三井不動産、グループが利用する一部システムの資格情報が不正利用され最大5万5,000件が閲覧された可能性 — 役職員1万9,000件・社外関係者3万6,000件
| 項目 | 内容 |
|---|---|
| 発生日 | 2026年8月28日に不正アクセスを確認。侵入の開始時期は公表されていない |
| 公表日 | 2026年9月1日（報道は2026年9月7日および9月8日） |
| 対象組織・業界 | 三井不動産株式会社（不動産／建設・不動産）。対象は同社グループが利用する一部のシステム |
| 影響件数 | 合計最大5万5,000件。同社およびグループ会社の役職員等 最大1万9,000件（氏名、メールアドレス、部署、役職）、社外関係者 最大3万6,000件（メールアドレス、メールの表示名）。いずれも最大値で、すべてが実際に閲覧・取得されたことを確認したものではない。業務情報（メール、チャット、ファイル等）やパスワードの漏えいは確認されていない |
| 攻撃手法 | 同社が利用する一部のシステムに係る資格情報が不正に利用され、第三者から情報の一部を閲覧された可能性。資格情報が窃取された経緯と侵入経路は調査中 |
| 情報源 | 三井不動産株式会社「不正アクセスによる情報漏えいの可能性について」（2026年9月1日）、Security NEXT（2026年9月8日）、ScanNetSecurity（2026年9月7日） |
三井不動産株式会社は2026年9月1日、同社グループが利用する一部のシステムへの不正アクセスにより、同社および同社グループ会社の役職員等ならびに社外関係者の一部の情報が外部に漏えいした可能性があると公表しました。
不正アクセスを確認したのは2026年8月28日です。調査の結果、同社が利用する一部のシステムに係る資格情報が不正に利用され、第三者から情報の一部を閲覧された可能性があることを確認しました。
漏えいした可能性がある個人情報は2つの区分に分かれます。同社およびグループ会社の役職員等については最大1万9,000件で、氏名、メールアドレス、部署、役職。社外関係者については最大3万6,000件で、メールアドレスとメールの表示名です。合計で最大5万5,000件になります。
同社はこれらを「漏えいした可能性のある情報の最大件数であり、すべての情報が実際に第三者に閲覧・取得されたことを確認したものではありません」としています。あわせて、現時点の調査において業務情報（メール、チャット、ファイル等）やパスワードなどの漏えいは確認されていないとしています。
対応として、不正アクセスに利用された資格情報等の無効化、当該システムに対する監視の強化、影響範囲および侵入経路・原因の調査、個人情報保護委員会および関係官庁への報告を実施しています。
漏えいした情報がフィッシングメール等に悪用される可能性があるとして、同社グループの役職員等を装った不審なメールを受信した場合は、本文中のURLへのアクセスや添付ファイルの開封、個人情報等の入力・回答を行わないよう注意を呼びかけています。
- 侵入の開始時期: 公表されていない
- 2026年8月28日: 同社が利用する一部のシステムへの不正アクセスを確認し、調査を開始
- 判明後: 不正アクセスに利用された資格情報等を無効化するなど、被害拡大防止の措置を実施
- 2026年9月1日: 三井不動産株式会社が公表。個人情報保護委員会および関係官庁へ報告
- 2026年9月7日・9月8日: 報道により広く伝えられる
- 以降: 影響範囲および侵入経路・原因の調査を継続
同社が利用する一部のシステムに係る資格情報が不正に利用されたことです。その資格情報でシステムにアクセスされ、情報の一部を閲覧された可能性があるとしています。
資格情報がどこから第三者の手に渡ったのか、侵入の経路と開始時期、対象となったシステムの名称は、いずれも公表されていません。同社は影響範囲と侵入経路・原因の調査を継続しています。
組織が学ぶべきこと
Section titled “組織が学ぶべきこと”1. 社外関係者の連絡先を、自社が説明する対象として数える
Section titled “1. 社外関係者の連絡先を、自社が説明する対象として数える”今回の対象は、役職員の1万9,000件より社外関係者の3万6,000件のほうが多くなっています。取引先や協力会社の担当者のメールアドレスと表示名です。自社の従業員ではない人の連絡先が自社のシステムに大量に蓄積するという構造は、業種を問わず生じます。個人情報の棚卸しを顧客と従業員だけで行うと、この区分が抜け落ちます。
2. グループで共有するシステムは、影響範囲もグループ全体になる
Section titled “2. グループで共有するシステムは、影響範囲もグループ全体になる”侵害されたのは「同社グループが利用する一部のシステム」で、対象にはグループ会社の役職員等が含まれています。共通の基盤を使えば運用は効率化しますが、1か所が侵害されたときに説明を求められる範囲もグループ全体に広がります。どのシステムをどこまで共有しているかを、グループ単位で一覧にしておく必要があります。
3. 「最大件数」と「実際に取得された件数」を分けて示す
Section titled “3. 「最大件数」と「実際に取得された件数」を分けて示す”同社は件数について「漏えいした可能性のある情報の最大件数であり、すべての情報が実際に第三者に閲覧・取得されたことを確認したものではありません」と明記しています。アクセスされうる範囲と、実際に持ち出された範囲は別のものです。この区別を最初の公表で示せるかどうかは、どの操作がいつ行われたかを追える記録が残っているかによって変わります。
ヤグラの視点 — 発見までの時間：正しい資格情報で入られた侵入は、失敗の記録を残さない
Section titled “ヤグラの視点 — 発見までの時間：正しい資格情報で入られた侵入は、失敗の記録を残さない”この事案で使われたのは、正しい資格情報です。同社は「資格情報が不正に利用され」と表現しています。パスワードを破られたのでも、脆弱性を突かれたのでもなく、通るはずの鍵で通られた形です。
この形が厄介なのは、認証の側に何も残らないことです。ログインは成功します。失敗の回数も増えず、警告も出ません。システムから見れば、その資格情報を持つ人が普段どおりログインしたのと区別がつきません。8月28日に確認されるまで、いつから使われていたのかは公表されていません。
見分ける材料は、認証が通ったかどうかではなく、通ったあとの動きの側にしかありません。普段と違う接続元か、普段は触らない範囲まで見ているか、短時間に大量の情報を読み出していないか。ただし、これらは認証の記録、システムの操作記録、外向きの通信といった別々の場所に散らばって現れます。それを人手で毎日突き合わせるのは、人員の問題として成り立ちません。24時間分のログをすべて読む担当は置けないので、実際にはアラートが上がったものを業務時間内に順に確認する形になります。散らばった記録を1か所に集めてAIが常時見る、検知から初動までを数時間〜数日ではなく数分の単位に引き下げる。正しい鍵で入られる攻撃では、この層があるかどうかが気づけるかどうかを分けます（→ ヤグラ AI SOC）。
- 資格情報が第三者の手に渡った経緯と、侵入の経路
- 侵入の開始時期と、実際に閲覧・取得された件数の確定
- 対象となったシステムの範囲
- 再発防止策の公表内容
判明次第、本記事に追記します。
| 日時 | 内容 |
|---|---|
| 2026-09-09 | 2026年9月1日の公表内容および2026年9月7日・8日の報道をもとに記事を公開 |
