株式会社スペースの管理委託サーバーへの不正アクセス（約6,100件の個人情報流出のおそれ）
公表日
不動産会社の株式会社スペースが管理を委託しているサーバーに不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。があり、契約者・入居者などの個人情報が最大約6,100件流出したおそれがあると、2025年10月7日に公表されました。
対象者は？
同社の契約者・入居者、およびWebサイトのお問い合わせフォームを使った人です。お問い合わせフォームの入力データ約1,900件（氏名、メールアドレス、電話番号など）と、契約リストファイル約4,200件（建物名、部屋番号、契約者名、入居者名、契約期間、退去予告月数、所在地の都道府県・市区町村など）が対象です。クレジットカード情報、銀行口座情報、パスワードは含まれていないと説明されています。6,100件は両者を足した数で、重複は不明です。
同社は不審な点があれば連絡できる特設窓口を案内しています。連絡先は、渡された情報には載っていません。同社の発表をご確認ください。
いますぐできること
- 身に覚えのない電話やメールには慎重に対応し、なりすましに注意する
- 不審な点があれば、同社が案内した特設窓口に連絡する
- 不審なメールのリンクや添付ファイルは開かない
何が起きたのか
2025年4月13日、同社が管理を委託しているサーバーに第三者が不正にアクセスし、情報が外に出ました。同年7月28日、捜査機関から「闇サイトに個人情報と思われるファイルが販売されている」と連絡があり、同社は専門会社による調査を始めました。調査は9月16日にかけて行われ、4月の不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。と情報流出が確認されました。同社は10月7日に公表し、二次被害への注意を呼び掛けました。なお2026年6月には、従業員1名のメールアカウントがフィッシング銀行・通販サイト・宅配業者・公的機関などを装ったメールやSMSを送り、本物そっくりの偽サイトに誘導して、IDやパスワード、カード番号などを入力させる手口です。SMSを使うものは「スミッシング」、電話を使うものは「ビッシング」とも呼ばれます。で悪用され、2,329件の不審なメールが送られたという別の発表もありました。
なぜ起きたのか・なぜ広がったのか
同社の説明では、サーバーの管理者パスワードが書かれたファイルを攻撃者が手に入れ、そのパスワードを使って入ったことが原因とされています。ファイルが攻撃者の手に渡った経緯は「何らかの理由」とされ、詳しくは公表されていません。
いまの状況2026-10-14 時点続報待ち
同社は発覚後にサーバーへの対策を取ったとしています。再発防止策として、管理画面へのアクセス制限の強化、Webサイトの整理・再構築、脆弱性の管理体制づくり、ログの監視、事故対応体制の明確化、委託先管理の見直しを挙げています。2026年6月の別件では、メールの多要素認証の全社導入と全社員のパスワードリセットを実施しました。2026年6月29日の発表以降の続報は確認できていません。金銭的な影響や当局への報告状況は、まだ発表されていません。
企業として考えたいこと
自社の管理者パスワードが、ファイルやメモなどに書かれたまま残っていないか、委託先の分も含めて確認できていますか。
技術的な要約
株式会社スペースは2025年10月7日、管理を委託しているサーバーへの不正アクセスにより、契約者・入居者の個人情報の一部が外部に流出したと公表した。2025年7月28日に捜査機関から「闇サイトに個人情報と思われるファイルが販売されている」との通報を受けて発覚し、7月28日〜9月16日のフォレンジック調査で、4月13日に不正アクセスと情報流出があったことが確認された。原因は、攻撃者が管理者パスワードの記載されたファイルを不正に取得して悪用したことで、ファイルが攻撃者の手に渡った経緯は「何らかの理由」とされ詳細は示されていない。影響の可能性があるのはお問い合わせフォーム入力データ約1,900件と契約リストファイル約4,200件で、クレジットカード情報・銀行口座情報・パスワードは含まれないと説明されている。その後2026年6月29日には、従業員1名のメールアカウントがフィッシングで不正利用され、2,329件のフィッシングメールが送信されたとする別の発表もあった。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 認証情報窃取・流用公表で確認「何らかの理由で管理者パスワードが記載されたファイルが攻撃者の手に渡り」、攻撃者がそのパスワードを悪用してサーバーに侵入したと説明されている。ファイルが攻撃者の手に渡った経緯は示されていない。
- 脆弱性
- CVE 非公表不明CVEや製品名は公表されていない。再発防止策に脆弱性管理体制の確立が含まれるが、特定の脆弱性悪用は示されていない。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし
- データ
- おそれ上限 6,100確定 —件氏名メール電話住所その他内訳はお問い合わせフォーム入力データ約1,900件（氏名・メールアドレス・電話番号など）と契約リストファイル約4,200件（建物名、部屋番号、契約者名、入居者名、契約期間、退去予告月数、所在地（都道府県・市区町村）など）。6,100件は両者の合算（1,900＋4,200）で、重複の有無は不明。クレジットカード情報・銀行口座情報・パスワードは含まれないと説明されている。
- 波及先
- 2329 件（2026年6月の別件で送信されたフィッシングメール）
- 2026年6月、従業員1名のメールアカウントが不正利用され、取引先を含む複数の宛先にフィッシングメールが送信された
- 金銭影響
- —
- サプライチェーン
- 同社が管理を委託しているサーバーが侵害された。再発防止策に委託先管理の見直し・強化が含まれるが、委託先側の侵害の有無や責任範囲は公表されていない。
時系列
- 2025-04-13
- 2025-07-28
- 2025-07-28
- 2025-09-16
- 2025-10発覚後、当該サーバーへの対策を講じ、追加の漏えい防止措置を取ったとしている。3
- 2025-10-07
- 2025-10-07不審な電話・メール・なりすまし等の二次被害への注意を呼び掛け、特設窓口を案内。7
- 2025-10-07
- 2026-06-09従業員1名が取引先を装ったフィッシングメールを受信し、偽サイトにメールアドレスとパスワードを入力。該当アカウントへの不正アクセスが発生した（別件）。2
- 2026-06-15同アカウントを利用したフィッシングメール2,329件の送信を確認。2
- 2026-06-17端末のフォレンジック調査や関係機関への連絡を実施。2
- 2026-06-29従業員1名のメールアカウント不正利用とフィッシングメール送信を公表。多要素認証の全社導入と全社員のパスワードリセットを実施。2
技術解説
発覚から公表までの経過 事実
2025年7月28日、同社は捜査機関から「闇サイトに個人情報と思われるファイルが販売されている」との通報を受け、直ちにフォレンジック調査を開始した。7月28日から9月16日にかけての調査で、4月13日に管理を委託しているサーバーへ不正アクセスがあり、情報が流出していた事実が確認された。公表は2025年10月7日である。同社は発覚後に当該サーバーへの対策と追加の漏えい防止措置を取ったと説明している。公表時には、不審な電話・メール・なりすまし等の二次被害への注意が呼び掛けられ、特設の窓口が案内された。
公表された侵入の原因 事実
調査によれば、攻撃者は管理者パスワードが記載されたファイルを不正に取得し、そのパスワードを悪用してサーバーに侵入したことが原因とされる。ある報道は「何らかの理由で」ファイルが攻撃者の手に渡ったと伝えており、渡った経緯は示されていない。別の報道は、攻撃者が2025年4月13日にそのファイルを取得してサーバーにアクセスしたと伝えている。特定の脆弱性やCVE、製品名は、渡された情報には示されていない。再発防止策として、管理画面へのアクセス制限の強化、脆弱性管理体制の確立、ログ監視体制の整備、委託先管理の見直し・強化などが挙げられている。
影響を受けた可能性のある情報の範囲 事実
影響の可能性があるとされたのは、お問い合わせフォーム入力データ約1,900件（氏名・メールアドレス・電話番号など）と、契約リストファイル約4,200件（建物名、部屋番号、契約者名、入居者名、契約期間、退去予告月数、所在地の都道府県・市区町村など）である。ある報道は漏洩件数を約6,100件と記載しており、これは両者を足した数に一致する。ただし両者の重複の有無は示されておらず、流出が確認された件数として個別に示された数字もない。クレジットカード情報、銀行口座情報、パスワード等は含まれていないと同社が説明している。
管理委託と認証情報の扱いという構造（解釈） 解釈
公表された原因は、管理者パスワードがファイルに書かれていたことと、そのファイルが外部に渡ったことの組み合わせである。この種の構造では、管理者権限の資格情報が一度外に出ると、サーバーに正規のログインとして入られやすくなる。さらに管理を外部に委託している環境では、パスワードの保管場所や共有の経路が複数の組織にまたがりやすく、全体像を把握しにくいと考えられる。ただし、ファイルがどこで誰の管理下にあったかは示されていないため、委託先側の事情や責任範囲について判断できる材料はない。
2026年6月の別件との関係（解釈） 解釈
2026年6月29日の発表は、従業員1名のメールアカウントがフィッシングで不正利用され、2,329件のフィッシングメールが送信されたというものである。2025年の事案とは対象も経路も異なり、両者の関連を示す情報は渡された資料にはない。ただ、どちらも「正規のIDとパスワードが第三者の手に渡る」点が共通しており、認証情報の保護が同社の継続的な課題になっていた可能性がある。一方で同社は別件への対応としてメールの多要素認証の全社導入と全社員のパスワードリセットを実施しており、改善が進められていることも事実として読み取れる。
対応
- 封じ込め
- 【2025年の事案】発覚後直ちに当該サーバーへの対策を講じ、追加の漏えい防止措置を取った。【2026年6月の別件】対象アカウントの無効化とパスワード変更、不正利用された外部サービスの停止、端末のフォレンジック調査、メールアカウントへの多要素認証の全社導入、全社員のパスワードリセットを実施。
- 公表の仕方
- 2025年10月7日に個人情報の一部流出を公表し、不審な電話・メール・なりすまし等への注意喚起と特設窓口の案内を行った。再発防止策として管理画面へのアクセス制限強化、Webサイトの整理・再構築、脆弱性管理体制の確立、ログ監視体制の整備、事故対応体制の明確化、委託先管理の見直しを示した。2026年6月29日には別件のメールアカウント不正利用を公表し、今後は社員研修、不審メール対策、監視体制の強化を進める方針とした。
- 当局対応
- 捜査機関から2025年7月28日に闇サイトでの販売について通報を受けた
- 2026年6月17日に関係機関へ連絡（別件）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 管理者パスワードを文書やファイルに平文で書いて保管しない | 資格情報はシークレット管理基盤（Vault等）かパスワードマネージャーに集約し、共有フォルダやメール添付内のパスワード記載をスキャンで定期検出する。見つかった資格情報は即時ローテーションする。 |
| 管理画面・管理者アカウントは資格情報だけで入れない状態にする | 管理画面はIP制限またはVPN経由に限定し、管理者ログインには多要素認証を必須にする。ログイン元の地理・時間帯の異常を検知してアラートを出す。 |
| 外部委託先を含めて資産とアクセス経路を把握する | 委託サーバーの管理者一覧、資格情報の保管場所、ログの保存先と閲覧権限を契約で明文化し、年次でアクセス権の棚卸しとログ提出を求める。 |
| 外部からの通報に頼らず侵害を検知できるようにする | システム・アプリケーションログを集中管理し、管理者ログインや大量データ取得の検知ルールを設定する。ダークウェブ監視サービスなどで自社データの流通も確認する。 |
| 個人情報を保持するデータの範囲と保管期間を絞る | お問い合わせフォームの入力データや契約リストは保管期間を定めて定期的に削除し、公開サーバーとは別の環境に置く。ファイル出力にはアクセス権とダウンロードログを設ける。 |
自組織などでの確認項目
- 自組織の管理者パスワードは、文書・メモ・共有フォルダ・チャット履歴などに平文で残っていないか。どの場所を、誰が、いつ確認できるか。
- 外部委託しているサーバーやサービスについて、管理者アカウントの一覧、資格情報の保管場所、ログの確認方法を自組織で把握できているか。
- 外部（捜査機関や第三者）から情報流出を通報されたとき、自組織は調査開始から公表判断までの手順と担当者を決めているか。ログは何か月前まで遡れるか。
- 管理画面やメールなどの重要アカウントで、多要素認証が全員に適用されているか。例外のアカウントはあるか。
未解明点
- 管理者パスワードが記載されたファイルが攻撃者の手に渡った経緯（どこで誰が保管していたか）は、「何らかの理由」とされるのみで示されていない。
- 流出が確認された件数は個別に示されていない。約1,900件と約4,200件の重複の有無や、約6,100件という合算の扱いも不明である。
- 委託先側の環境に侵害があったか、責任範囲がどうなっているかは公表されていない。
- 個人情報保護委員会など当局への報告状況、金銭的影響、業務への影響は、渡された情報には記載がない。
- 2025年の事案と2026年6月の別件に関連があるかは示されていない。
出典
- 1サイバーセキュリティ.com2025-10-15報道本文確認済
- 2サイバーセキュリティ.com2026-07-08報道本文確認済
- 3セキュリティ対策Lab（合同会社ロケットボーイズ）2025-10-10報道本文確認済
- 4ScanNetSecurity2025-10-17報道本文確認済
- 5サイバーセキュリティラボ2025-10-15報道本文確認済
- 6ワンビ株式会社（パソコンの情報漏洩ニュース）2025-10-07報道本文確認済
- 7日経BP（日経クロステック）2025-10-21報道本文確認済