メールアカウントへの不正アクセスで迷惑メール発信

Rocket Boysによると『東京都保健医療情報センターはメールサーバへ不正アクセスされ、479,716の迷惑メールの配信に悪用された事を発表しました。』と報道した。

さらに迷惑メール配信の原因として『本メールサーバのテストアカウントとして作成していたメールアカウントのパスワードの強度が低かったことが不正利用の一因と考えられ、既にパスワードの強化を図っているとのこと』とも報じています。

ハッキングされた背景の詳細は報道されていないので分かりませんが、テストアカウントは「共用される」ことが多いので、あまり複雑なパスワードを設定したり、多要素認証設定できない、という特性があると思います。

様々なシステムの構築や運用を外部に委託する公共機関や地方自治体機関も多く、

こうした「テストアカウント」を、利用機関が設定する場合もあれば、ベンダーが構築時に設定しているものや、運用時に監視などの目的で利用している場合もあるでしょう。

（東京都の発表のうち、再発防止策を読む限りにおいては、運用管理受託者、つまりベンダーの「テストアカウント」であると想像されます）

心理的背景として「こんな小さなシステムは攻撃されない」とか、「こんな（テストアカウント）は誰にも見つけられない」といった大丈夫だろうといった考えを持っていたというものもあると思います。

具体的にハッキングされている事例が出ている以上は、こうした心理的背景や、アカウント管理の対象はシステム上の全てであるとリセットして考える必要がありそうです。

https://rocket-boys.co.jp/security-measures-lab/tokyo-health-mail-server-hack/

東京都保健医療情報センター、メールサーバへ不正アクセスされ約47万件の迷惑メールの配信に悪用

https://www.metro.tokyo.lg.jp/tosei/hodohappyo/press/2025/01/24/14.html

東京都保健医療情報センターのメールサーバの外部からの不正利用について