いえらぶGROUP「いえらぶCLOUD」への不正アクセス（複数の不動産事業者・ポータル連携先に波及、約240万件の販売主張）
公表日
不動産会社向けクラウド「いえらぶCLOUD」に不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。があり、複数の不動産会社などで顧客情報が流出した可能性があります。ハッカーは約240万件の販売を主張していますが、会社は流出件数を発表していません。
対象者は？
いえらぶCLOUDを使う不動産会社（ADワークスグループ、日本財託グループ、イオンモールの直営店など）に問い合わせや部屋探しをした一部の方、およびアットホームなど連携サービスに問い合わせた一部の方が対象となる可能性があります。含まれる可能性が高い情報は氏名・メールアドレス・電話番号・住所・希望物件条件などのやり取りの履歴です。クレジットカード情報、要配慮個人情報、マイナンバー情報の流出は確認されていないとされています。ADワークスの発表では生年月日・収入等も対象となり得ます。
いえらぶGROUPの臨時お問い合わせ窓口（050-5794-1573、平日9:45〜19:00）、またはエー・ディー・ワークス 個人情報開示受付係（03-5251-7642、平日9:00〜18:00）に問い合わせられます。利用した不動産会社からの連絡も確認してください。
いますぐできること
- 心当たりのない電話・メール・SMSや、個人情報の入力を求めるURL・添付ファイルは開かないようにする。
- 不動産会社や公的機関を名乗って口座情報やパスワードを求める連絡には応じない。
- 自分の情報が対象か気になるときは、利用した不動産会社や上記の問い合わせ窓口に確認する。
何が起きたのか
いえらぶGROUPは4月6日に、自社のクラウドサービスへの異常なアクセスを見つけ、アクセスを止めて調査を始めました。4月8日に不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。とデータの不正な読み出しを確認したと発表しました。同じ日に、ハッキングフォーラムで約240万件（メールアドレスの重複を除くと約97万件）のデータを売るというハッカーの主張が確認されました。その後、ADワークスグループ（4月10日）、日本財託（4月17日）、イオンモールとアットホーム（5月1日）などが、影響や可能性を発表しました。4月30日の第二報で、いえらぶGROUPは情報流出の可能性が高いとしました。一方、RISEは、管理する顧客情報の外部流出は確認されなかったと発表しています。
なぜ起きたのか・なぜ広がったのか
いえらぶGROUPは第二報で、悪意ある第三者による不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。とシステムの脆弱性が発端だったと説明し、インフォスティーラー（情報を盗むマルウェアパソコンやスマートフォン、サーバーに入り込んで悪さをするソフトウェアの総称です。「ウイルス」もマルウェアの一種です。情報を盗む、データを壊す、他のパソコンへの攻撃の踏み台にする、などの目的で使われます。）などでクライアントのアカウント情報が盗まれた可能性が高いとしています。このサービスは複数の不動産ポータルからの問い合わせをまとめて管理する機能を持ち、全国の不動産会社17000社以上に導入されていると報じられています。ただし、これは導入数で、被害を確認した数ではありません。脆弱性の具体的な内容や、二つの要因の関係はまだ発表されていません。
いまの状況2026-05-11 時点続報待ち
2026年5月11日時点で、いえらぶGROUPは流出した件数や具体的な内容を発表していません。同社は脆弱性の修正を完了し、アカウント管理の強化などの対策をとったとしていますが、詳細は非公表です。個人情報保護委員会への報告一定の個人情報の漏えいが起きた場合、企業は国の機関である個人情報保護委員会への報告と、本人への通知が法律で義務づけられています（2022年4月から）。漏えいの通知が届くのはこのためです。と警察への相談は済んでいます。ADワークスグループは影響範囲の確定後に、個人情報保護委員会への報告を含む対応をするとしています。補償や対象者への個別の連絡については、まだ発表されていません。
企業として考えたいこと
自社が顧客情報を預けているクラウドサービスで事故が起きたとき、どの顧客のどの情報が対象か、何日以内に把握して知らせられるでしょうか。
技術的な要約
いえらぶGROUPは、不動産事業者向けクラウドサービス「いえらぶCLOUD」への不正アクセスにより、2026年4月5日にデータ流出が発生したと発表した。4月6日に異常アクセスを検知してアクセスを遮断し、8日に不正アクセスとデータの不正な読み出しを公表、30日の第二報では情報流出の可能性が高いとした。攻撃手段は、インフォスティーラーなどでクライアントのアカウント情報を窃取した可能性が高いとされ、第二報ではシステムの脆弱性も発端として挙げられている。4月8日にはハッキングフォーラムで住宅検討者データ約240万件（ユニークメール約97万件）の販売主張が確認されたが、同社は流出件数や具体的内容を公表していない。ADワークスグループ、日本財託、イオンモール、アットホームなど利用企業・連携先にも影響の可能性が公表された。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 認証情報窃取・流用報道・研究者第二報でインフォスティーラーなどを用いてクライアントのアカウント情報を窃取した可能性が高いとされた。日本財託の発表では、特定のクライアントアカウントを利用した不正アクセスおよびデータ取得が確認されたとされる。一方、第二報の報道では、悪意ある第三者による不正アクセスおよびシステムにおける脆弱性が発端とされており、両者の関係は公表されていない。
- 脆弱性
- CVE 非公表報道・研究者同社は異常アクセス検知後、原因となった脆弱性の修正を完了したと説明。製品名・CVE・脆弱性の内容は記載がない。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし
- データ
- おそれ上限 2,400,000確定 —件氏名メール電話住所生年月日性別その他2,400,000件はハッカーによる販売主張の件数（ユニークメール約97万件）であり、いえらぶGROUPは流出件数を公表していない。同社は外部サイト調査で流出情報との関連の可能性が極めて高いとした。第二報では氏名・メール・電話・住所・希望物件条件などのやり取り履歴が含まれる可能性が高く、クレジットカード情報・要配慮個人情報・マイナンバー情報の流出は確認されていないとされる。ADワークスの発表では生年月日・収入・反響情報等も対象となり得る。ハッカーの主張には職業・収入・家族構成・年齢・性別・希望予算・現住居の家賃等も含まれる。
- 波及先
- 17000 社（いえらぶCLOUD導入不動産会社数。被害確認数ではない）
- エー・ディー・ワークス（ADワークスグループ子会社）
- 日本財託グループ
- イオンモール（ハウジング事業推進部の直営店）
- アットホーム（連携各社に問い合わせた一部顧客の情報漏えいの可能性）
- RISE（同社管理の顧客情報の外部流出は確認されなかったと最終回答）
- SUUMO・CHINTAI・LIFULL HOME'S（各社は直接の侵入や漏えいは確認されていない、または調査中と説明）
- 金銭影響
- —
- サプライチェーン
- SaaS型クラウドサービス「いえらぶCLOUD」が侵害され、利用する不動産事業者（ADワークスグループ、日本財託、イオンモール等）や、連携する不動産ポータルの問い合わせ（反響）情報に影響の可能性が及んだ。同サービスは全国の不動産会社17000社以上に導入されていると報じられている。いえらぶCLOUD全体の漏洩か、特定の利用企業からの漏洩かは不明と報じられている。
時系列
技術解説
公表された経緯と攻撃手段 事実
いえらぶGROUPは4月6日に異常アクセスを検知してアクセスを遮断し、当該箇所の修正と社内調査を開始した。4月8日から本格調査に移り、不正アクセスとデータの不正な読み出しを確認して同日に第1報を公表した。外部専門機関とのフォレンジック調査では社内調査との相違は認められず、外部サイト調査の結果、流出していた情報との関連の可能性が極めて高いとされた。4月30日の第二報では、4月5日に悪意ある第三者による不正アクセスとシステムの脆弱性が発端となってデータ流出が発生したとし、情報流出の可能性が高いと発表した。攻撃手段は、インフォスティーラーなどでクライアントのアカウント情報を窃取した可能性が高いという。脆弱性の製品名やCVEは公表されていない。
影響範囲と数字の扱い 事実
流出した情報の件数や具体的な内容は、いえらぶGROUPから発表されていない。含まれる可能性が高い情報は、氏名、メールアドレス、電話番号、住所、希望物件条件などのやり取り履歴で、クレジットカード情報、要配慮個人情報、マイナンバー情報の流出は確認されていないとされる。約240万件（ユニークメール約97万件）は、ハッキングフォーラム上で販売を主張したハッカー側の数字であり、確定件数ではない。価格は1000ユーロ（約18万円）と伝えられた。ADワークスグループは、氏名・連絡先・生年月日・収入・反響情報等が対象となり得るとしている。17000社以上という数字は、いえらぶCLOUDの導入不動産会社数として報じられたもので、被害を確認した社数ではない。
利用企業・連携先の公表状況 事実
4月10日にADワークスグループが、子会社エー・ディー・ワークスが利用する賃貸版顧客管理機能で不正アクセスとデータ取得が確認されたと発表した。4月17日には日本財託が、4月5日から6日にかけて特定のクライアントアカウントを利用した不正アクセスとデータ取得が確認されたと発表した。5月1日にはイオンモール（ハウジング事業推進部の直営店）とアットホームが、それぞれ不正取得や一部顧客情報の漏えいの可能性を公表した。一方、RISEは4月30日付けで、管理する顧客情報の外部流出は一切確認されなかったとの最終回答があったと発表した。ポータル側では、CHINTAIが調査中、LIFULLが自社サービスへの不正アクセスや漏えいは確認していないとし、リクルートはSUUMOへの直接の侵入は確認されていないと回答している。
構造の見方：連携基盤が集約点になった可能性 解釈
いえらぶCLOUDは複数のポータルからの反響を一元的に取り込んで管理する機能を持つ。そのため、個々のポータルを直接侵害しなくても、この基盤に入れれば複数ポータル経由の問い合わせ情報に届く構造だったと考えられる。報道側の分析（セキュリティ対策Lab）も、ポータル自体ではなく連携する統合CRMが侵害されたとの見方を示しているが、これは推測である。また、アカウント情報の窃取と、システムの脆弱性という二つの要因が示されている。両者がどう関係するのか、窃取されたアカウントが悪用されたのか脆弱性が突かれたのかは公表資料からは判断できない。さらに、240万件の主張データが基盤全体からのものか特定の利用企業からのものかも不明と報じられている。以上は公開情報に基づく仮説であり、今後の発表で変わりうる。
対応
- 封じ込め
- 2026-04-06に異常アクセスを検知してアクセスを遮断し、当該箇所を修正して社内調査を開始。直ちに原因となった脆弱性の修正を完了し、現在は安全な状態であることを確認していると説明。危機対策本部を設置し、外部専門機関と連携して影響範囲の特定と被害拡大防止を進めた。外部専門機関によるフォレンジック調査の結果、社内調査との相違は認められなかった。アカウント管理の強化等を含む重層的な対策を完了したとするが、詳細はセキュリティ上の理由で非公表。
- 公表の仕方
- 2026-04-08に公式サイトで第1報を公表し、2026-04-30に第二報を発表。臨時のお問い合わせ専用窓口（050-5794-1573、平日9:45〜19:00）を設置し、影響範囲が判明次第、対象関係者に連絡するとしている。外部サイトで同社システムから抽出されたと思われるデータが公開されている事実を確認しているとして、不審なメール・電話への注意を呼びかけた。流出件数や具体的内容、対象範囲の詳細は公表されていない。
- 当局対応
- 個人情報保護委員会への報告を実施済み（いえらぶGROUP）
- 管轄警察署へ相談済み（いえらぶGROUP）
- ADワークスグループは、影響範囲確定後に個人情報保護委員会への報告を含む対応を行うとしている
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| SaaSの顧客アカウントが窃取されると、基盤側の対策だけでは防ぎきれない。第二報ではインフォスティーラー等によるアカウント情報の窃取の可能性が示された。 | 管理者・利用者アカウントにフィッシング耐性のあるMFA（FIDO2等）を必須化し、IPアドレス制限と新規端末・異常な大量取得の検知アラートを実装する。セッショントークンの短寿命化と、侵害疑い時の一括失効手順も用意する。 |
| 複数ポータルの反響を一元管理する基盤は、情報が集約される点であり、侵害時の影響が横断的に広がりうる。 | 顧客データの保持期間を定め、不要になった反響データを自動削除・匿名化する。テナント単位のアクセス権分離、一括エクスポートの回数・件数制限、大量読み出しのレート検知を実装する。 |
| 利用企業や連携先が個別に公表する形になり、情報が段階的に出て、調査中・確認されずといった説明が併存した。 | 利用企業向けの影響テナント一覧と通知テンプレートを事前に用意し、ログから対象テナントと対象項目を特定できる監査ログ設計（取得項目・保存期間）にしておく。 |
| クライアント端末のマルウェア感染が、クラウド側の侵害の入口になりうる。 | 業務端末にEDRを導入し、ブラウザへのパスワード保存を禁止してパスワードマネージャーに集約する。インフォスティーラーの感染兆候や認証情報の漏えいを監視するサービスを使い、検知時に資格情報を即時リセットする。 |
| 委託先SaaSに顧客情報を預ける側も、どのサービスにどの情報があるかを把握する必要がある。 | 利用中SaaSの台帳に、保管する個人情報の種類・件数・連携先を記載し、委託先からの事故連絡の窓口と受け取り手順、契約上の通知期限を定めて年次で見直す。 |
自組織などでの確認項目
- 自組織が使っているクラウドサービスの管理者・利用者アカウントに、多要素認証は全員分で必須になっていますか。例外のアカウントは一覧で確認できますか。
- 自組織の顧客管理（CRM）に、不要になった問い合わせ情報が残っていませんか。保持期間と削除ルールは決まっていますか。
- 委託先クラウドで事故が起きた場合、自組織のどの顧客・どの項目が対象かを、何日以内に特定できますか。連絡窓口と通知の手順は決まっていますか。
- 業務端末でインフォスティーラー等の感染を検知した場合、ブラウザ保存の認証情報やセッションを即時に失効させる手順がありますか。
未解明点
- 流出が確認された件数と対象の範囲（いえらぶCLOUD全体か、特定の利用企業か）は公表されていない。
- アカウント情報の窃取と、システムの脆弱性との関係、および脆弱性の製品名・内容は公表されていない。
- ハッキングフォーラムで販売が主張されたデータと、いえらぶGROUPが確認した流出データが同一かは、公表情報からは確定していない。「関連の可能性が極めて高い」とされている段階である。
- 影響を受けた利用企業・連携ポータルの全体像と、各社の最終的な調査結果は、まだ出そろっていない。
出典
- 1INTERNET Watch2026-05-07報道本文確認済
- 2セキュリティ対策Lab（合同会社ロケットボーイズ）2026-04-17報道本文確認済
- 3セキュリティ対策Lab（合同会社ロケットボーイズ）2026-04-10報道本文確認済
- 4ScanNetSecurity2026-04-27報道本文確認済
- 5ScanNetSecurity2026-05-08報道本文確認済
- 6ScanNetSecurity2026-05-11報道本文確認済
- 7ScanNetSecurity2026-05-11報道本文確認済
- 8ScanNetSecurity2026-05-11報道本文確認済
- 9J-CAST ニュース2026-04-09報道本文確認済