三井不動産 最大5万5千件の情報漏えいの可能性、漏れた氏名・メールアドレス・役職で何をされるのかまとめました

2026年9月28日、三井不動産株式会社は、同社が利用する一部のシステムへの不正アクセスについて第二報を公表しました[1]。システムに係る「資格情報」（ログインに使うIDやパスワードなどの情報）が不正に利用され、同社とグループ会社の役職員等 最大19,000件（氏名・メールアドレス・部署・役職）と、社外関係者 最大36,000件（メールアドレス・メールの表示名）が閲覧された可能性があるとしています。業務情報（メール、チャット、ファイル等）やパスワードの漏えいは確認されていないとしていますが、それで安心とは言い切れません。

「自分のメールアドレスと所属で、これから何をされるのか」。「会社として、どこから手を打てばよいのか」。この記事では、その2つに答えるために、漏れた情報が悪用されうる場面と、今回の事故で見直したい認証の場所を、公開情報から整理しました。事故の経緯は報道が扱っているため、短くとどめます。

この記事の要点

• 漏れた可能性があるのは、会員の情報ではなく、役職員と取引先などの「仕事の連絡先」です。誰がどの部署で何の役職かという、組織の地図に近い情報です。
• 三井不動産グループの役職員を名乗るメールが届いたら、本文のURLや添付ファイルを開かず、普段の連絡先で確かめるようにしましょう。
• 会社側がまず見直したいのは、正しいIDとパスワードがあれば入れてしまう「社内システムへのログイン」の確かめ方です。

なお、本記事は公表文と報道など、公開情報だけをもとにしています。ログイン画面を実際に試すような調査はしていません。確認できなかった点は「確認できず」と書いています。

何が起きたか（要約）

第二報[1]によると、概要は次のとおりです。

件数はいずれも「最大」の値で、すべてが実際に閲覧・取得されたと確認したものではないとしています[1]。システムの名前や、資格情報がどのように盗まれたかは公表文に書かれておらず、確認できませんでした。第一報の時点の報道でも、件数の内訳以外の詳細は示されていませんでした[2]。

漏れた情報で、何ができてしまうか

今回の情報は、一つひとつは名刺に書いてあるような内容です。ただ、最大5万5千件がまとまると、「どの部署の誰が、どの取引先とやり取りしているか」を推し量る材料になります。

同社も、漏れた可能性のある情報がフィッシングメールなどに悪用される可能性があるとして、同社グループの役職員等を装ったメールに注意するよう呼びかけています[1]。今回の事故の入り口が「資格情報の不正利用」だったことを考えると、偽メールの狙いは、次の資格情報を集めることにもなりうる、というのが当社の見立てです。

今回の事故で認証が使われる場所

利用者向けの会員サービスではなく、社内のシステムで起きた事故です。そこで、役職員・取引先・管理者のログインを中心に並べました。参考として、同社グループの一般向けの会員サービスも載せています。

※「狙われやすさ」は、公開情報をもとにした当社の見立てです。実際のしくみを確かめたものではありません。

会社がまず見直すとよい所（優先順）

第二報では、資格情報の無効化、全アカウントの棚卸し、監視の強化、検知ロジックの追加を実施し、対応を完了したとしています[1]。一方で、ログインに多要素認証（IDとパスワードに加えて別の手段でも確かめる方法）を加えるといった、認証そのものを強める記載はありませんでした。認証の観点からは、次の順で見直すことが考えられます。

1. 社内システムのログインを「正しいIDとパスワード」だけで通さない。今回の入り口は資格情報の不正利用でした。資格情報が盗まれても、本人の持ち物で確かめる段がもう一つあれば、そこで止められる可能性があります。
2. パスワード再設定とヘルプデスクの本人確認を、「知っている情報」に頼らない形にする。氏名・部署・役職はすでに知られた可能性があります。
3. 取引先との振込先の変更などを、メール以外の経路で確かめる決まりにする。社外関係者の側でも、三井不動産グループの担当者を名乗る連絡を、普段の連絡先で確かめ直すことが有効です。

あわせて、対象者への連絡がメールで行われたことから[1]、本物のお知らせと偽物を見分ける手がかり（送り主・問い合わせ先）を公式サイトでも示しておくと、取引先の迷いを減らせます。

認証の観点から：「パスワードを知っている」と「その電話を持っている」は違う

今回の事故は、正しい資格情報があれば入れてしまうという、パスワード中心の認証の弱点を示した例でした。パスワードもメールアドレスも、漏れたり、聞き出されたりすれば、第三者も「知っている」状態になります。

ここで分けて考えたいのは、「何かを知っていること」と「その人の電話回線を実際に持っていること」は別物だという点です。前者は、漏えいや偽メールで第三者に移る可能性があります。後者は、情報が漏れても変わりません。認証の土台を「知っているか」から「持っているか」へ移すことが、漏えいの後にこそ効いてくる対策です。

SMSで届くワンタイムパスワードも、「持っているか」を確かめる方式の一つです。ただ、送り主を偽ったSMSが、本物と同じ画面（スレッド）に並んで表示される手口も知られています[5]。また米国NISTのガイドラインは、SMSなど電話網を使う確認方法を「制限付き（restricted）」の手段と位置づけています[6]。禁止ではありませんが、それだけに頼りきらない設計が求められています。

当社Infront Securityの電話番号認証は、利用者がワンタップで指定の番号に発信し、その発信者番号と端末の情報をサーバー側で照合して本人を確かめます。電話番号を知っていても、その回線から発信できなければ認証は通りません。偽サイトは利用者の電話回線を持っていないため、フィッシングに耐性のある方式です。

社内システムのログインやパスワード再設定に「持っているか」の確認を足す方法については、お気軽にご相談ください。

お問い合わせはこちら