マリモホールディングス、役員を装うフィッシングで従業員約1,360人分の情報が流出

2026/03/06 （更新 2026/10/30）続報を注視中中程度建設・不動産 #フィッシング

項目	内容
発生・公表日	発生: 2025年12月18日 / 公表: 2026年3月6日
対象組織・業界	マリモグループ14社（持株会社: 株式会社マリモホールディングス、広島市西区） / 不動産
影響件数	約1,360人分（2024年8月〜2025年12月の在籍者。退職者を含む）
漏えいした情報	所属会社名・社員コード・氏名・呼称（カナ）・入社年月日・社員区分・所属部署名・勤務地名・業務用メールアドレス
攻撃手法	グループ会社の役員を名乗る第三者からの、業務依頼を装ったフィッシングメール
情報源	マリモホールディングス公式（2026年3月6日） / Security NEXT（2026年3月13日）

概要

マリモホールディングスは2026年3月6日、従業員情報の一部が不正に取得されたと公表しました。

2025年12月18日、同社宛てにフィッシングメールが届きました。差出人はグループ役員を名乗る第三者で、業務の依頼を装っていました。このメールを起点に、退職者を含む従業員の情報が取得されました。

対象は、グループ14社に在籍していた約1,360人分です。2024年8月から2025年12月までの在籍者が含まれます。取得されたのは、氏名・社員コード・所属部署名・業務用メールアドレスなど9項目です。住所・電話番号・私用のメールアドレス・決済情報は含まれていません。

同社は、直接の財産的被害が生じるものではないと説明しています。そのうえで、同社や公的機関を装う不審なメール・SMS・電話に注意するよう呼びかけています。

経緯

2025年12月18日: 役員を名乗る業務依頼メールを起点に、従業員情報の一部が不正に取得される
公表時点: 個人情報保護委員会に報告済み。影響範囲の特定と関係者への連絡を順次進めている
2026年3月6日: 同社が公表。個別に連絡できない退職者などのため、公表と窓口の設置で代える
2026年3月13日: Security NEXT が報道

原因

同社は原因を、役員名をかたる第三者からのフィッシングメールによる不正取得としています。グループのシステムの脆弱性によるものではないと説明しています。依頼の内容と、情報が渡った手順は公表されていません。

対策

1. 社内情報を求める依頼は、本人に確かめてから応じる

本件の起点は、役員の名前で届いた業務の依頼でした。そこで、従業員の名簿など社内の情報を求める依頼には、応じる前に依頼した本人へ確かめる決まりを設けます。確かめるときは、メールに書かれた連絡先を使わず、社内で把握している電話や社内チャットを使います。手順が決まっていれば、受け手は役員に問い返すことをためらわずに済みます。

2. 流出した項目を使うなりすましに備える

取得された項目には、氏名・所属部署名・業務用メールアドレスがそろっています。社内の人物を名乗って特定の従業員に送るメールは、こうした情報があると作りやすくなると考えられます。対象者への連絡では、上司や同社を名乗る依頼にも確認の手順を踏むよう、具体例を添えて伝えます。宛先と肩書きが正しいメールでも疑えるようになり、二次被害を抑えやすくなります。

ヤグラの視点 — 役員の名前で届く依頼を訓練の題材に

本件で同社は、システムの脆弱性によるものではないと説明しています。情報が出ていく分かれ目は、役員の名前で届いた依頼への応じ方にあったと考えられます。2025年末ごろからは、社長や上司を名乗るメールが増えているとして、警視庁も注意を呼びかけています（INTERNET Watch）。役員名義の業務依頼は、いま広く使われている手口の一つと考えられます。

そこで訓練では、不審なリンクを開かないかに加えて、依頼に応じる前に確かめられるかを見ます。確かめる相手と経路をあらかじめ決め、その手順どおりに動けたかを訓練で確認します。題材は、名簿の送付やLINEグループへの招待など、実際に出回っている依頼の型に合わせて更新し続けます。

同社も再発防止策に、本人確認ルールの徹底と教育・訓練の強化を挙げています。役員になりすます依頼のような新しい手口を題材に取り込み、運用の手間をかけずに訓練を続けられる仕組みが要ります（→ ヤグラアウェアネス）。

今後の対応

依頼の内容と、情報が渡った手順
影響範囲の特定と、対象者への連絡の進み具合
流出した情報を使うなりすましなど、二次被害の有無

判明次第、本記事に追記します。

更新履歴

日時	内容
2026-10-30	過去アーカイブとして記事化（キュレーション）