建設コンサルタントの五大開発株式会社（石川県金沢市）、土木情報サイト「いさぼうネット」のサーバが侵害 — 会員のログインパスワードを含む情報が流出のおそれ

項目	内容
発生日	2026年1月26日に「いさぼうネット」サーバへの不正アクセスと攻撃を確認。侵入の開始時期は公表されていない
公表日	2026年8月10日（報道は2026年8月24日）。外部流出の判明は7月27日
対象組織・業界	五大開発株式会社（石川県金沢市黒田1丁目35番地。建設コンサルタント業務、システム開発業務、研究開発業務／建設・不動産）。対象は同社が運営する土木情報サービス「いさぼうネット」
影響件数	公表されていない。会員の氏名、メールアドレス、パスワード（ログインパスワード）、会社名、住所、電話番号
攻撃手法	サーバへの第三者による不正アクセスと攻撃。侵入経路は公表されていない
情報源	五大開発株式会社「不正アクセスによる情報流出の可能性に関するお知らせとお詫び」（2026年8月10日）、Security NEXT（2026年8月24日）

概要

建設コンサルタント業務やシステム開発を手がける五大開発株式会社（石川県金沢市）は、同社が運営する土木情報サービス「いさぼうネット」のサーバが第三者による不正アクセスを受け、会員の個人情報が外部に流出した可能性があると公表しました。

不正アクセスとサーバへの攻撃を確認したのは2026年1月26日です。専門機関による調査を経て、サーバ内部で管理していた個人情報が外部へ流出したことが判明したのは7月27日でした。

流出のおそれがあるのは、会員の氏名、メールアドレス、パスワード（ログインパスワード）、会社名、住所、電話番号の6項目です。件数は公表されていません。パスワードについて、ハッシュ化や暗号化といった保存形式への言及はありません。

同社は対象サーバの停止と隔離、影響範囲の調査、関係機関への報告を実施し、新たな環境へ移行して運用を開始しています。再発防止策として情報セキュリティ体制の見直しと管理体制の強化を挙げています。報道では、会員に対してパスワードの変更を呼びかけているとされています。本件に起因すると確認された個人情報の不正利用や二次被害は確認されていないとしています。

経緯

• 侵入の開始時期: 公表されていない
• 2026年1月26日: 「いさぼうネット」サーバへの不正アクセスと攻撃を確認。対象サーバを停止・隔離
• 以降: 専門機関による調査を実施
• 2026年7月27日: サーバ内部で管理していた個人情報が外部へ流出したことが判明
• 2026年8月10日: 五大開発株式会社が公表。新たな環境へ移行し運用を開始
• 2026年8月24日: 報道により広く伝えられる

原因

判明している事実: 「いさぼうネット」のサーバが第三者による不正アクセスと攻撃を受け、サーバ内部で管理していた個人情報が外部へ流出したことです。侵入経路、悪用された脆弱性、流出した件数、パスワードの保存形式は、いずれも公表されていません。

考えられる原因（推測）

日付の並びに目が行きます。1月26日に不正アクセスと攻撃を確認していながら、外部への流出が判明したのは7月27日です。あいだの6か月は専門機関による調査の期間とされていますが、侵入の事実を知った時点では、何が持ち出されたかを言えなかったことになります。

流出項目にログインパスワードが平文で列挙されている点も気になります。ハッシュ化されていた場合、多くの公表では「ハッシュ化されたパスワード」と書き分けられます。書き分けがないことが保存形式を示すわけではありませんが、会員にパスワードの変更を呼びかけているのは、そのまま使える状態で出た可能性を否定できないためと考えられます。

件数が公表されていない理由は示されていません。会員制のサイトであれば登録者数は自社で把握できるはずで、流出の範囲を会員全体に絞り込めていないか、あるいは公表しない判断をしたかのいずれかになりますが、公表内容からは区別できません。

対策

組織が学ぶべきこと

1. パスワードは、流出しても使えない形で保管する

本件では流出のおそれがある項目にログインパスワードが含まれ、会員には変更が呼びかけられています。ソルトを付けた一方向ハッシュで保管していれば、流出しても直ちに他サービスへの使い回しには使えません。「漏らさない」対策と「漏れても使えないようにする」対策は別で、後者は実装の段階でしか入れられません。会員向けのサイトを外部に委託して作っている場合は、この点を仕様として指定しておく必要があります。

2. 侵入を知った日から、何が出たかを言えるまでの時間を短くする

1月26日に攻撃を確認し、流出の判明は7月27日でした。この6か月間、会員は自分の情報が出たかどうかを知らないまま過ごしています。調査に時間がかかるのは避けられませんが、かかる時間はサーバのアクセス記録やデータベースの操作記録がどれだけ残っているかによって変わります。侵害された後に増やせるものではないので、平常時に決めておく事柄です。

3. 業種と職業が分かる名簿は、それ自体が価値を持つ

「いさぼうネット」は土木関連の情報サービスで、流出項目には会社名が含まれます。氏名とメールアドレスに勤務先が紐づくと、業界を絞ったなりすましの材料になります。「同業者からの技術資料の案内」を装ったメールは、無関係な相手から来るスパムより開かれやすくなります。会員登録で会社名を必須にするかどうかは、侵害されたときの影響から逆算して決められます。

ヤグラの視点 — 影響範囲の特定：侵入を知った日と、何が出たかを言えた日のあいだが6か月

1月26日に不正アクセスと攻撃を確認し、7月27日に外部への流出が判明しています。侵入されたことは早い段階で分かっていて、何を持ち出されたのかが分からなかったという形です。侵害に気づけなかった事案とは、つまずいた場所が違います。

この差が生まれるのは、残っている記録の種類が違うからです。侵入の痕跡は、改ざんされたファイルや見慣れないプロセス、サーバの異常として比較的見つかります。一方で「どのデータが外に出たか」を言うには、データベースにどんな問い合わせが投げられたか、外向きの通信でどれだけの量が出たかという別の記録が要ります。前者だけが残っている環境では、侵入の確認はできても流出の確認ができません。

やることは2つに分かれます。ひとつは、外向きの通信量とデータベースへの問い合わせを、平常時から記録しておくこと。侵害の後で「この日から遡って」と言われても、残っていないものは作れません。もうひとつは、その記録を、侵入の痕跡と同じ場所で並べて見られるようにしておくこと。サーバのログとデータベースのログと通信の記録が別々の場所にあると、突き合わせる作業そのものに数か月かかります（→ ヤグラ AI SOC）。6か月を数週間に縮める余地は、この2つにあります。

今後の対応

• 流出した件数の確定
• 侵入経路と、悪用された脆弱性
• パスワードの保存形式
• 会員への個別通知の範囲と、パスワード変更の呼びかけの周知状況

判明次第、本記事に追記します。

更新履歴

日時	内容
2026-08-26	2026年8月10日の公表内容および2026年8月24日の報道をもとに記事を公開