- 重要度
- 重要度：5段階中4 概数24,000名
- 公表日
- 2026.10.22
- 原因の分類
- 認証情報・シークレット、認証・アクセス設定
- 対策可能性
- 対策の欠落を確認
この記事の3行まとめ
- クラウドサービスへの不正アクセスで、約24,000名分の個人情報が流出した可能性
- 認証情報が第三者に使われたとみられ、多要素認証が未設定で、パスワードも弱かった
- 全アカウントを再設定し多要素認証を設定、侵入経路は調査中
2026年8月24日、外部の専門家からの情報提供を受けて調査したところ、施工を請け負う案件の情報が流出した可能性が判明した。インターネット上に、当社がクラウドサービスで保管していたファイルと一致する情報が掲載されていることも確認された。調査では特定アカウントの認証情報が漏えいしており、そのアカウントからデータがダウンロードされたことが操作履歴で確認された。流出の可能性がある情報は氏名、住所、電話番号、施工関連資料で、対象者は概数24,000名。現時点で不正利用は確認されていない。
確認された経路・公表元の推定
- 2026年8月24日、外部の専門家からの情報提供を受けて調査を開始
- インターネット上に、当社がクラウドサービスで保管していたファイルと一致する情報の掲載を確認
- 特定アカウントの認証情報が外部に漏えいし、認証情報が第三者に利用されたと推定
- 当該アカウントからデータがダウンロードされたことを操作履歴で確認
根拠の要点
資料は、外部の専門家との調査で特定アカウントの認証情報漏えいと、同アカウントからのデータダウンロードを確認したとしている。そのうえで、不正アクセスは外部に漏えいした認証情報が第三者に利用されたことにより発生した可能性が高いと評価している。認証情報が漏えいした経緯は調査中で、多要素認証の未設定とパスワードの強度不足も要因の一つとされる。
資料の基準時点：2026年10月22日時点（第2報）
当時、対策できたのか
対策の欠落を確認
資料は、対象アカウントに多要素認証が設定されておらず、IDとパスワードのみでログインでき、設定されたパスワードも十分な強度ではなかったと説明している。資料はこれらを不正アクセスを防止できなかった要因の一つと認識している。
公表された対策
- 外部クラウドサービスの全ユーザーアカウントを無効化し再設定する
- 不正アクセスを受けたアカウントを停止する
- パスワードを強化し、多要素認証を設定する
- 調査結果を踏まえ、システムのセキュリティ対策と監視体制を強化する
- 従業員へのセキュリティ教育を徹底する
- 対象者へ順次個別に連絡する
この事例を理解するための動画
【GMOサイバー攻撃の全貌】Active DirectoryとRDPの仕組み。なぜクラウドへの侵入が自宅PCの危険につながるのか？
【なりすましと不正アクセス】本物のアドレスから届いた詐欺メールの見分け方まだ分からないこと
- 認証情報が漏えいした経緯
- 侵入経路の全体
- 流出したデータの範囲と対象者の特定（対応を進めている段階）
- 流出した情報の今後の不正利用の有無