから使われたのか、通常の利用と何が違うのかを見る材料がある。
Google Workspaceには、不審なセッションCookieを検出し、関連するセッションを終了させる仕組みもある。
今回Googleが実際に何を検知したのかは公表されていない。
通常の不審ログインだった可能性もある。
それでも、
Googleには分かった。日経にはそれまで分からなかった。
という発覚経緯は、セッション窃取ならかなり説明しやすい。
約2カ月後の9月30日。
今度は日経社員のMicrosoft 365アカウントが不正利用され、社内や取材先などへ悪性サイトへ誘導するメールが約9,000件送信された。
さらに日経BPでは、日本経済新聞社社員の正規メールアドレスから届いたメールをきっかけに、社員が誘導先で認証情報を入力し、不正アクセスを受けたことを公式に公表している。
つまり今回は、
正規アカウントを奪う → 普段やり取りしている相手へ送る → 相手が信用する → 認証させる → 次のアカウントを取る
という連鎖が実際に起きた。
7月のGoogle Workspaceと9月のMicrosoft 365が同じ攻撃者だった証拠はない。
ただし、攻撃の型はよく似ている。
7月には日経が受け手だった。
9月には、侵害された日経のアカウントが次のフィッシングを送る側になった。
そうだった可能性は考えておきたい。
今回の9,000件で一番怖いのはここだ。
フィッシングメールは、怪しいアドレスから来るとは限らない。
アカウントそのものを奪われれば、本物の日経社員のメールアドレスから届く。
しかも過去にやり取りした相手から届けば、なおさら疑いにくい。
だから注意すべきなのは差出人だけではない。
普段の相手からでも、突然MicrosoftやGoogleへのログインを求められたら、メール内のリンクから入らない。
ID、パスワード、MFAまで正常に通ったからといって、本物だったとは限らない。
もし入力してしまったら、パスワード変更だけで終わらせず、既存セッションも失効させる。
そして9月30日前後に日経社員から該当するメールを受け取った組織は、その後の認証履歴も一度確認した方がいい。
今回のGoogle Workspaceで、本当に盗まれたのがセッションだったのかは、まだ分からない。
次の報告で知りたいのは、Googleから届いた通知の種類と、攻撃者が新たにログインしていたのか、それとも既存セッションを使っていたのかだ。
ただ、一つだけ言える。
もう「パスワードを盗まれなければ大丈夫」ではない。 攻撃者が狙うのは、本人確認を終えた後までだ。
9月30日に日経から送信された約9,000件は、社内だけでなく取材先などにも届いている。
すでに日経BPでは、そのメールを起点とした被害が確認された。
今回、日経から送られてきたメールを起点に、さらに被害が広がらないことを願う。
受け取った側も「日経から来たメールだから大丈夫」で終わらせず、認証履歴と現在のセッションを一度確認しておいた方がいい。
Aikido Community Japan
公開日: 2026/10/5
最終更新: 2026/10/5
セキュリティの最新情報をお届けします。