コスモスイニシア、2024年・2025年の過去不正アクセスが今回の調査で判明——取引先82件の連絡先情報が流出

項目	内容
発生日	2024年6月／2025年8月〜9月（不正アクセス）／2025年12月末〜2026年1月（検知・遮断）／2026年4月1日（公表）
対象組織・業界	コスモスイニシア（大和ハウスグループ・不動産）
攻撃手法	メールアカウントへの不正アクセス（詳細は公表時点で明示なし）
情報源	Security NEXT（2026年4月1日）

概要

大和ハウスグループの不動産会社コスモスイニシアは、メールアカウントが過去に不正アクセスを受け、迷惑メール送信と情報流出が発生したと公表しました。2024年6月と2025年8〜9月の2回の不正アクセスが確認され、それぞれ1件・数十件の迷惑メールが送信されたとしています。

流出の可能性がある情報は、メールの送受信に関連する取引先82件分の会社名・会社住所・連絡先電話番号・メールアドレスです。過去のアクセスは2025年12月末〜2026年1月にかけて遮断済みと説明されています。攻撃検知後の詳細調査によって、遡及的に過去の不正アクセスが判明した点が特徴です。

経緯

• 2024年6月: メールアカウントへの不正アクセス（迷惑メール1件送信）
• 2025年8月〜9月: メールアカウントへの不正アクセス（迷惑メール数十件送信）
• 2025年12月末〜2026年1月: 過去のアクセスを検知・遮断
• 2026年4月1日: 事案を公表

原因

侵入経路・攻撃手法は公表時点で明示されておらず、詳細は不明とされています。

考えられる原因（推測）

以下は公表事実から考えられる仮説であり、同社が公表したものではありません。

1. 認証情報の窃取・使い回し: 過去のデータ漏えいで流出した認証情報を用いたパスワードリスト攻撃・不正ログインで、メールアカウントを侵害された可能性があります
2. 多要素認証の未設定・任意設定: 2024年6月と2025年8〜9月の2度にわたり同じアカウントが侵害されている場合、初回被害後の再発防止策（MFA必須化・パスワード強制変更等）が十分ではなかった可能性があります
3. 同一アカウントへの反復侵害: 攻撃者が過去に取得した認証情報を保持し続け、パスワードが変更されるタイミングを狙って再侵入した可能性、あるいは組織内で類似の認証運用が続いていた可能性が考えられます

対策

組織が学ぶべきこと

1. 「過去の不正アクセス」が今頃わかる仕組みそのものを問題視する: メールアカウントから迷惑メールが送信された事実は、通常業務では発生しない挙動であり、当時のログを見れば即座に検知できたはずのイベントです。2024年6月の1件を1年半以上経ってから発見する運用は、監視の抜けを示しています。

2. 初回被害後の再発防止を「同種攻撃」全体に広げる: 2024年に一度被害を受けたアカウントが2025年にも侵害されているのは、初回被害の再発防止策が当該アカウント固有の対処にとどまり、組織全体のメールアカウントに横展開されなかった可能性を示唆します。

3. ログ保管期間を「事後調査に耐える長さ」で設計する: 攻撃検知後に過去に遡って調査するには、当時のログが残っていることが必須です。数ヶ月〜1年程度のログ保管では、遡及調査の限界に直面します。

ヤグラの視点 — 組織固有知識の学習：同じ形の異常を、次は最初のログで捕まえられるか

このインシデントで特徴的なのは、同じアカウントが2024年と2025年の二度にわたって侵害されている点です。一度目の侵害を受けた後、組織として「メールアカウントから外部への大量送信」「通常業務では発生しない時間帯のログイン」といった異常パターンを学習し、監視ルールに反映できていれば、二度目の侵害はより早期に検知できた可能性があります。過去のインシデントを「対応して終わり」ではなく、そこで見えた攻撃パターンを組織のセキュリティ運用に埋め込み、次に同じ形の異常が発生した時に最初のログで捕まえられる状態を作ることが、成熟したSOC運用の要件です。AIによる監視は、過去の対応履歴をメモリとして持ち、類似の異常が発生した際にすぐに検知に活用できる点で、人手運用にはない強みを持ちます。侵入から検知までの時間差が被害規模を決めます。人手で全ログを監視するのは現実的でなく、AIによる24時間365日の横断ログ監視と自動封じ込め（検知から初動まで平均数分）が現実解になりつつあります。→ ヤグラ AI SOC

今後の対応

追加の不正アクセス被害の有無、取引先82件への説明状況、二次被害（フィッシング等）の有無、再発防止策の詳細について続報を注視し、判明次第本記事に追記します。

更新履歴

日時	内容
2026-04-01	第一報を掲載