三井不動産の社内システムに不正アクセス 連絡先情報が流出の可能性

三井不動産は、グループが利用する一部のシステムに不正アクセスがあり、情報の一部が外部から閲覧された可能性があると公表しました。侵入には、不正に利用された資格情報(ID・パスワードなど)が使われたとしています。この記事は、同社の公式のお知らせに書かれていることだけをまとめ、書かれていないことは書かれていないと記します。

何が起きたか

同社は、2026年8月28日に、グループが利用する一部のシステムへの不正アクセスを確認し、9月1日に公表しました。公式は、原因について「一部のシステムに係る資格情報が不正に利用され、第三者から情報の一部を閲覧された可能性」と書いています。

どのシステムやサービスが対象かは、公表されていません。「リスト型攻撃」「クレデンシャルスタッフィング」といった手口の名前や、会員向けサービスのログインといった記述も、お知らせにはありません。この記事も、手口を断定しません。

漏えいの可能性がある情報と、確認されていないもの

これらは「漏えいした可能性がある情報の最大の件数」で、すべてが実際に第三者に閲覧・取得されたと確認したものではない、と注記しています。いっぽうで、パスワードや、業務情報(メール、チャット、ファイルなど)の漏えいは確認されていないとしています。

会社の対応

公式は、次の対応を挙げています。

• 不正アクセスに利用された資格情報などの無効化
• 当該システムに対する監視の強化
• 影響範囲や侵入経路・原因の調査
• 個人情報保護委員会・関係官庁への報告

最初の対応が「資格情報の無効化」である点は、資格情報が不正に使われた事案の定石です。盗まれた鍵を、まず使えなくする動きです。侵入経路や原因は、公表時点で調査中とされています。

影響する会社・しない会社

• 影響する: 三井不動産やグループ会社の役職員で、今回の対象に含まれる人です。氏名・メールアドレス・部署・役職が、閲覧された可能性の対象です。
• 影響する: 同社と取引や連絡のある社外の関係者です。メールアドレスと表示名が対象になり得ます。なりすましメールに注意が要ります。
• 影響する: ID・パスワードだけでログインできる社内システムを持つ会社です。資格情報が盗まれたり使い回されたりしたとき、同じ入られ方をしないか確かめる価値があります。
• 影響しない(可能性が高い): 社内システムに多要素認証を入れ、不審なログインを監視している会社です。ただし、本当に全システムで効いているかは、確かめないと分かりません。

情シスが今日やること

• 資格情報の棚卸しと失効の手順。盗まれた・使い回された資格情報を、すぐ無効化できるか。退職者や委託先の古いアカウントが残っていないかを確かめます。
• 多要素認証。ID・パスワードだけでログインできるシステムが残っていないか。社外からアクセスできるものから、多要素認証を入れます。
• ログインの監視。見慣れない場所・端末からのログインに気づけるか。ログが残り、警報が出る形になっているかを確かめます。
• なりすましへの注意喚起。連絡先が漏れると、本物に近い偽メールが届きます。役職員や取引先を装うメールに注意するよう、社内外へ案内します。