委託側も委託先の作業確認が必要

RocketBoysによると『徳島県は2025年2月22日から2月27日にかけて、県教育委員会のメールサーバが不正アクセスによる第三者に悪用され、迷惑メールが大量に送信されていたことが発表しました。』と発表した。

発表では『県教育委員会が使用するメールサーバを経由し、約140万通の迷惑メールが送信されていました。送信元アドレスには、実在しないものと実在するものが混在しており、特に実在するアドレスを使用したケースでは、受信者が正規のメールと誤認する恐れがありました。』としている。

これはフィッシングメールの基地として使われてしまったという点で重大です。「@mt.tokushima-ec.ed.jp」ドメインは、（実在するドメインに見間違えてしまう）「ドッペルゲンガードメイン」とは違って実在する分だけ重大度が高いと思います。

不幸中の幸いで、実際に送付されたメールは、フィッシングメールというよりも迷惑メールのレベルだったそうで、実害に結びつく可能性が低いので良かったです。

原因は確認中だが、サービス提供者のメンテナンスによるものとされていて、作業精度の低さが問題となりそうです。この件とは別に、サービス提供者の作業による発生というインシデントが見られます。サービス提供者への確認も委託側の責任として発生すると思います。

https://rocket-boys.co.jp/security-measures-lab/tokushima-edu-mail-server-breach-spam-relay/

徳島県 教育委員会がメールサーバへの不正アクセスにより迷惑メールの踏み台に

https://www.pref.tokushima.lg.jp/ippannokata/kyoiku/gakkokyoiku/7302132/

【注意喚起】迷惑メール送信事案の発生について