2026年10月7日、戸田建設株式会社は、取引先への支払いを管理するシステム等に外部から不正アクセスがあり、情報が外部に漏えいしたと公表しました[1]。漏れたのは、取引先担当者のメールアドレス（最大7,200件）、取引データ（最大6,000件）、そして従業員4,778名分の氏名・住所・電話番号・メールアドレス・所属部署です。公表時点で不正利用は確認されていないとしていますが、それで安心とは言い切れません。
「取引先として、うちの担当者のメールアドレスで何をされるのか」。「社員の情報が出た会社として、どこから手を打てばよいのか」。この記事では、その2つに答えるために、漏れた情報が悪用されうる場面と、社員・取引先のログインで狙われやすくなった場所を、公開情報から整理しました。事故の経緯は多くの報道が扱っているため、短くとどめます。
この記事の要点
- 「戸田建設の支払い担当」を名乗り、取引の中身に触れた偽メールが届きやすくなります。振込先の変更や請求の連絡は、メール以外の方法で確かめると安心です。
- 社員の方には、名前と所属部署まで正しく書いた社内システム名義の偽メール・偽SMSが届く可能性があります。
- 会社側がまず見直したいのは、支払いに関わる依頼の確かめ方と、社員アカウントの再設定や問い合わせ窓口での本人確認です。
なお、本記事は公表文など公開情報だけをもとにしています。システムの画面を実際に試すような調査はしていません。確認できなかった点は「確認できず」と書いています。
何が起きたか（要約）
公表文[1]によると、概要は次のとおりです。
| 項目 | 内容 |
|---|---|
| 検知 | 2026年10月5日に、取引先への支払いを管理するシステム等への外部からの不正アクセスを検知 |
| 漏えいの期間 | 10月1日から10月5日にかけて、情報が漏えいした形跡を確認 |
| 取引先の情報 | 該当システムを使う取引先のご担当者のメールアドレス（最大7,200件）、取引データ（最大6,000件） |
| 従業員の情報 | 氏名、住所、電話番号、メールアドレス、所属部署（4,778名分） |
| 原因 | 調査中 |
| 対応 | 該当システム等の通信を遮断（ネットワークから隔離）し、外部の専門機関と調査。個人情報保護委員会に報告済み |
| 二次被害 | 公表時点で、不特定多数への公開や不正利用は確認されていないとしています |
同社は、同社の関係者をかたる不審なメールやSMSを受け取った場合は、URLを開かず、添付ファイルも開かず、情報を入力せずに削除するよう呼びかけています[1]。
漏れた情報で、何ができてしまうか
今回の特徴は、一般の会員サービスではなく「会社と会社の取引」と「社員」の情報が出たことです。どちらも、だます側にとっては相手の信用を借りるための材料になります。
| 漏れた情報 | 攻撃者にとっての使い道（一般的に考えられるもの） |
|---|---|
| 取引先担当者のメールアドレス＋取引データ | 実際の取引に触れた「戸田建設の支払い担当」名義のメールを送れる。「振込先が変わりました」「請求書を再送してください」といった、お金の流れを変えさせる連絡に使われる可能性がある |
| 社員の氏名＋メールアドレス＋所属部署 | 部署名まで正しく書いた、社内システムや情報システム部門をかたる偽メールを送れる。ログイン画面に似せた偽サイトへの誘導に使われる可能性がある |
| 社員の氏名＋電話番号 | 名前入りのSMSを送れる。送り主を偽ったSMSが、本物と同じ画面（スレッド）に並んで表示される手口も知られています[3] |
| 社員の氏名＋住所＋電話番号 | 電話で本人や家族、社内の窓口に「本人らしく」話しかける材料になる |
大事なのは、どれも「知っていれば本人らしく、取引相手らしく見える情報」だという点です。知っていることだけで相手を信じる仕組みは、その情報が漏れた時点で弱くなります。
この会社で認証が使われる場所
今回は会員サービスの事故ではないため、社員・取引先・管理者のログインに目を向けて、認証が関わる場所を並べました。
| 場所 | 今の方式（公開情報で確認できた範囲） | 漏れた情報との関係 | 狙われやすさ |
|---|---|---|---|
| 取引先への支払いを管理するシステム（今回の侵入先） | システムの名前や、取引先がログインする仕組みかどうかは公表文に書かれておらず、確認できず。侵入の経路も調査中[1] | 入口が分からないうちは、管理者や社外からの接続のログインも含めて見直しの対象になる | 要確認 |
| 社員のメール・業務システムへのログイン | 確認できず | 社員のメールアドレスと所属部署が漏れた。偽のログイン画面で入力させる手口の宛先になりうる | 高 |
| 社員アカウントの再設定・社内の問い合わせ窓口 | 確認できず | もし氏名・所属部署・電話番号が合えば本人と見なす運用なら、今回漏れたのはまさにその組み合わせ | 要確認 |
| 協力会社とのやり取りに使うポータル | 作業所の情報ポータルを協力会社との情報共有や取引に使っていると、過去の導入事例で紹介されています[2]。今の運用とログインの方式は確認できず | 協力会社の担当者が偽メールから偽のログイン画面に誘導されると、ポータルに入られる可能性がある | 中 |
| 振込先の変更など、支払いに関わる連絡の受け付け | 確認できず | もしメールや電話の連絡だけで変更を受け付ける運用なら、取引データを知る相手のなりすましに弱くなる | 高 |
※「狙われやすさ」は、公開情報をもとにした当社の見立てです。実際のしくみを確かめたものではありません。
会社がまず見直すとよい所（優先順）
公表文では、通信の遮断、外部の専門機関と連携した調査、漏えいが確認された方への個別の案内が挙げられています[1]。一方で、ログインや本人確認の方法を変えるといった記載はありませんでした。原因が調査中であることを踏まえつつ、認証の観点からは次の順で見直すことが考えられます。
- 支払いに関わる依頼の確かめ方を決め、取引先にも伝える。振込先の変更や請求の再送といった連絡は、メールの返信ではなく、あらかじめ登録した連絡先で確かめる。取引先の側でも「戸田建設からの連絡」を同じ方法で確かめてもらう。これは仕組みを作り直さなくても、運用から始められます。
- 社員アカウントの再設定と問い合わせ窓口で、漏れた項目を本人確認に使わない。氏名・所属部署・電話番号が合えばパスワードを再設定する、という扱いになっていないかを確かめます。
- 侵入の入口になりうるログインに、「知っている」だけでは通らない確認を足す。管理者のログインや社外からの接続、取引先が使うポータルなどです。毎回の操作を重くせず、狙われる場所から固めるという考え方です。
認証の観点から：「番号を知っている」と「その電話を持っている」は違う
今回、4,778名分の社員の電話番号が漏れました。ここで分けて考えたいのは、「電話番号を知っていること」と「その電話番号の回線を実際に持っていること」は別物だという点です。
前者は、もう第三者に知られてしまったかもしれません。一方で後者は、情報が漏れても変わりません。社員や取引先の確認の土台を「知っているか」から「持っているか」へ移すことが、漏えいの後にこそ効いてくる対策です。
SMSで届くワンタイムパスワードも、「持っているか」を確かめる方式の一つです。米国NISTのガイドラインは、SMSなど電話網を使う確認方法を「制限付き（restricted）」の手段と位置づけています[4]。禁止ではありませんが、端末の入れ替えやSIMの変更、電話番号の乗り換え（ポーティング）といったリスクを踏まえ、それだけに頼りきらない設計が求められています。
当社Infront Securityの電話番号認証は、利用者がワンタップで指定の番号に発信し、その発信者番号と端末の情報をサーバー側で照合して本人を確かめます。電話番号を知っていても、その回線から発信できなければ認証は通りません。偽サイトは利用者の電話回線を持っていないため、フィッシングに耐性のある方式です。
社員や取引先のログインに「持っているか」の確認を足す方法については、お気軽にご相談ください。
出典
- 戸田建設株式会社 公表文（2026年10月7日）https://www.toda.co.jp/news/2026/20261007_006350.html
- サイボウズ株式会社・M-SOLUTIONS株式会社 共同リリース「戸田建設における作業現場ポータルに『kintone』採用」（発表日は確認できず・2026年10月16日取得）https://topics.cybozu.co.jp/news/img/1212.pdf
- ソフトバンク 送信元が偽装されたSMSに関するご注意（2020年3月4日掲載、2020年12月3日更新）https://www.softbank.jp/mobile/info/personal/news/support/20200304a/
- NIST SP 800-63B Rev.4（2025年8月）§3.1.3.3 https://pages.nist.gov/800-63-4/sp800-63b.html
