- 重要度
- 重要度：高 実際に被害が出た事例
- 公表日
- 2026.09.28
- 原因の分類
- 認証情報・シークレット
- 対策可能性
- 判定保留
この記事の3行まとめ
- 三井不動産で不正アクセスがあり、情報の一部を閲覧された可能性
- 資格情報が不正に使われ、役職員や社外関係者の個人情報が漏えいした可能性
- 役職員を装う不審なメールに注意し、URLや添付ファイルを開かない
三井不動産が利用する一部のシステムに係る資格情報が不正に利用され、同社および同社グループ会社の役職員等と社外関係者の個人情報が第三者に閲覧された可能性がある。不正利用された資格情報の無効化などを実施し、再発防止策の対応を完了したと公表している。
確認された経路・公表元の推定
- 攻撃者が、同社が利用する一部のシステムに係る資格情報を不正に利用し、不正アクセスを行った
- 2026年8月28日に不正アクセスを確認し、調査を開始
- 判明後、不正アクセスに利用された資格情報等を無効化し、被害拡大を防止
- ログの詳細調査で、役職員等と社外関係者の情報が漏えいした可能性を確認
- 2026年9月7日から9月17日までの間に、対象者へメールで漏えいの可能性を通知
- 2026年9月28日に個人情報保護委員会へ確報を提出し、関係官庁へ報告
根拠の要点
公表元は、攻撃者による資格情報の不正利用が確認されたと説明している。資格情報がどのように取得されたかは資料に書かれていない。業務情報やパスワードの漏えいは確認されていないとしている。
資料の基準時点：2026年9月28日（第二報）時点
当時、対策できたのか
判定保留
資料は、攻撃時点での既知の脆弱性への未対応や認証設定の不備を明示していない。再発防止策は実施済みと書かれているが、資格情報の管理状況や攻撃時点の防御条件が書かれていないため、判定を保留とした。
公表された対策
- 不正アクセスに利用された資格情報等を無効化
- 不正アクセスに利用される可能性のある全アカウントを棚卸しし、設定を確認
- 当該システムに対する監視を強化
- 不正アクセスを検知するためのロジックを追加実装
- 個人情報保護委員会へ2026年9月28日に確報を提出し、関係官庁へ報告
まだ分からないこと
- 資格情報が攻撃者にどのように取得されたかと侵入口は、資料に書かれていない
- 不正アクセスの開始時期と侵入日は資料に書かれていない
- 対象となったシステムの名称・種類と、利用された資格情報の種類は資料に書かれていない
- 漏えいした可能性のある情報が実際に閲覧・取得されたかは確認されていない
- 攻撃者の身元や目的は資料に書かれていない