コロナの施工情報管理クラウドへの不正アクセス（最大35,000名分の個人情報漏えいのおそれ）
公表日
住宅設備機器メーカーのコロナが施工情報の管理に使っていた外部のクラウドサービスに不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。があり、施工を請け負った顧客の氏名・住所・施工関連資料が、最大35,000名分漏えいした可能性があります。流出が確定した件数は発表されていません。
対象者は？
コロナが施工を請け負った顧客で、最大35,000名です。漏えいした可能性があると発表された情報は、氏名、住所、施工関連資料です。電話番号やクレジットカード情報など、これ以外の情報が含まれるかどうかはまだ発表されていません。
株式会社コロナ個人情報相談窓口（電話0120-560-782、平日9時〜17時、2026年8月31日開設予定）に問い合わせてください。対象者に個別の通知をするかどうかは、まだ発表されていません。
いますぐできること
- コロナで工事や施工を頼んだことがあって気になる方は、コロナの個人情報相談窓口（0120-560-782、平日9時〜17時）に問い合わせる。
- 施工内容や住所を知っているかのような、心当たりのない電話・メール・訪問を受けても、その場で個人情報を伝えない。コロナの公式窓口に確認する。
何が起きたのか
2026年8月24日、コロナは第三者からの情報提供を受けて調べました。その結果、施工情報を管理する外部のクラウドサービスに不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。があり、顧客の個人情報を含むデータが流出した可能性があることを確認しました。8月28日に公表し、同じ日までに、このサービスの全ユーザーアカウントを停止して設定し直しました。個人情報保護委員会にも報告しています。これとは別に、8月23日には、「MetaEncryptor」という攻撃者グループが、データを公開するサイトに「Corona Corporation」を載せ、約320GBのデータを持っていると主張していたことが観測されています。コロナはこのグループとの関係を公式には確認していません。
なぜ起きたのか・なぜ広がったのか
原因と侵入経路はまだ発表されていません。外部の専門家と調べている最中で、クラウドサービス側に問題があったのか、コロナが使うアカウントのパスワードなどが使われたのかも分かっていません。利用していたクラウドサービスの名前も発表されていません。
いまの状況2026-09-17 時点続報待ち
2026年9月17日時点で、原因、被害の範囲、侵入経路の調査が続いています。8月28日時点では、情報が悪用された例は確認されていません。補償や再発防止策については、まだ発表されていません。業績への影響は精査中で、伝えるべきことが出てきたら速やかに公表するとしています。
企業として考えたいこと
自社の顧客の住所や工事資料を外部のクラウドサービスに預けている場合、不正なアクセスや大量のダウンロードに自分たちで気づける仕組みがありますか。外部から「データが漏れている」と連絡を受けたとき、すぐに動ける手順はありますか。
技術的な要約
住宅設備機器メーカーの株式会社コロナは2026年8月28日、施工情報を管理する外部クラウドサービスが第三者による不正アクセスを受け、保有する情報の一部が漏えいした可能性があると発表した。8月24日に第三者からの情報提供を受けて調査し、顧客の個人情報を含むデータが流出した可能性を確認した。対象は施工を請け負った顧客の氏名、住所、施工関連資料で、最大35,000名分である。把握後ただちに対象サービスの全ユーザーアカウントを無効化・再設定し、個人情報保護委員会へ報告した。原因、被害範囲、侵入経路は外部専門家と連携して調査中で、現時点で不正利用は確認されていない。一方、ランサムウェアグループ「MetaEncryptor」がリークサイトに掲載し約320GBの保有を主張しているが、コロナはこの帰属や感染を公式には確認していない。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明公式発表は「第三者からの不正アクセス」とし、侵入経路は外部専門家と連携して調査中。侵入経路がクラウドサービス側にあったのか、コロナが持つアカウントの認証情報だったのかも調査中。パスワード漏えいの有無、多要素認証の設定有無、APIキーやOAuthトークンへの影響も公表されていない。
- 脆弱性
- CVE 非公表不明利用していた外部クラウドサービス名は非公表で、悪用された脆弱性の有無・CVEも公表されていない。リークサイトのファイルパスに「Box for Salesforce Root」との文字列が見られるが、BoxやSalesforce自体の侵害と判断できる根拠はないとされる。
- 攻撃者
- MetaEncryptor 被害組織は認めていないリークサイトで「Corona Corporation」を掲載し、約320GBのデータ保有を主張。Hackmanacは工事管理の記録、見積、発注書、作業依頼、完了・検査の報告、現場写真、地図、図面などの品目を伝えている。「FULLDATA > PART1」としてcorona_part1.zip（28.18GB）が掲載されているように見える。
- ATT&CK
影響
- 業務停止
- なし 公表資料には業務停止に関する記載はない。ランサムウェア感染、ファイル暗号化、身代金要求についてもコロナは公表していない。
- データ
- おそれ上限 35,000確定 —人氏名住所その他施工を請け負った顧客の氏名、住所、施工関連資料が最大35,000名分。流出の確定件数は未公表で、現時点で不正利用は確認されていない（2026-08-28時点）。「その他」は施工関連資料。
- 波及先
- —
- 金銭影響
- 業績予想への影響は現在精査中で、開示すべき事項が生じた場合は速やかに公表するとしている。具体的な金額は公表されていない。
- サプライチェーン
- 侵害されたのはコロナの社内システムではなく、同社が施工情報の管理に利用する外部クラウドサービスと公表されている。サービス名・提供事業者名は非公表で、他社への波及は公表されていない。
時系列
技術解説
公表された事実と時系列 事実
株式会社コロナは2026年8月24日、施工情報を管理する外部クラウドサービスについて第三者から情報提供を受けて調査を始めた。その結果、顧客の個人情報を含むデータが不正に流出した可能性を確認した。8月28日には公式サイトと適時開示で公表した。対象は、同社が施工を請け負った顧客の氏名、住所、施工関連資料で、最大35,000名分である。流出が確定した件数は公表されていない。同社は事象を把握した後ただちに、対象サービスの全ユーザーアカウントを無効化して再設定し、個人情報保護委員会へ報告した。原因の究明、被害範囲の特定、侵入経路の調査は外部の専門家と連携して続けている。8月28日時点で情報の不正利用は確認されていない。個人情報相談窓口（0120-560-782、平日9時〜17時）は8月31日に開設する予定とされた。業績予想への影響は精査中で、開示すべき事項が生じた場合は速やかに知らせるとしている。
攻撃者の主張と公式発表の範囲の違い 事実
Ransomware.liveは、MetaEncryptorによる「Corona Corporation」のリークサイト掲載を、協定世界時2026年8月23日7時35分（日本時間16時35分）に観測した。これは監視側が観測した時刻であり、攻撃者が投稿した時刻とは限らない。Hackmanacによると、攻撃者は工事管理の記録、見積、発注書、作業依頼、完了・検査の報告、現場写真、地図、図面などの品目と、約320GBのデータ量を主張している。リークサイトには「Corona Corporation > FULLDATA > PART1」としてcorona_part1.zip（28.18GB）が掲載されているように見える。ファイルパスには「Box for Salesforce Root」という文字列があるが、BoxやSalesforce自体が侵害されたと判断できる根拠はないとされる。コロナは公表文でMetaEncryptorの名称を挙げていない。ランサムウェア感染、暗号化、身代金要求、320GBの窃取も公式には確認していない。24日の情報提供がこの掲載を知らせるものだったかどうかも公表されていない。
施工情報を集約したクラウドが持つ影響の広がり 解釈
公式発表が示す対象項目は氏名・住所・施工関連資料の3つである。ただし「施工関連資料」の中身は具体的に示されていない。仮に攻撃者が主張する現場写真、地図、図面などが含まれていれば、住所と組み合わさることで、住まいの設備や間取りに関する情報も出回るおそれが出てくる。とはいえ、これは攻撃者の主張に基づく仮定である。公式に確認された内容ではない。主張された320GBと公表された35,000名分の関係も、現時点の情報では照らし合わせることができない。施工管理のように複数の現場の資料を一つのクラウドに集める運用は、業務の効率を上げる一方で、一つのアカウントやサービスが侵害されたときに影響が広い範囲に及びやすい構造ともいえる。どの程度まで影響が出たかは、今後の調査結果の公表を待つ必要がある。
検知の契機と外部クラウド利用における可視性 解釈
公表によると、調査のきっかけは第三者からの情報提供だった。また、監視サービスがリークサイトへの掲載を観測した日付（8月23日）は、調査開始（8月24日）の前日にあたる。この並びからは、社内の監視よりも外部からの通報が先に届いた可能性が考えられる。ただし、情報提供の中身は公表されておらず、断定はできない。外部のSaaSでは、ログイン履歴や大量ダウンロードの記録がサービス側に残ることが多い。利用企業がそれを日常的に確認できる状態にあったかどうかは、検知が早いか遅いかを左右しやすい。侵入経路がサービス側の問題だったのか、利用アカウントの認証情報だったのかは調査中とされる。多要素認証の設定やAPIキー・OAuthトークンへの影響も公表されていない。原因を評価するには続報が必要である。
公表対応の評価と今後の焦点 解釈
コロナは情報提供から4日後に第1報を公表した。その時点で、全アカウントの無効化・再設定、個人情報保護委員会への報告、相談窓口の開設予定、業績影響の精査をまとめて示しており、初期対応の要点は押さえていると評価できる。一方で、サービス名と提供事業者名は公表されていない。同じサービスを使う他社が自らの影響を確認するための手がかりは限られている。攻撃者の主張に公式に触れていないのは、確認されていない情報を広めないための判断とも受け取れる。ただ、利用者から見ると、報道される320GBの主張との関係がわかりにくい状態が続いている。8月24日を発覚日とした場合、委員会への確報の目安は10月23日にあたる。確定した件数、侵入経路、施工関連資料の詳しい中身が続報で示されるかが焦点になる。
対応
- 封じ込め
- 事象把握後ただちに対象の外部クラウドサービスの全ユーザーアカウントを無効化・再設定。外部専門家と連携し、原因究明、被害範囲の特定、侵入経路の調査を継続中。
- 公表の仕方
- 2026-08-28に公式サイトで「当社が利用するクラウドサービスへの不正アクセスによる個人情報漏えいの可能性に関するお知らせ（お詫び）」を公表し、適時開示も行った。2026-08-31に個人情報相談窓口（0120-560-782、平日9時〜17時）を開設予定。ランサムウェア、特定グループへの帰属、暗号化、身代金要求には触れていない。
- 当局対応
- 個人情報保護委員会（報告済み）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 外部SaaSに預けた業務データは、社内システムと同じ水準で監視の対象に入っていないと、外部からの通報で初めて気づく形になりやすい。 | 利用しているSaaSの監査ログ（ログイン、共有リンクの作成、一括ダウンロード、APIアクセス）をSIEMへ定期的に取り込む。短い時間に大量のファイル取得があったときや、普段と違る国・IPからのアクセスがあったときにアラートを出すルールを設定する。 |
| 侵入経路が提供側なのか利用者のアカウントなのかが分からないと、封じ込めと再発防止の範囲を決められない。 | SaaSのアカウントはすべてIdP経由のSSOに統一し、多要素認証を必須にする。ローカルアカウントやパスワード認証の例外を棚卸して廃止し、委託先や施工会社の外部ユーザーにも同じ条件を課す。 |
| アカウントを無効化しても、連携アプリのAPIキーやOAuthトークンが生きていればアクセスが続くおそれがある。 | SaaS間の連携（例：ストレージとCRMの連携）で発行したOAuthトークン、APIキー、サービスアカウントの一覧を作り、インシデント時にまとめて失効・再発行する手順書を用意する。平時から有効期限と権限範囲を最小限にしておく。 |
| リークサイトへの掲載や第三者からの通報は、社内で検知するより先に届くことがある。 | ランサムウェアのリークサイトを監視するサービスや脅威インテリジェンスで、自社名・ブランド名・主要子会社名のアラートを登録する。外部から通報を受けた日のうちに初動調査を始められるよう、受付窓口と担当者の連絡経路を決めておく。 |
| 施工写真や図面と住所が一緒に保管されていると、漏えいしたときの影響が大きくなる。 | 施工管理データの保存期間を決め、完了した案件の資料は自動でアーカイブまたは削除する。アクセス権を案件ごとに絞り、個人を特定できる項目と図面・写真を別の領域に分けて保管できるか検討する。 |
自組織などでの確認項目
- 自社が使っている外部SaaS（ファイル共有、施工・案件管理、CRMなど）で、顧客の氏名・住所・写真・図面を保存しているものを一覧にできていますか。保存件数の上限をすぐに答えられますか。
- それぞれのSaaSについて、監査ログを自社で取得・保管し、一括ダウンロードや外部共有を検知できる状態になっていますか。ログの保存期間は何日ですか。
- SaaSのユーザーアカウント（社外の協力会社を含む）すべてに多要素認証かSSOが適用されているか、例外が残っていないかを確認できますか。
- 第三者から「リークサイトに自社のデータが載っている」と連絡が来たとき、誰が受け付け、何時間以内に全アカウントの停止やトークンの失効を判断する手順になっていますか。
未解明点
- 侵害された外部クラウドサービスの名称と提供事業者、また同じサービスを利用する他社に影響があるかどうか
- 侵入経路がサービス側の脆弱性なのか、コロナのアカウント認証情報なのか。多要素認証の設定状況と、APIキー・OAuthトークンへの影響
- 侵入が始まった日と、データが持ち出された期間
- 流出が確定した件数と、「施工関連資料」に写真・図面・地図などが含まれていたかどうか
- MetaEncryptorによる約320GB保有の主張と本件の関係、また身代金要求の有無
- 8月24日の第三者からの情報提供の内容と、それがリークサイト掲載の通知だったかどうか
- 個人情報保護委員会への確報の内容と、本人への個別通知の有無
出典
- 1Innovatopia2026-09-02報道本文確認済
- 2セキュリティ対策Lab（合同会社ロケットボーイズ）2026-09-08報道本文確認済
- 3セキュリティ対策Lab（合同会社ロケットボーイズ）2026-08-31報道本文確認済
- 4ScanNetSecurity2026-09-17報道本文確認済
- 5株式会社コロナ2026-08-28公式本文確認済