日本脆弱性総合ポータル

LIXIL：リフォーム事業者向けアプリの登録会員情報が外部に漏えい

重要度
業務やサービスの停止・3,379名
公表日
2026.10.19
原因の分類
侵入口未公表
対策可能性
判定保留

この記事の3行まとめ

  1. リフォーム事業者向けアプリで3379名分の登録情報が外部に漏えいした
  2. 外部からの不正アクセスだが侵入口はまだ公表されていない
  3. 登録会員は不審なメールやSMSのURLを開かず削除する

2026年10月13日に、リフォーム事業者向け業務支援アプリ「L-ポケット」等への第三者による不正アクセスが検知された。登録会員と当社・グループ会社の従業員（退職者を含む）計3,379名のうち、一部の個人情報が外部へ漏えいした。決済情報への影響はないとしている。調査は継続中である。

確認された経路・公表元の推定

  1. 2026年10月13日：第三者による不正アクセスを検知
  2. 検知後、外部からのアクセスを遮断し、「L-ポケット」のサービス・アプリ運用とアプリストアでの公開を一時停止
  3. 継続調査で、登録情報の一部が外部へ漏えいしたことを確認
  4. 2026年10月19日：個人情報保護委員会等へ報告し、対象者へメールで個別通知を開始

根拠の要点

資料は発生原因を「L-ポケットで利用している環境に対する外部からの不正アクセス」とするが、侵入経路は示されていない。社内基幹システムや社内ネットワークへの侵入は確認されていないとする。

資料の基準時点：2026年10月19日時点

当時、対策できたのか

判定保留

資料は侵入口や利用された弱点を示しておらず、攻撃時点の既知脆弱性への未対応や認証設定の例外も記載していない。修正版の時期や攻撃時点の防御条件も不明のため、判定を保留とする。

公表された対策

  • 不正アクセス検知後、外部からのアクセスを遮断した
  • 「L-ポケット」のサービス・アプリ運用とアプリストアでの公開を一時停止した
  • 既存データの改ざん・破壊は確認されていないとして、継続的な調査を実施している
  • 登録会員に、不審なメール・SMSのURLや添付ファイルを開かず削除するよう呼びかけた
  • 安全に利用できる環境を再構築・確認した上で、サービスの再開時期を検討するとしている

この事例を理解するための動画

まだ分からないこと

  • 侵入口となった弱点や侵入経路
  • 不正アクセスを行った主体や手口
  • 漏えいの全容（調査は継続中）
  • サービスの再開時期

関連する事例

同じ原因分類の事例

事例の一覧に戻る