共立メンテナンスへのフィッシング起点の不正アクセス（従業員端末の遠隔操作、入居者・取引先等の個人情報が閲覧された可能性）
公表日
共立メンテナンスの従業員の業務用パソコンが、フィッシング銀行・通販サイト・宅配業者・公的機関などを装ったメールやSMSを送り、本物そっくりの偽サイトに誘導して、IDやパスワード、カード番号などを入力させる手口です。SMSを使うものは「スミッシング」、電話を使うものは「ビッシング」とも呼ばれます。メールをきっかけに第三者に不正操作され、氏名・電話番号・メールアドレスなどの個人情報の一部が閲覧されたことが確認されました。件数はまだ発表されていません。
対象者は？
入居者、入居者の家族、取引先・業務委託先の担当者、物件・施設の見学申込者、同社従業員などが含まれる可能性があります。対象となり得る情報は氏名、電話番号、メールアドレス、連絡先情報等の一部です。クレジットカード情報など経済的被害に直結し得る情報は、確認されていないと説明されています。
自分が対象かどうかを確かめる方法や、対象者への個別連絡の有無は、渡された報道記事には書かれておらず、まだ発表されていません。気になる方は、同社の公式のお知らせや問い合わせ窓口をご確認ください。
いますぐできること
- 身に覚えのない送信元や不自然な文面のメール、「パスワードの再設定」「請求確認」などを装うメールは、開封・リンクのクリック・返信をしない。
- 同社をかたるメールやメッセージが届いても、本文のリンクは開かず、公式サイトや既知の連絡先から確認する。
- 共立メンテナンスや関連サービスと関わりがある方は、同社の公式のお知らせを確認する。
何が起きたのか
2025年10月23日、共立メンテナンスの従業員の業務用パソコンで、セキュリティ対策ソフトが「通常とは異なる通信」を見つけました。同社はすぐにそのパソコンをネットワークから切り離して回収し、調べ始めました。11月11日には個人情報保護委員会に速報として報告し、11月28日に最初の発表をしました。2026年2月5日には、外部の専門機関と進めた調査が終わったとして結果を発表しました。それによると、従業員が受け取ったフィッシング銀行・通販サイト・宅配業者・公的機関などを装ったメールやSMSを送り、本物そっくりの偽サイトに誘導して、IDやパスワード、カード番号などを入力させる手口です。SMSを使うものは「スミッシング」、電話を使うものは「ビッシング」とも呼ばれます。メールをきっかけに、外部の第三者がそのパソコンを遠隔から不正に操作し、個人情報の一部が閲覧されたことが確認されました。また、そのパソコンで使っていた一部のインターネットサービスのアカウントが不正に使われ、メールやダイレクトメッセージが送られたことも確認されています。
なぜ起きたのか・なぜ広がったのか
同社の説明では、原因は従業員が受け取ったフィッシング銀行・通販サイト・宅配業者・公的機関などを装ったメールやSMSを送り、本物そっくりの偽サイトに誘導して、IDやパスワード、カード番号などを入力させる手口です。SMSを使うものは「スミッシング」、電話を使うものは「ビッシング」とも呼ばれます。メールです。これをきっかけに、第三者がパソコンを遠隔から操作したとされています。メールの中身や、操作に使われた具体的な方法は、渡された報道記事には書かれていません。このパソコンに入居者や取引先などの連絡先情報が含まれていたため、対象となり得る人の範囲が広くなっています。なお、パソコンから個人情報が外部へ直接送られた証拠は確認されていないと説明されています。
いまの状況2026-02-05 時点
2026年2月5日時点で、外部専門機関と連携した調査は完了したと発表されています。個人情報の不正利用などの二次被害は確認されていないと説明されています。同社は従業員向けの情報セキュリティ教育の強化と注意喚起を進めています。対象となる人の件数や、本人への連絡の有無、再発防止策の詳しい内容は、まだ発表されていません。
企業として考えたいこと
もし自社の従業員が1人フィッシング銀行・通販サイト・宅配業者・公的機関などを装ったメールやSMSを送り、本物そっくりの偽サイトに誘導して、IDやパスワード、カード番号などを入力させる手口です。SMSを使うものは「スミッシング」、電話を使うものは「ビッシング」とも呼ばれます。メールを開いてしまい、その業務パソコンが遠隔操作されたら、パソコンに保存された個人情報の範囲を何分・何日で把握し、ログイン済みのサービスを止められるでしょうか。
技術的な要約
共立メンテナンスは2025年11月28日、従業員の業務端末がフィッシングメールをきっかけに第三者に不正操作され、端末内の個人情報が外部に流出した可能性があると公表した。2025年10月23日にセキュリティ対策ソフトが通常とは異なる通信挙動を検知し、同社は端末をネットワークから遮断・回収して調査を開始した。2026年2月5日の続報では、外部専門機関と連携した調査が完了し、個人情報の一部について閲覧等が行われたことが確認されたと説明している。閲覧等された可能性がある情報は氏名、電話番号、メールアドレス、連絡先情報等で、入居者、入居者の家族、取引先・業務委託先の担当者、見学申込者、従業員等が含まれる可能性がある。クレジットカード情報など経済的被害に直結し得る情報は確認されておらず、個人情報の不正利用などの二次被害も確認されていないとしている。一方、当該端末で利用していた一部のインターネットサービスのアカウントが不正利用され、メールやダイレクトメッセージが送信された事象は確認された。
公開情報が限られている点について
攻撃の分類
- 侵入口
- フィッシング公表で確認従業員が受信したフィッシングメールを起点として、外部の第三者が遠隔から当該従業員の業務端末を不正に操作したと同社が説明。具体的な手口（添付ファイル・リンク・使用ツール等）は出典に記載なし。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 出典に業務停止の記載なし。
- データ
- おそれ上限 —確定 —氏名電話メールその他件数は非公表。第三者により閲覧等された可能性がある情報は氏名、電話番号、メールアドレス、連絡先情報等の一部。対象は入居者、入居者の家族、取引先・業務委託先の担当者、見学申込者、従業員等が含まれる可能性。続報で個人情報の一部について閲覧等が確認されたとするが、当該端末から個人情報が外部に直接送信されたことを裏付ける痕跡は確認されていない。クレジットカード情報など経済的被害に直結し得る情報は確認されていない。
- 波及先
- —
- 当該端末で利用していた一部のインターネットサービスのアカウントが第三者に不正利用され、メールやダイレクトメッセージが送信された
- 個人情報の不正利用などの二次被害は確認されていない
- 金銭影響
- —
- サプライチェーン
- 委託先経由ではなく自社従業員の端末が起点。取引先・業務委託先の担当者の情報が対象に含まれる可能性がある。
時系列
技術解説
発覚から調査完了までの経過 事実
共立メンテナンスは2025年10月23日、セキュリティ対策ソフトが従業員の業務用PCで「通常とは異なる通信挙動」を検知したと説明している。同社は直ちに当該端末をネットワークから遮断・回収し、原因と影響範囲の調査を開始した。11月11日付で個人情報保護委員会に速報として報告し、11月28日に第1報を公表した。2026年2月5日には、外部専門機関と連携した調査が完了したとして調査結果と対応状況を公表した。この調査で、第三者による不正な操作が行われ、個人情報の一部について閲覧等が行われたことが確認されたとしている。一方、当該端末から個人情報が外部に直接送信されたことを裏付ける痕跡は確認されていないとも説明している。
侵入の起点と対象となり得る情報 事実
従業員が受信したフィッシングメールを起点に、外部の第三者が遠隔から当該端末を不正に操作したと同社は説明している。第1報では「可能性が高い」とされ、続報では原因として記載された。閲覧等された可能性がある情報は、氏名、電話番号、メールアドレス、連絡先情報等の一部である。対象には入居者、入居者の家族、取引先・業務委託先の担当者、見学申込者、従業員等が含まれる可能性がある。クレジットカード情報など経済的被害に直結し得る情報は確認されておらず、個人情報の不正利用などの二次被害も確認されていない。ただし、当該端末で利用していた一部のインターネットサービスのアカウントが不正利用され、メールやダイレクトメッセージが送信された事象は確認された。件数は出典に記載がない。
端末の遠隔操作という被害の性質 解釈
端末が遠隔から操作される場合、端末上でログイン済みのサービスも操作の対象になり得ると考えられる。本件でアカウントの不正利用とメール等の送信が確認されたことは、その一端を示すと読める。また、外部への直接送信の痕跡が確認されない一方で閲覧等は確認されている。この点から、画面上での閲覧のように、一般的なデータ持ち出しの検知では見えにくい形の被害があり得ると推測される。ただし具体的な手口やツールは出典に記載がなく、これは一般的な見方にとどまる。対象が入居者や家族、取引先など広い関係者に及び得るのは、業務端末に連絡先情報が保存されていたためと考えられる。ただし、その保存の経緯や範囲は公表されていない。
公表の進め方についての見方 解釈
検知(10月23日)から第1報(11月28日)まで約5週間、続報(2026年2月5日)まで約3.5か月である。同社は個人情報保護委員会への速報を11月11日に行い、第1報では「流出の可能性」を、外部専門機関の調査完了後の続報では「閲覧等の確認」を示した。調査の進み具合に応じて段階的に説明する形と読める。一方で、対象者数や手口、本人への個別連絡の有無は、渡された出典からは確認できない。対象となり得る人が自分に関係するかを判断する材料はまだ限られている。ただし、調査途中で未確定の情報をどこまで出すかは難しい判断であり、現時点の出典だけで公表の適否を断定することはできない。なお根拠は報道4件のみで、公式発表の原文は確認していない。
対応
- 封じ込め
- 検知後直ちに当該端末をネットワークから遮断・回収し、原因および影響範囲の調査を開始。外部専門家によるフォレンジック調査を実施し、従業員向け情報セキュリティ教育の強化、注意喚起の徹底を進めている。
- 公表の仕方
- 2025年11月28日に第1報を公表（検知から約1か月後）。2026年2月5日に外部専門機関との調査完了を受けて調査結果と対応状況を公表。不審なメールの開封・リンクのクリック・返信をしないよう注意喚起している。
- 当局対応
- 個人情報保護委員会（2025年11月11日付で速報として報告）
- 関係機関への報告（詳細は出典に記載なし）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| フィッシングの受信を前提に、端末が操作された後の被害を小さくする設計が要る。 | EDRで端末を即時隔離できる運用手順を整備する。リモートアクセスツールの新規導入・実行をアプリケーション制御で制限する。隔離を試す机上訓練も定期的に行う。 |
| 今回は対策ソフトの通信挙動の検知が発覚のきっかけになった。異常検知から遮断までの速さが被害範囲を左右する。 | EDRやプロキシのアラートを24時間365日で一次対応できる体制(SOC/MDR等)を整える。高リスクの検知は自動隔離する設定にする。検知から隔離までの目標時間を決めて計測する。 |
| 業務端末のローカルに連絡先などの個人情報が蓄積されていると、端末1台の侵害でも対象が広がり得る。 | 端末内の個人情報の所在を棚卸しする。業務データは共有ストレージやSaaSに集約し、ローカル保存をDLPやMDMで制限する。不要な連絡先データは定期的に削除する。 |
| 端末内でログイン済みのサービスも不正利用され、メールやDMの送信に使われた事象が確認されている。 | SaaSにはFIDO2等のフィッシング耐性のある認証を導入し、セッション有効期間を短くする。端末隔離時には、その端末の全セッション・トークンを失効させる手順をIDプロバイダ側に用意する。 |
| 外部への直接送信の痕跡がない場合でも、閲覧等が確認されることがある。 | 端末操作ログ、リモート接続ログ、プロキシログを十分な期間保存する。フォレンジックに使えるよう、保存先と保持期間を事前に決めておく。 |
自組織などでの確認項目
- 自組織の業務端末には、どの種類の個人情報(連絡先、顧客・取引先情報など)がローカルに保存されていますか。棚卸しで把握できていますか。
- 業務端末で不審な通信が検知された場合、誰が、どのくらいの時間で端末をネットワークから隔離できますか。隔離後に、その端末でログイン済みのSaaSのセッションを失効させる手順はありますか。
- 従業員向けのフィッシング対策教育に加え、メールを開いてしまった場合を想定した技術的な備え(リモート操作ツールの制限、多要素認証など)を、自組織ではどこまで実装していますか。
未解明点
- 閲覧等が確認された個人情報の件数と、対象者への個別連絡の有無・方法は、渡された出典では確認できない。
- フィッシングメールの具体的な手口(添付ファイル、リンク、使用された遠隔操作の手段)と、実際の侵入日時は出典に記載がない。
- 不正利用されたインターネットサービスの種類と、送信されたメールやDMの宛先・内容、受信者への影響は明らかでない。
- 同社が実施する再発防止策の具体的な内容(技術的対策を含む)は、出典では教育強化と注意喚起にとどまり、詳細は確認できない。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2025-12-04報道本文確認済
- 2セキュリティ対策Lab(合同会社ロケットボーイズ)2026-02-09報道本文確認済
- 3ScanNetSecurity2025-12-16報道本文確認済
- 4ScanNetSecurity2026-02-18報道本文確認済