エー・ディー・ワークスの利用クラウド「いえらぶCLOUD」への不正アクセス（顧客情報89件流出の可能性、他社への波及あり）
公表日
不動産会社のエー・ディー・ワークスが使うクラウド「いえらぶCLOUD」に不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。があり、顧客の氏名と電話番号が最大89件流出した可能性があります。ほかにも複数の企業が同じサービスで影響を公表しています。
対象者は？
エー・ディー・ワークスの賃貸版顧客管理機能に登録されていた顧客のうち、氏名・電話番号が流出した可能性のある最大89件です。クレジットカード情報、要配慮個人情報、マイナンバー情報の流出事実は確認されていません。ほかの企業の利用者にも影響が出ている場合があります。
対象の方には、運営会社を通じて両社連名で順次個別に連絡が行われる予定です。個別の通知が難しい場合は、公表をもって案内に代えるとされています。心当たりがある方は、エー・ディー・ワークス個人情報開示受付係(電話03-5251-7642、平日9:00〜18:00)に問い合わせできます。
いますぐできること
- 心当たりのない電話・メール・SMSや、個人情報の入力を促すURL、添付ファイルに注意する。
- 会社や公的機関を名乗って口座情報やパスワードを求める連絡には応じない。
- 不安なときは、エー・ディー・ワークスの問い合わせ窓口に相談する。
何が起きたのか
2026年4月5日から6日にかけて、運営会社のいえらぶGROUPが「いえらぶCLOUD」への不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を検知しました。エー・ディー・ワークスは4月10日に第1報を公表し、4月30日に運営会社から調査報告書を受け取り、5月11日に結果を公表しました。その結果、顧客の氏名・電話番号89件が流出した可能性があるとされました。同じサービスを使うアーキテクト・ディベロッパー、日本財託、LIFULL、一誠商事、イオンモールも、4月から5月にかけて影響を公表しています。
なぜ起きたのか・なぜ広がったのか
公表によると、攻撃者は情報を盗み取るウイルス(インフォスティーラー)などを使い、運営会社の顧客のアカウント情報を盗んでいた可能性が高いとされています。多くの企業が同じサービスを使っていたため、複数の会社に影響が出ました。サービス側の脆弱性の内容は示されていません。
いまの状況2026-05-11 時点続報待ち
2026年5月11日時点で、エー・ディー・ワークスは調査結果を公表しています。対象の方への個別連絡は順次行われる予定です。同社は、個人情報保護法に基づく関係機関への報告を行い、外部サービスの選定・運用の体制を見直して強化するとしています。ハッカーによる約240万件の販売の主張も確認されていますが、これは攻撃者の主張で、同社分との関係は発表されていません。補償については、まだ発表されていません。
企業として考えたいこと
自社が顧客情報を預けているクラウドサービスで、ログイン用のアカウントが盗まれた場合、どの顧客情報が見られるかを把握できていますか。
技術的な要約
エー・ディー・ワークスが不動産賃貸管理システムとして利用する外部クラウド「いえらぶCLOUD」（運営：いえらぶGROUP）で、2026年4月5日〜6日に第三者による不正アクセスが検知され、データが不正に取得された。同社は4月10日に第1報を公表し、4月30日付の調査報告書をもとに5月11日に調査結果を公表した。流出した可能性のある顧客情報は賃貸版顧客管理機能の氏名・電話番号89件で、クレジットカード情報・要配慮個人情報・マイナンバー情報の流出事実は確認されていない。攻撃者はインフォスティーラー等で運営会社クライアントのアカウント情報を窃取していた可能性が高いとされる。同じ基盤を使うアーキテクト・ディベロッパー、LIFULL、日本財託、一誠商事、イオンモールなど複数社にも影響が波及しており、ハッキングフォーラムでは約240万件のデータ販売を主張する投稿も確認されている（攻撃者の主張）。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 認証情報窃取・流用公表で確認エー・ディー・ワークスの公表によれば、「攻撃者はインフォスティーラー等を用い、運営会社クライアントのアカウント情報を窃取していた可能性が高い」。日本財託の報道では「特定のクライアントアカウントを利用した不正アクセスおよびデータ取得」とされる。
- 脆弱性
- CVE 非公表不明いえらぶCLOUDCVEは公表されていない。いえらぶGROUP側は「修正対応プログラム適用等の対策を実施済み」としているが、脆弱性の内容は示されていない。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 業務停止の公表はない。
- データ
- おそれ上限 89確定 —件氏名電話エー・ディー・ワークスの流出可能性は賃貸版顧客管理機能の氏名・電話番号89件（2026-05-11公表）。クレジットカード情報、要配慮個人情報、マイナンバー情報の流出事実は確認されていない。第1報では氏名・連絡先・生年月日・収入・反響情報等が含まれる可能性があるとされ、流出した可能性のあるデータが外部サイトで販売されている事実も確認されていた。なお約240万件（ユニーク約97万件）はハッカーの主張で、同社分とは別でありその関係は公表されていない。
- 波及先
- —
- アーキテクト・ディベロッパー（2026-04-13公表）
- LIFULL（LIFULL HOME'S問い合わせユーザー情報、2026-04-22公表）
- 日本財託（2026-04-17公表）
- 一誠商事（2026-04-24公表）
- イオンモール（2026-05-01公表）
- 金銭影響
- —
- サプライチェーン
- エー・ディー・ワークスは、いえらぶGROUPが提供するSaaS「いえらぶCLOUD」の利用企業として被害を受けた。いえらぶGROUPからの通報で把握した。同SaaSを利用する他の不動産会社やポータル運営会社にも影響が相次いだ。
時系列
- 2025-12アーキテクト・ディベロッパー（ADI）が引き継ぐ事業の物件オーナー・入居者に管理会社変更を案内した。2
- 2026-01ADIがエー・ディー・パートナーズから外部オーナー向けプロパティマネジメント事業を吸収分割で承継し、いえらぶCLOUDを引き継いだ。2
- 2026-04-05
- 2026-04-06
- 2026-04-08
- 2026-04-09
- 2026-04-10
- 2026-04-13アーキテクト・ディベロッパーが、いえらぶCLOUDでの不正アクセスとデータ取得を公表した。2
- 2026-04-17日本財託が、委託先システム会社（いえらぶCLOUD）への不正アクセスを公表した。4
- 2026-04-22LIFULLが、LIFULL HOME'S問い合わせユーザーの情報が不正取得された可能性を公表した。3
- 2026-04-24一誠商事が、いえらぶCLOUDへの不正アクセスを公表した。6
- 2026-04-30エー・ディー・ワークスが運営会社から調査報告書を受領した。7
- 2026-05-01イオンモールが、直営店利用のいえらぶCLOUDへの不正アクセスを公表した。5
- 2026-05-11エー・ディー・ワークスが調査結果を公表した。流出可能性は氏名・電話番号89件、攻撃者がインフォスティーラー等でアカウント情報を窃取した可能性が高いとした。7
技術解説
公表された事実の整理 事実
ADワークスグループは2026年4月10日、子会社エー・ディー・ワークスが不動産賃貸管理システムとして利用する外部クラウド「いえらぶCLOUD」(運営:いえらぶGROUP)で、第三者による不正アクセスとデータ取得が確認されたと発表した。運営会社は4月5日から6日にかけて不正アクセスを検知した。同社は4月30日付の調査報告書を受領し、5月11日に調査結果を公表した。流出した可能性のある顧客情報は、賃貸版顧客管理機能の氏名・電話番号89件である。クレジットカード情報、要配慮個人情報、マイナンバー情報の流出事実は確認されていないと説明している。第1報では、氏名・連絡先・生年月日・収入・反響情報等が対象となり得ること、流出した可能性のあるデータが外部の特定サイトで販売されている事実も確認されていることが示されていた。
侵入経路に関する公表内容 事実
エー・ディー・ワークスの5月11日付の公表によると、攻撃者はインフォスティーラー等を用い、運営会社クライアントのアカウント情報を窃取していた可能性が高いことが判明している。日本財託に関する報道でも、特定のクライアントアカウントを利用した不正アクセスおよびデータ取得が確認されたとされている。一方で、いえらぶGROUP側が修正対応プログラム適用等の対策を実施済みとされるものの、脆弱性の内容やCVEは示されていない。なお、いえらぶCLOUD全体の漏洩か特定の利用企業経由の漏洩かという問いへの答えは、報道上も確定していないとされている。本件で侵入口として公表されているのは、窃取されたアカウント情報の利用が有力という点までである。
他社への波及と攻撃者の主張 事実
同じいえらぶCLOUDの利用企業から、複数の公表が続いた。アーキテクト・ディベロッパーは4月13日、日本財託は4月17日、LIFULLは4月22日、一誠商事は4月24日、イオンモールは5月1日に公表した。LIFULLは、LIFULL HOME'S自体への不正アクセスや情報漏洩は確認されていないとしている。4月8日には、ハッキングフォーラム上で住宅検討者データ約240万件(ユニークメールアドレス約97万件)の販売を主張する投稿が確認されたが、これは攻撃者の主張であり、件数は検証されたものではない。この主張とエー・ディー・ワークス分89件との関係は公表されていない。
被害が広がった構造についての見方 解釈
複数社の顧客情報が同じSaaSに集約されていたことで、一つのプラットフォーム周辺の事案が多数の企業の公表へつながったと考えられる。いえらぶCLOUDは複数ポータルからの問い合わせを一元管理するCRMで、利用企業ごとに情報の持ち主が異なる。そのため、各社が運営会社からの通報を受けて個別に調査・公表する形になり、時期が段階的に分かれたとみられる。また、認証情報の窃取が起点とされる点から、利用側端末の感染対策やログイン保護が、クラウド側の対策と並んで影響範囲を左右し得る。ただし、これらは公表された事実からの推論であり、実際の運用や設定の状況は公表されていない。エー・ディー・ワークスの件数89件は上限としての公表で、全体像は未確定である。
公表対応の見方 解釈
エー・ディー・ワークスは、第1報から約1か月後に件数・項目・原因の見込みを含む調査結果を示し、注意喚起と問い合わせ窓口も明記した。件数と項目を具体的に示した点は、利用者が影響を判断しやすい対応だったと評価できる。一方、第1報で示された項目(生年月日・収入等)と、最終的な項目(氏名・電話番号)の差の理由や、外部サイトで販売されていた情報との関係は、公表資料の範囲では分からない。いえらぶGROUP自身の発表内容も、今回の資料には含まれていない。評価は現時点の公開情報に基づく暫定的なものである。
対応
- 封じ込め
- いえらぶGROUP側は修正対応プログラム適用等の対策を実施済みで、エー・ディー・ワークスグループ発表（2026-04-10）時点では安全性を確認している。エー・ディー・ワークスは外部サービスの選定・運用における情報管理体制の見直しと強化を図るとしている。
- 公表の仕方
- 2026-04-10に第1報を公表し、顧客へ心当たりのない電話・メール・SMS、個人情報入力を促すURL、添付ファイルへの注意と、口座情報・パスワード等を求める連絡に応じないよう呼びかけた。2026-05-11に調査結果を公表した。対象顧客には運営会社経由で両社連名の個別連絡が順次行われる予定で、個別通知が困難な場合は公表をもって案内に代える。問い合わせ窓口はエー・ディー・ワークス個人情報開示受付係（TEL 03-5251-7642、平日9:00〜18:00）。
- 当局対応
- 個人情報保護委員会（個人情報保護法等に基づき、影響範囲確定後に報告を含む対応を行うとしている）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 利用しているSaaSの管理者アカウントが窃取されると、事業者側の防御とは別に情報が読み出され得る。 | SaaSの全ログインに多要素認証を必須にし、可能ならIP制限やSSOを設定する。ログイン履歴を定期的に確認し、不審なログインの通知を有効にする。 |
| インフォスティーラーによる認証情報の窃取は、利用者側端末の感染から始まる可能性がある。 | 業務端末にEDRを導入し、ブラウザへのパスワード保存を禁止する。漏洩した認証情報の監視サービスを利用し、検知時にパスワード失効とセッション無効化を行う手順を用意する。 |
| 同じSaaSを使う企業が多いと、一つの事案が各社の公表として連鎖する。 | 利用SaaSの一覧と、各SaaSに置いている個人情報の種類・件数を台帳化する。ベンダーからの事故通報を受ける連絡先と、自社の判断・公表フローを事前に決めておく。 |
| 組織再編で引き継いだシステムの管理が、新旧の組織にまたがる。 | 事業承継時に、利用SaaSのアカウント・権限・契約を棚卸しして移管する。不要な利用者を削除し、管理者を明確にする。 |
| 顧客情報の保有量を減らすほど、流出時の影響を小さくできる。 | CRM上の個人情報に保存期間を設け、期限を過ぎたデータを自動削除またはエクスポートして隔離する。生年月日・収入など不要な項目は入力欄から外す。 |
自組織などでの確認項目
- 自組織が利用しているSaaSのうち、顧客の個人情報を保存しているものはいくつあり、そのすべてで多要素認証が必須になっているか。
- 業務端末がインフォスティーラーに感染した場合、それを検知できる仕組みと、窃取されたSaaSの認証情報を即時に無効化する手順があるか。
- 利用中のSaaSベンダーから事故の通報を受けたとき、誰が受け、何日以内に影響範囲を判断し、どの範囲で公表するかが決まっているか。
- 組織再編や事業承継で引き継いだシステムについて、アカウントと権限の棚卸しが行われているか。
未解明点
- いえらぶGROUP自身による、侵入経路・被害件数全体・利用企業への影響の詳細な公表内容。
- 約240万件の販売主張と、各社の公表した流出可能性との関係。
- 第1報で示された生年月日・収入などの項目が、最終的に氏名・電話番号のみとなった経緯。
- 窃取されたアカウントの範囲、複数社の事案が同一の侵入経路かどうか、および再発防止策の具体的な内容。
出典
- 1セキュリティ対策Lab(合同会社ロケットボーイズ)2026-04-22報道本文確認済
- 2セキュリティ対策Lab(合同会社ロケットボーイズ)2026-04-14報道本文確認済
- 3セキュリティ対策Lab(合同会社ロケットボーイズ)2026-04-23報道本文確認済
- 4ScanNetSecurity2026-05-08報道本文確認済
- 5ScanNetSecurity2026-05-11報道本文確認済
- 6ScanNetSecurity2026-05-11報道本文確認済
- 7株式会社エー・ディー・ワークス2026-05-11公式本文確認済