共立メンテナンス、従業員が受信したフィッシングメールを起点に業務用端末が第三者に操作される — 入居者や取引先の情報が流出のおそれ

項目	内容
発生日	2025年10月23日（セキュリティ対策ソフトが通常とは異なる通信を検知）
公表日	2025年12月18日
対象組織・業界	共立メンテナンス（宿泊・観光）
影響件数	公表されていない。対象は入居者やその家族、取引先、業務委託先の担当者、見学申込者、同社従業員の氏名、電話番号、メールアドレス、連絡先情報など
攻撃手法	従業員が受信したフィッシングメールが攻撃の起点となり、業務用端末が第三者により操作された
情報源	Security NEXT（2025年12月18日）

概要

共立メンテナンスは2025年12月18日、従業員が受信したフィッシングメールが攻撃の起点となり、業務用端末が第三者により操作されたと公表しました。

発覚は2025年10月23日で、セキュリティ対策ソフトが端末において通常とは異なる通信を検知したことによります。同社は当該端末をネットワークから遮断しました。

流出したおそれがあるのは、入居者やその家族、取引先、業務委託先の担当者、見学申込者、同社従業員の氏名、電話番号、メールアドレス、連絡先情報などです。件数は公表されていません。

個人情報保護委員会には速報として2025年11月11日に報告しています。不正利用など二次被害は確認されていない一方で、個人情報が流出したおそれもあると述べられています。

経緯

• 時期不明: 従業員がフィッシングメールを受信。これが攻撃の起点となり、業務用端末が第三者により操作される
• 2025年10月23日: セキュリティ対策ソフトが端末において通常とは異なる通信を検知。当該端末をネットワークから遮断
• 2025年11月11日: 個人情報保護委員会へ速報として報告
• 2025年12月18日: 共立メンテナンスが公表。二次被害は確認されていないとする

原因

判明している事実: 従業員が受信したフィッシングメールが攻撃の起点となり、業務用端末が第三者により操作されたことです。フィッシングメールの内容、端末が操作されるに至った具体的な経路、操作されていた期間は公表されていません。

考えられる原因（推測）

「フィッシングメールが起点となり、端末が第三者により操作された」という経過は、認証情報を入力させる型のフィッシングではなく、端末そのものの制御を渡す型の攻撃であった可能性を示唆します。従業員がメールから誘導された先で、遠隔操作を可能にするソフトウェアの導入や、表示された指示に従った操作を行った——という流れが考えられます。近年増えている偽の警告表示から遠隔操作へ誘導する手口と同じ構造です。

流出のおそれがある対象が、入居者、その家族、取引先、業務委託先の担当者、見学申込者、従業員と幅広く並んでいる点は、操作された端末から到達できる範囲が広かったことを示しています。1台の端末が握られたときに何が見えるかは、その端末から参照できる共有領域の広さで決まります。

検知が「セキュリティ対策ソフトによる通常とは異なる通信の検知」であった点は、マルウェアそのものの検出ではなく、通信の異常として現れたことを意味します。

対策

組織が学ぶべきこと

1. 端末1台から到達できる範囲を、業務単位まで絞る

流出のおそれがある対象が6種類の立場に及んでいます。1台の端末から入居者情報も取引先情報も従業員情報も参照できる状態であれば、1台の侵害が全体の侵害になります。共有領域の参照範囲を業務単位に絞ることが、被害の上限を直接下げます。

2. 通信の異常を検知できる体制が、この事案の初動を成立させた

発覚はセキュリティ対策ソフトが通常とは異なる通信を検知したことによります。マルウェアの検出ではなく、通信の異常として捉えられています。正規の操作を装う攻撃では、実行されるファイルではなく通信の宛先や量に異常が現れます。

3. フィッシングは「認証情報を盗む」だけの手口ではない

この事案では、フィッシングが端末の操作権を渡す起点になっています。「パスワードを入力しなければ安全」という理解では、この型を防げません。訓練のシナリオに、遠隔操作への誘導や偽警告からの操作指示を含める必要があります。

ヤグラの視点 — 影響範囲の自動調査：同じメールが他の誰に届いたかを、何分で答えられるか

この事案の起点は、従業員1人が受信したフィッシングメールです。そこから端末が第三者に操作され、入居者・その家族・取引先・業務委託先の担当者・見学申込者・従業員という6種類の立場の情報が流出のおそれのある範囲に入りました。1通のメールと、この広がりのあいだにあるのは、1台の端末が握られたという事実だけです。

こうした攻撃で決定的に効くのは、そのメールが他の誰に届いていたかを即座に把握できるかです。フィッシングは通常、1人だけを狙って送られるものではありません。同じ文面が同じ時刻に複数の従業員へ届いており、そのうち1人が操作に応じた——という構図が一般的です。1人の端末で異常が検知された時点で、同じメールの受信者全員を特定し、開封やリンクの押下、操作の実行の有無まで確認できれば、2人目・3人目の被害を止められます。

この確認を人手で行うと、メールログの検索、対象者への聞き取り、端末の個別確認という工程を踏むことになり、数時間から数日を要します。報告の間口を1クリックまで下げ、報告されたメールをAIが数分で分析して同じものが誰に届いているかまで自動で調べる体制は、この時間差を埋めるために働きます（→ PhishAI）。今回は対策ソフトの通信検知が発見の役割を果たしましたが、それは1台目が既に握られた後でした。検知の前の段階で止める手段は、報告の速さしかありません。

今後の対応

• 流出のおそれがある件数と対象者の確定
• フィッシングメールの内容と、端末が操作されるに至った経路の特定
• 端末が操作されていた期間
• 再発防止策の公表内容

更新履歴

日時	内容
2026-08-12	2025年12月18日の公表内容をもとにアーカイブ記事として作成