LIXILの業務支援アプリ「L-ポケット」への不正アクセス（登録会員ら3,379名の個人情報漏えい）
公表日
株式会社LIXILのリフォーム事業者向け業務支援アプリ「L-ポケット」が外部からの不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受け、登録会員や同社従業員ら3,379名の個人情報が漏えいしました。
対象者は？
「L-ポケット」および「L-ポケットLite版」の登録会員、ならびにLIXIL・グループ会社の従業員および退職者（計3,379名）。クレジットカードや銀行口座などの決済情報は含まれていません。
2026年10月19日よりLIXILから対象者宛てに個別の案内メールが順次送付されています。
いますぐできること
- LIXILからの個別連絡メールを確認し、身に覚えのない不審な連絡が届いていないか注意する
- 登録していたメールアドレス宛てに届く、関係者を装った不審なメールや添付ファイルを開かない
何が起きたのか
2026年10月13日に、LIXILが提供する業務支援アプリ「L-ポケット」のシステムで第三者による不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。が検知されました。同社は直ちに外部アクセスを遮断し、サービスの運用やアプリストアでの公開を一時停止しました。調査の結果、登録会員や同社従業員など3,379名分の個人情報が外部に漏えいしたことが判明し、10月19日に公表されました。
なぜ起きたのか・なぜ広がったのか
不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。が行われた具体的な侵入経路や悪用された脆弱性については公表されていません。外部から「L-ポケット」の利用環境に対して行われたことが確認されています。
いまの状況2026-10-20 時点続報待ち
社内基幹システムや社内ネットワークへの侵入、データの改ざん・破壊、情報の不正利用などの二次被害は確認されていません。サービスは一時停止中であり、安全な環境を整え直したうえで再開時期が検討されます。
企業として考えたいこと
自社で提供している取引先向け・顧客向けアプリやサービスは、社内基幹システムと適切に分離され、不正検知時に即座に停止できる運用になっていますか？
技術的な要約
株式会社LIXILは2026年10月19日、リフォーム事業者向け業務支援アプリケーション「L-ポケット」および「L-ポケットLite版」のシステムが第三者による不正アクセスを受け、登録会員などの個人情報が外部へ漏えいしたことを確認したと公表した。同社は2026年10月13日に不正アクセスを検知し、直ちに外部からのアクセス遮断およびサービスやアプリ運用の停止、アプリストアでの公開一時停止措置を実施した。情報漏えいの対象は登録会員や同社およびグループ会社の従業員・退職者を含む計3,379名で、氏名、メールアドレス、生年月日、事業者情報などが含まれていた。クレジットカードや銀行口座などの決済情報への影響はなく、社内基幹システムへの侵入やデータの改ざん・破壊、二次被害は確認されていない。同社は個人情報保護委員会などの関係機関へ報告を行い、対象者へ順次メールで個別に連絡を行っている。
攻撃の分類
- 侵入口
- 不明公表で確認侵入の具体的な手口は公表されていないが、「L-ポケット」で利用している環境に対して外部から行われたことが確認されている。
- 脆弱性
- CVE 非公表不明具体的な侵入手法や悪用された脆弱性は公表されていない。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 「L-ポケット」のサービスおよびアプリの運用、アプリストアでの公開を一時停止。
- データ
- 確定上限 3,379確定 3,379人氏名メール電話住所生年月日性別会員ID取引先情報従業員情報漏えい対象3,379名のうち375名はLIXILおよびグループ会社の従業員・退職者。氏名、フリガナ、メールアドレス、生年月日、性別、会員番号または登録コード、事業者情報（会社名、住所、電話番号、部署名、業種分類）が含まれる。決済情報への影響はなく、既存データの改ざんや破壊も確認されていない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- —
時系列
- 2026-10-13
- 2026-10-13
- 2026-10-13
- 2026-10-19
- 2026-10-19
- 2026-10-19
- 2026-10-19
- 2026-10-20
技術解説
不正アクセスの検知と初動対応の経緯 事実
株式会社LIXILは2026年10月13日に、リフォーム事業者向け業務支援アプリ「L-ポケット」および「L-ポケットLite版」のシステムに対する第三者からの不正アクセスを検知した。同社は検知後直ちに外部からのアクセス遮断を実施し、サービスとアプリの運用、およびアプリストアでの公開を一時停止した。その後の調査により、登録会員や同社およびグループ会社の従業員・退職者を含む計3,379名分の個人情報が外部へ漏えいしたことが確認され、検知から6日後の2026年10月19日に公表された。同社社内の基幹システムや社内ネットワークへの侵入は確認されておらず、既存データの改ざんや破壊、二次被害も公表時点では確認されていない。個人情報保護委員会等の関係機関へ報告が行われ、対象者への個別メール通知が順次実施されている。
漏えい対象データと影響範囲の内訳 事実
本件で外部への漏えいが確認された対象は、リフォーム事業者向けアプリの登録会員と、LIXILおよびグループ会社の従業員・退職者を含む合計3,379名である。このうち375名は同社およびグループ会社の従業員ならびに退職者と公表されている。漏えいした項目には、氏名、フリガナ、メールアドレス、生年月日、性別、会員番号または登録コード、ならびに事業者情報（会社名、住所、電話番号、部署名、業種分類）が含まれている。一方で、クレジットカード情報や銀行口座情報といった決済関連情報への影響はないことが確認されている。また、侵入の具体的な手口や悪用された脆弱性については公表されておらず、サービスの再開時期については安全に利用できる環境を整え直したうえで検討するとしている。
業務支援サービス環境の分離と迅速なサービス停止判断 解釈
本件では、不正アクセス検知当日に外部通信の遮断だけでなく、サービスおよびアプリの運用停止やアプリストアでの公開取り下げまで即座に踏み切った点が特徴的である。社内基幹システムや社内ネットワークへの侵入が確認されていないことから、顧客向け・事業者向けのクラウド系業務支援システムが社内環境とは別系統で運用されていたか、あるいは境界での防御・分離が機能していた可能性が考えられる。一方で、具体的な侵入経路や脆弱性が非公表であるため、外部公開APIの認証不備やWebアプリケーションの脆弱性、クラウドアカウントの認証情報漏えいなど、どのような経路でデータへの直接アクセスを許したのかは判明していない。影響が確定した決済情報以外の個人情報についても、事業者や担当者名が含まれるため、標的型攻撃やなりすましメールなどの二次被害に対する継続的な警戒が求められる。
対応
- 封じ込め
- 不正アクセス検知後、直ちに外部からのアクセスを遮断し、「L-ポケット」のサービス・アプリ運用およびアプリストアでの公開を一時停止した。
- 公表の仕方
- 2026年10月19日にウェブサイト上で公表し、同日より対象者3,379名に対して順次メールにて個別にお詫びと事実関係の案内を開始した。
- 当局対応
- 個人情報保護委員会
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 外部公開アプリケーションにおける即時隔離プロトコルの策定 | 不正アクセス検知時に外部通信遮断だけでなく、アプリ配信停止やセッション無効化を含む運用停止手順を事前に定義し、被害拡大を食い止める初動体制を整える。 |
| 業務支援系環境と社内基幹ネットワークの厳格な分離 | 顧客・パートナー向けサービス環境を社内基幹系やイントラネットからネットワークレベル・認証レベルで分離し、一方が侵害された際のラテラルムーブメントを遮断する。 |
| アプリケーション登録データの最小化と保持期間管理 | サービス運用に不可欠な属性以外の個人情報や従業員・退職者データの保持を見直し、不要となった古いプロファイル情報を定期的に削除・匿名化する。 |
| 漏えいした事業者・担当者情報を悪用したなりすまし攻撃への警戒 | 氏名、メールアドレス、所属組織等の情報が流出した対象者に対し、関係者を装ったフィッシングメールや詐欺的な連絡に対する注意喚起と確認手順を速やかに周知する。 |
自組織などでの確認項目
- 自社が提供または利用する外部公開サービスにおいて、不正アクセス検知時に即座にサービスやアプリ配信を一時停止できるエスカレーション基準と手順が整っているか。
- 自社の顧客・事業者向け公開システムと社内基幹系・社内ネットワークとの間で、セグメンテーションやアクセス権限の分離が確実に維持されているか。
- 外部公開サービスのデータベースに従業員や退職者、取引先の情報が過剰に含まれていないか、データ最小化の観点から定期的に棚卸しが行われているか。
未解明点
- 攻撃者が「L-ポケット」環境へ侵入した具体的な手口（WebアプリやAPIの脆弱性、認証情報の悪用、クラウド設定不備など）の技術的詳細。
- 不正アクセスが検知された2026年10月13日より前に、攻撃者による初期侵入や潜伏活動があったのかどうか。
出典
- 1株式会社アクト2026-10-20報道本文確認済
- 2セキュリティ対策Lab2026-10-20報道本文確認済
- 3株式会社LIXIL公式本文確認済
- 4株式会社LIXIL2026-10-19公式本文確認済