日本郵便から約52万通の迷惑メール｜不正アクセスで使用中のメールアドレスが悪用

日本郵便は2026年10月16日、サーバーへの不正アクセスにより、同社が使用していたメールアドレスから約52万通の迷惑メールが外部へ送信されていたと明らかにしました。

問題となったのは、海外へ送った国際郵便物が届かない場合などに調査を申し込む「調査請求Web受付サービス」で利用していたサーバーです。

同サービスについては、日本郵便が9月25日に外部からの不正アクセスの可能性を公表し、受付を停止していました。

今回の調査で、迷惑メールは少なくとも7月15日から送信されていたことが判明しています。

送信元として確認されたメールアドレスは、

kokusai-web-chousa@mail.post.japanpost.jp

です。

2026年10月16日時点で、今回の迷惑メールによる詐欺被害は報告されていません。

日本郵便「調査請求Web受付サービスへの不正アクセス等の発生について」

日本郵便の不正アクセスで最大600件の個人情報漏えいの可能性

迷惑メールの大量送信だけではありません。

今回不正アクセスを受けたサービスを利用した顧客などについて、 最大約600件の個人情報が流出した可能性もあると報じられています。

対象となる可能性がある情報には、

  • 氏名
  • 住所
  • 電話番号

などが含まれます。

一方、現時点では実際に600件すべてが外部へ流出したと確定したわけではなく、詳細については引き続き公式発表を確認する必要があります。

日本郵便の迷惑メールが届いたらどうする？まずリンク・添付ファイルを開かない

今回、利用者にとって最も重要なのが「実際にメールが届いた場合、どうすればいいのか」です。

日本郵便は、 不審なメールの添付ファイルやリンク先を開かず、そのまま削除する よう呼びかけています。

基本的には次の対応をしてください。

  1. メール本文にあるURLをクリックしない
  2. 添付されたZIP・PDF・Wordなどのファイルを開かない
  3. メールへ返信しない
  4. メール内に記載された電話番号へ電話しない
  5. 日本郵便の情報を確認したい場合は、自分で公式サイトを開く
  6. 不審なメールは削除する

今回特に注意したいのは、メールの差出人欄が日本郵便の正規アドレスらしく見えても、安全とは限らないということです。

今回のように企業側のサーバーやアカウントそのものが侵害されれば、攻撃者が企業の使用しているメールアドレスを悪用する可能性があります。

日本郵便の迷惑メールのリンクを押してしまった場合は？

リンクをクリックしただけで、必ず被害が発生するわけではありません。

ただし、不審なサイトが表示された場合は、それ以上操作せず画面を閉じてください。

そのうえで、

  • ファイルをダウンロードしていないか確認する
  • ブラウザから通知許可などを求められていないか確認する
  • セキュリティソフトで端末をスキャンする
  • 会社PCの場合は情報システム・セキュリティ担当者へ連絡する

といった対応を行うとよいでしょう。

メール先でパスワードやクレジットカード情報を入力した場合は？

もしリンク先で情報を入力してしまった場合は、対応を急ぐ必要があります。

パスワードを入力した場合

  • 公式サイトから直ちにパスワードを変更する
  • 同じパスワードを使い回しているサービスも変更する
  • 利用可能であれば多要素認証を設定する
  • ログイン履歴や不審なアクセスを確認する

クレジットカード情報を入力した場合

  • カード会社へ直ちに連絡する
  • 必要に応じてカード利用停止・再発行を相談する
  • 利用明細を継続的に確認する

銀行口座や金融サービスの認証情報を入力した場合

  • 金融機関へ速やかに連絡する
  • パスワード・暗証情報を変更する
  • 身に覚えのない取引がないか確認する

会社のメールアドレスやMicrosoft 365、Google Workspaceなどの認証情報を入力してしまった場合は、個人判断で済ませず、社内の情報システム・セキュリティ部門へ速やかに報告することが重要です。

日本郵便を装ったSMSにも注意｜不在通知をSMSでは送っていない

今回の事案とは別に、日本郵政グループは以前から、日本郵便や郵便局を装ったメール・SMS・電話への注意を呼びかけています。

公式案内では、 日本郵便はSMSによる「不在連絡のお知らせ」を行っていません。

また、日本郵便のWebサイトで使用するURLについて「.com」「.net」「.top」は使用していないと案内しています。

そのため、

  • 「お荷物を持ち帰りました」
  • 「住所が不明です」
  • 「再配達の手続きが必要です」
  • 「通関料を支払ってください」

などとSMSでURLを開かせようとする連絡には注意してください。

日本郵政「郵便局などを装った不審な電話、メール、SMS及び架空Webサイトにご注意ください」

なぜ日本郵便52万通の事案が怖い？「正規企業を装う」から「正規企業を乗っ取る」攻撃へ

今回の事案で企業のDX・セキュリティ担当者が注目すべきなのは、単なる迷惑メールの大量送信ではありません。

従来のフィッシングでは、

「日本郵便に似た名前」
「日本郵便に似た偽ドメイン」

などを使って利用者を騙すケースが一般的でした。

しかし今回のように企業側のサーバーが侵害された場合、 実際に企業が利用しているメール環境が攻撃の踏み台として悪用される可能性があります。

つまり、

「差出人を確認してください」という利用者教育だけでは防ぎきれない攻撃がある

ということです。

DX担当者が日本郵便の不正アクセスから確認すべき4つの対策

1．メールの大量送信を異常として検知する

通常とは異なる大量メール送信が発生した場合に、自動的に警告・停止できる仕組みが重要です。

例えば、

  • 短時間での大量送信
  • 普段とは異なる送信先
  • 深夜帯の大量通信
  • 通常使われないメール送信機能の利用

などを監視する必要があります。

2．Webサーバーとメール送信権限を必要以上につなげない

Webサービスが侵害された際に、そのまま大量メールを送れる状態になっていれば被害範囲が広がります。

「このサーバーが侵害された場合、何ができてしまうのか」を整理し、最小権限で設計することが重要です。

3．顧客向けメールをインシデント対応に含める

不正アクセスが発生した場合、

  • データが盗まれたか
  • システムが改ざんされたか

だけではなく、

「自社のメールアドレスが攻撃に利用されていないか」

も確認すべきです。

4．侵害されたことを前提にBlast Radiusを小さくする

サイバー攻撃を完全に防ぐことは困難です。

だからこそ、

1台・1アカウント・1サーバーが侵害されても、顧客情報やメール送信基盤など他のシステムへ簡単に到達できない構成

にすることが重要です。

ERP / DX SUPPORT

DX推進とセキュリティ対策を
別々に考えていませんか？

Webサービス、クラウド、メール配信、SaaSの利用が増えるほど、認証・権限・ログ・ネットワーク分離まで含めたセキュリティ設計が重要になります。DX推進に伴うセキュリティや運用設計について、現状の課題整理からご相談いただけます。

まとめ｜日本郵便52万通、「差出人が本物でも安全とは限らない」

今回、日本郵便のサーバーへの不正アクセスにより、同社が利用していたメールアドレスから約52万通の迷惑メールが送信されていたことが明らかになりました。

また、サービス利用者など最大600件の氏名・住所・電話番号などが漏えいした可能性があります。

現時点では詐欺被害は報告されていません。

しかし今回の事案が示しているのは、

「知らないメールアドレスから来るメールだけを警戒すればいい」という時代ではなくなっている

ということではないでしょうか。

メールの送信元だけで判断せず、リンク・添付ファイル・ログイン要求など、そのメールが求めている「行動」を確認することが重要です。

参考情報・出典

※本記事は2026年10月16日時点の日本郵便・日本郵政の公表情報および共同通信報道をもとに作成しています。迷惑メールの具体的な文面、不正アクセスの詳細な侵入経路、個人情報の最終的な漏えい範囲などについては今後追加情報が公表される可能性があります。

Views: 21