NEWIIJメールセキュリティサービスに不正アクセス、情報漏洩…Webメール プロダクトのゼロデイ脆弱性突かれる

– 4月15日(日本時間)、IIJ社より、同社が運営する法人向けメールセキュリティサービス「IIJセキュアMXサービス」が不正アクセスを受け、顧客情報等が漏えいした可能性があると発表されました。

– 少なくとも2024年8月3日以降において不正アクセスが発生、システムに不正なプログラムが設置されていたことを確認しており、当該サービスの利用者(過去に利用していた利用者含む)最大6,493契約、メールアカウント4,072,650件の情報が漏えいした可能性があり、同22日の続報では、うち586契約およびメールアカウント311,288件について漏洩の事実が確認されたとしています。

– また続報では、不正アクセスについて、当該サービスで2025年2月まで使用していたサードパーティー製Webメールソフトウェア「Active! mail」において未発見・未修正だった(いわゆるゼロデイの)脆弱性「CVE2025-42599」を悪用されたことが明らかになっています(同16日にはActive! mailの開発元よりセキュリティアップデートがリリースされています)。

– 同社では現在当該サービスを契約中で影響を受けた可能性があるユーザーに対し個別に案内を行っており、また過去利用していたユーザーに対しても連絡を呼び掛けています。

– 4月24日(日本時間)、任天堂より、「Nintendo Switch 2」の抽選販売の結果を騙るフィッシングメールが確認されているとして注意喚起が出されています。

– 当日は4月4日～同16日の抽選応募者に対する抽選結果のメール発送が予定されていましたが、同社サポートのX(旧Twitter)アカウントより一連の注意喚起の投稿があり、19時20分(初報の投稿)以前に届いたメールや、予約や購入のURL、同社と異なる電話番号・FAX番号があるメールは、同社が送信したものではないとしています。

– 同日23時19分にメール送信を行った旨が上記アカウントから投稿されており、メールが届いていない応募者に対しては、ニンテンドーアカウントの「あなたへのお知らせ」で抽選結果を確認するよう呼び掛けています。