TENTIALの正規メール送信基盤が乗っ取り被害、フィッシング11万通を配信

正規ドメインから一夜で11万通 #

TENTIAL(健康テック製品を扱う企業)が利用するメール送信サービスのアクセスキーが第三者に不正利用され、2026年7月25日午後8時から26日午前5時までの約9時間で、概算11万通のフィッシングメールが送信されていたことが判明した。送信元は noreply@tential.jp、info@tential.jp、noreply@kencoco.com という同社の正規ドメインで、SPF/DKIMなど送信ドメイン認証を正規に通過する状態で配信されたとみられる。深夜から未明という監視の目が薄い時間帯が選ばれた点も、攻撃側が検知回避を意識していたことをうかがわせる。同社は現時点でアクセスキーがどの経路で流出したかは調査中としている。

「送信専用」の権限分離が被害を限定した #

不幸中の幸いだったのは、悪用されたアクセスキーがメール送信機能に限定されたものだったことだ。顧客データベースなど他システムへのアクセス権限は持っておらず、TENTIAL側は個人情報の漏えいは確認されていないとしている。この構図はサプライチェーン型フィッシングの典型で、受信者はドメイン認証をパスした「正規のなりすまし」メールを見分けられない。攻撃者にとって正規送信基盤の乗っ取りは、迷惑メールフィルタを迂回できる点でコストパフォーマンスが非常に高い。

現場に効く教訓 #

企業側の対策としては、送信専用キーであっても定期ローテーション、アクセス元IPの制限、平常時からの送信量逸脱を検知する仕組みが効果を発揮する局面だったと言える。ユーザー側も「知っているドメインだから安全」という前提が崩れつつある現実を踏まえ、リンク遷移前のURL確認や公式アプリからの直接ログインを徹底したい。