アンビションDXホールディングスへの不正アクセス（ファイルサーバー侵害・個人情報漏えい確認、Settraが犯行主張）
公表日
不動産管理などを手がけるアンビションDXホールディングスのファイルサーバーが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受け、顧客・オーナー・入居者・取引先・役職員の個人情報が含まれる可能性のある情報漏えいが確認されました。件数はまだ発表されていません。
対象者は？
顧客、賃貸管理物件のオーナー、入居者、取引先、役職員の個人情報（氏名、住所、電話番号、メールアドレス等）が含まれる可能性があります。件数は発表されていません。その他の情報も漏えいの可能性を完全には否定できず、範囲は特定されていません。どの情報が含まれないかは、まだ発表されていません。
同社は、漏えいの確認範囲が確定し次第、対象となる方へ個別に連絡するとしています。公式のお知らせ（第2報・第3報）で最新の状況を確認できます。
いますぐできること
- 同社や同社の役職員を装った、心当たりのないメールや電話に注意する。
- 不審な連絡のリンクや添付ファイルは開かず、個人情報を伝えない。
- 同社からの個別連絡や公式のお知らせを待ち、続報を確認する。
何が起きたのか
2026年8月6日、同社はファイルサーバーが第三者による不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受けていることを確認したと発表しました。報道によれば、同日未明にアクセス障害が起き、確認するとログ（操作の記録）が消えていたといいます。同社は対象の機器をネットワークから切り離し、8月7日に安全を確認した新しいネットワーク環境へ切り替えました。当初は、データが外部に持ち出された形跡は確認されていないとしていましたが、8月28日の第3報で、一部の情報について漏えいが確認されたと発表しました。なお、ランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。グループのSettraが8月18日に犯行を主張していると、セキュリティ企業などが伝えています。
なぜ起きたのか・なぜ広がったのか
攻撃の手口や侵入経路は、被害拡大の防止と捜査への影響を考慮して、まだ発表されていません。ログが消えていたとの報道もあり、原因の特定には時間がかかっている可能性があります。
いまの状況2026-10-14 時点続報待ち
8月28日時点で、業務で使うシステムはすべて復旧し、お客様やオーナー様などの手続き・サービスへの支障や、情報の不正利用などの二次被害は確認されていないとのことです。同社は個人情報保護委員会へ報告し、警察にも相談しています。漏えいした件数、侵入経路、業績への影響は、まだ発表されていません（業績への影響は精査中）。8月28日の第3報以降の公式発表は、確認できた資料の中には見当たりません。
企業として考えたいこと
もし自社のファイルサーバーが突然使えなくなりログも失われたとき、何の情報がどれだけ保存されていたか、また誰に連絡すべきかを、どれくらい早く確認できるでしょうか。
技術的な要約
アンビションDXホールディングスは2026年8月6日、ファイルサーバーが第三者による不正アクセスを受けていることを確認したと公表した。報道によれば8月6日未明にファイルサーバーでアクセス障害が発生し、ログの消失が確認されたという。8月28日の第3報で一部の情報資産について情報漏えいが確認されたとし、顧客・オーナー・入居者・取引先・役職員の個人情報（氏名、住所、電話番号、メールアドレス等）が含まれる可能性があるとした。業務システムはすべて復旧し、顧客等への実務上の支障や二次被害は確認されていない。ランサムウェアグループSettraが8月18日に犯行を主張しているが、同社は攻撃の手口・侵入経路の公表を差し控えており、連結業績への影響は精査中である。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明同社は「攻撃の手口ならびに侵入経路の詳細につきましては、現時点での公表を差し控えさせていただきます」としている。SOCRadarはアクセスブローカー関与の可能性に言及するが推測の域を出ない。
- 脆弱性
- CVE 非公表不明脆弱性・製品名は公表されていない。
- 攻撃者
- Settra 被害組織は認めていない2026年8月18日に犯行を主張し、交渉に応じなければ全データを公開すると脅している。リークサイズは437GBと記載（Breachsense）。
- ATT&CK
影響
- 業務停止
- なし 対象機器をネットワークから遮断し、新たなネットワーク環境へ切替。ネットワーク遮断に伴い電子メールの返信に時間がかかる場合があった。顧客・オーナー・入居者・取引先の手続き・サービスへの実務上の支障は生じていない。8月28日時点で業務システムはすべて復旧。
- データ
- 確定上限 —確定 —氏名住所電話メール従業員情報取引先情報第3報で一部情報資産の情報漏えいを確認。顧客・オーナー・入居者・取引先・役職員の個人情報が含まれる可能性があるが件数は未公表。その他の情報も漏えい可能性を否定できず、範囲は特定に至っていない。なおBreachsenseは外部侵害由来の@am-bition.jpアカウント8件を索引化しているが本件との関連は不明。第2報時点ではデータ持ち出しの形跡は未確認だった。
- 波及先
- —
- 金銭影響
- 連結業績への影響は精査中（第3報時点）。
- サプライチェーン
- 委託先や取引先経由の侵入、取引先への波及は公表されていない。
時系列
技術解説
公表された経緯と初期対応 事実
同社は2026年8月6日付の第1報で、ファイルサーバーにおいて第三者による不正アクセスを受けていることを確認したと公表した。8月7日18時25分時点の第2報では、第三者がアクセスを試みた痕跡は認められるが、データが外部へ持ち出された形跡は確認されていないとした。ただし同社は、これは現時点の調査結果であり被害の全容が確定したものではないと断っている。報道（ScanNetSecurity）によれば、8月6日未明にファイルサーバーでアクセス障害が発生し、状況を確認したところログの消失が判明したという。対象機器は社内ネットワークとインターネットから遮断され、安全性を確認した新たなネットワーク環境への切替が完了した。
第3報で確認された内容 事実
2026年8月28日18時00分時点の第3報で、同社は一部の情報資産について情報漏えいが確認されたと公表した。顧客、賃貸管理物件のオーナー、入居者、取引先および役職員の個人情報（氏名、住所、電話番号、メールアドレス等）が含まれる可能性があるとしている。その他の情報も漏えいの可能性を完全には否定できず、具体的な範囲や内容は特定に至っていない。件数は公表されていない。業務で利用する各システムはすべて復旧し、各種手続き・サービス上の支障と二次被害は確認されていないという。個人情報保護委員会へ報告済みで、警察にも相談している。攻撃の手口と侵入経路は公表が差し控えられ、連結業績への影響は精査中である。
攻撃者側・第三者機関の情報（主張段階） 事実
SOCRadarは、ランサムウェアグループSettraの被害組織として同社（am-bition.jp）が掲載されたと報告している。攻撃日は2026年8月18日、ステータスはClaimed（主張）と記載され、SOCRadarが Dark Web Monitoring で検知したのは8月19日である。Breachsenseはリークサイズを437GBと記載し、DeXposeはSettraが交渉に応じなければ全データを公開すると脅していると伝えている。一方でSOCRadar自身が、リークサイトの掲載は独立に検証できず、確認済みの侵害を反映しない場合があると注記している。同社が公表した漏えいの範囲や件数と、これらの主張内容との関係は、渡された資料からは確認できない。
段階的な公表の読み方 解釈
第2報では持ち出しの形跡は未確認、第3報では一部の漏えい確認へと、調査の進展に応じて内容が更新されている。第2報の時点で結果が暫定であると明示されていた点は、読み手が状況を判断しやすい書き方だと考えられる。また、漏えい確認範囲の特定を優先し確定次第個別に連絡するという方針は、誤った件数を出さないための慎重さとも読める。ただし件数や対象者の内訳が未公表のため、外部から被害規模を評価することはできない。Breachsenseの437GBという数字は攻撃者側の主張に由来する可能性があり、実際の漏えい量と同一とは言えない。公表上限と確定値は区別して扱う必要がある。
ログ消失と調査の難しさ 解釈
報道によればアクセス障害の際にログの消失が確認されており、事実であれば侵入経路や持ち出し範囲の特定に影響した可能性がある。第2報で持ち出し未確認とされた後に第3報で漏えいが確認された経緯は、記録が十分に残らない環境では判断があとから変わりうることを示唆しているとも読める。ただしログ消失の原因や範囲は公表されていない。業務への支障が出なかった点は、対象機器の迅速な遮断と新環境への切替が機能した結果と推測できるが、これも同社の説明の範囲での解釈にとどまる。侵入経路が非公表のため、再発防止策の具体的な評価は現時点では難しい。
対応
- 封じ込め
- 対象機器を社内ネットワークおよびインターネットから遮断し、外部専門機関と調査・復旧を実施。安全性が確認された機器から順次再開し、新たなネットワーク環境へ切替。業務システムは8月28日時点で復旧完了。
- 公表の仕方
- 8月6日に第1報、8月7日に第2報、8月28日に第3報を公表。漏えい確認範囲の特定を優先し、確定次第対象者へ個別に連絡するとしている。侵入経路の詳細は被害拡大防止と捜査への影響を考慮し非公表。同社または役職員を装った不審なメール・電話への注意も呼びかけている。
- 当局対応
- 警察に相談
- 個人情報保護委員会へ報告（個人情報保護法第26条第1項）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| ファイルサーバーのログが障害や改ざんで失われると、侵害範囲の判断が後から変わりうる。 | ファイルサーバーの監査ログ・認証ログをsyslogやSIEMへリアルタイム転送し、サーバー管理者権限とは別の保管先にWORM設定で保存する。保存期間は少なくとも1年とする。 |
| 対象機器の遮断と新環境への切替により、業務への支障を抑えられた。 | ファイルサーバーを隔離する手順（VLAN切替、FWの全遮断ルール、代替共有環境の事前構築）をRunbook化し、年1回は切替訓練を実施して所要時間を計測する。 |
| 持ち出し未確認という初期判断が、後に漏えい確認へ変わった。暫定判断は更新される前提で扱う必要がある。 | プロキシ・FW・DNSの通信ログを長期保存し、大容量アップロードや未知の外部宛て通信を検知するルールを設定する。初期報では未確認と確認済みを分けて記載するテンプレートを用意する。 |
| 侵入経路が不明な段階では、認証情報とリモートアクセスの総点検が有効な備えになる。 | Microsoft 365、VPN、リモートアクセスポータルのMFA適用状況を一覧化し、未適用アカウントを洗い出す。特権アカウントのパスワードをローテーションし、不審なログインをアラート化する。 |
| ファイルサーバーには顧客・取引先・従業員の個人情報が混在しうる。 | DLP製品やスクリプトで共有フォルダ内の個人情報を棚卸しし、保存期間を過ぎたデータを削除する。必要なデータはアクセス権を最小化し、保管時暗号化を適用する。 |
自組織などでの確認項目
- 自組織のファイルサーバーのログは、サーバー外の別の保管先に転送されているか。サーバー管理者でも削除できない設定か。
- 自組織で、ファイルサーバーを30分以内に社内ネットワークとインターネットから遮断し、代替環境へ切り替える手順は文書化され、訓練されているか。
- 自組織の共有フォルダに、顧客・取引先・従業員の個人情報がどこにどれだけ保存されているかを、直近1年以内に棚卸ししているか。
- 自組織のMicrosoft 365、VPN、リモートアクセスのすべてで、MFAは有効か。例外アカウントは把握されているか。
未解明点
- 侵入経路・攻撃手口は、公表が差し控えられており、いつ明らかにされるか。
- 漏えいが確認された情報資産の件数と対象者の内訳（顧客、オーナー、入居者、取引先、役職員それぞれ）はどうなっているか。
- Settraの主張（437GBなど）と、同社が確認した漏えい範囲はどう対応しているか。また、暗号化の被害があったかは公表されていない。
- ログ消失の原因と範囲、および再発防止策の具体的内容、連結業績への影響額はどうなるか。
出典
- 1株式会社アンビションDXホールディングス2026-08-07公式本文確認済
- 2株式会社アンビションDXホールディングス2026-08-28公式本文確認済
- 3ScanNetSecurity2026-08-31報道本文確認済
- 4SOCRadar2026-08-19研究者本文確認済
- 5SOCRadar研究者本文確認済
- 6Breachsense2026-08-19研究者本文確認済
- 7DeXpose2026-08-18研究者本文確認済