青山メイン企画へのランサムウェア攻撃（サーバー・端末のファイル暗号化、個人情報漏えいのおそれ、委託元セゾンファンデックスにも波及）
公表日
賃貸管理を行う青山メイン企画のサーバーと端末がランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。攻撃を受け、個人情報が外部に持ち出されたおそれがあります。対象の人数はまだ発表されておらず、委託元のセゾンファンデックスの契約者の情報も対象になる可能性があります。
対象者は？
青山メイン企画が管理する物件の所有者、賃貸人、賃借人、入居者、緊急連絡先、連帯保証人、取引先担当者、従業員が対象になる可能性があります。セゾンファンデックスのリースバック契約者や、緊急連絡先として登録された人も含まれ得ます。対象になり得る情報は、氏名・住所・電話番号・メールアドレスなどの連絡先、本人確認書類の写し、契約関係書類、口座振替依頼書、鍵引渡し書、印鑑登録証明書に含まれる情報などです。クレジットカード情報は対象に含まれないと確認されたとされています。対象の人数や範囲は調査中です。
対象かどうかを確認できる専用の窓口や一覧が公表されているかは、渡された情報からは分かりません。青山メイン企画やセゾンファンデックスからの案内を確認してください。
いますぐできること
- 青山メイン企画やセゾンファンデックスを名乗る不審なメール・SMS・電話に注意する。
- 両社は、個人情報の提供依頼、リンクや添付ファイルを開かせる行為、金銭の支払い依頼を一切行わないと明言しています。こうした連絡が来ても応じない。
- 自分が対象かもしれないと思う場合は、両社の公式な案内を確認する。
何が起きたのか
2026年1月12日、青山メイン企画は、サーバーとつながったパソコンの複数のファイルが暗号化されて開けなくなっていることに気づきました。データの公開をほのめかして金銭を求める英語の文章も置かれていました。同社は同じ日のうちにサーバーを止め、パソコンのネットワークケーブルを抜くなどの対応をしました。1月16日に第1報を出し、個人情報を含むファイルが外部に持ち出されたおそれがあるものの、確実に漏えいした情報は確認できていないと説明しました。3月10日には、賃貸管理を委託しているセゾンファンデックスも公表しました。4月6日には第3報が出され、対象になり得る本人と情報の種類が示されました。
なぜ起きたのか・なぜ広がったのか
侵入された経路や原因は、現時点で特定できていないと発表されています。委託元の情報も青山メイン企画のサーバー等にあった可能性があるため、影響が委託元の契約者などにも及ぶおそれがあるとされています。
いまの状況2026-04-24 時点続報待ち
2026年4月24日時点で、調査は続いています。対象となる情報と本人の範囲は確認中で、人数はまだ発表されていません。個人情報の不正使用や二次被害は、セゾンファンデックスの公表時点では確認されていません。青山メイン企画では、報道によると、システムの全面復旧は6月予定です。一方、セゾンファンデックスは、契約管理や問い合わせ対応は通常どおりで、契約の履行や連絡に支障はないと説明しています。
企業として考えたいこと
自社が業務を委託している会社に、どんな個人情報を、何件、どこに預けているか。その会社が被害に遭ったとき、自社はすぐに把握して、顧客に説明できるでしょうか。
技術的な要約
青山メイン企画は2026年1月12日、サーバーおよび接続端末で複数ファイルが暗号化され、データ公開を示唆し金銭を求める英文テキストが置かれていることを確認し、第三者によるランサムウェア攻撃と判断した。同社は同日中にサーバー停止やネットワークケーブルの抜線などの初動対応を行い、1月16日に第1報を公表した。個人データを含むファイルが暗号化され、外部へ持ち出されたおそれがあるが、確実に漏えいした個人情報は確認できていないとされた。委託元のセゾンファンデックスが3月10日に公表し、4月6日の第3報でも対象情報と本人の範囲は調査中である。侵入経路は特定されておらず、報道ではシステムの全面復旧は6月予定とされている。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明同社は侵入経路や原因は現時点で特定できていないとしている。セゾンファンデックス関連の報道でも侵入経路の詳細は公表されていないとされる。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり サーバー等が完全には使用できず、すべてのお客様へ個別にアクセスできない状況。復旧期間は不明で一部業務に遅延が生じる可能性があるとされた。報道ではシステム全面復旧は6月予定。一方、セゾンファンデックスは、管理会社の契約管理業務や問い合わせ対応は通常どおりで、リースバック契約の履行や連絡に支障はないと説明している。期間：2026-01-12の暗号化確認以降、継続中（全面復旧は6月予定との報道）
- データ
- おそれ上限 —確定 —氏名住所電話メール生年月日本人確認書類業務データ取引先情報従業員情報口座その他対象人数・範囲は調査中。第1報では個人データを含むファイルが暗号化され外部へ持ち出されたおそれがあるが、確実に漏えいした個人情報は未確認。第3報では対象となる可能性がある本人として管理物件の所有者、賃貸人、賃借人、入居者、緊急連絡先、連帯保証人、取引先担当者、従業員を挙げ、対象情報は連絡先情報、本人確認書類の写し、契約関係書類、口座振替依頼書、鍵引渡し書、印鑑登録証明書に含まれる情報の可能性がある。セゾン側資料では生年月日、物件情報、勤務先情報、緊急連絡先情報も含まれる可能性がある。クレジットカード情報は対象外と確認されている。不正使用や二次被害は確認されていない（セゾン公表時点）。
- 波及先
- —
- セゾンファンデックス（リースバック契約者および緊急連絡先登録者の個人情報が対象となる可能性）
- 金銭影響
- —
- サプライチェーン
- セゾンファンデックスがリースバック契約の賃貸管理業務を委託している青山メイン企画が被害を受け、委託元の契約者情報にも影響が及ぶ可能性があるとして、セゾンファンデックスが2026年3月10日に公表した。
時系列
技術解説
確認された攻撃の経過 事実
青山メイン企画は2026年1月12日、サーバーと接続端末で複数のファイルが暗号化されていることを確認した。あわせて、データ公開を示唆し金品を要求する内容の英文テキストが置かれており、オンラインミーティングへの勧誘も記載されていた。同社はこれを第三者によるランサムウェア攻撃と判断し、同日中にサーバー等を停止し、パソコンのネットワークケーブルを抜線するなどの被害拡大防止措置を実施した。1月16日に第1報を公表し、個人データを含むファイルが暗号化されて閲覧不能となったほか、外部へ持ち出されたおそれがあるとした。一方で、確実に漏えいした個人情報は確認できていないと説明している。侵入経路や原因は、公表時点で特定できていない。
対象となる可能性がある本人と情報 事実
2026年4月6日の第3報で、同社は対象となる可能性がある本人として、管理物件の所有者、賃貸人、賃借人、入居者、緊急連絡先、連帯保証人、取引先担当者、従業員を挙げた。対象となり得る情報は、氏名・住所・電話番号・メールアドレスなどの連絡先情報のほか、本人確認書類の写し、契約関係書類、口座振替依頼書、鍵引渡し書、印鑑登録証明書に含まれる情報である。委託元セゾンファンデックス側の資料では、生年月日、物件情報、勤務先情報、緊急連絡先情報も含まれる可能性があるとされる。クレジットカード情報は対象に含まれないことを確認したとされる。対象となる情報と本人の範囲は調査継続中で、人数は公表されていない。
委託元への波及と業務への影響 事実
セゾンファンデックスは2026年3月10日、リースバック契約の賃貸管理業務を委託している青山メイン企画でランサムウェア攻撃に伴う個人情報漏えい事案が発生したと公表した。対象となる可能性があるのはセゾンのリースバック契約者の個人情報で、緊急連絡先として登録された人の情報も対象になり得ると明記されている。セゾン側は、不正使用や二次被害は確認されていないこと、管理会社の契約管理業務や問い合わせ対応は通常どおりで、契約の履行や連絡に支障はないことを説明している。一方、青山メイン企画は第1報で、サーバー等が完全には使用できず、すべてのお客様へ個別にアクセスできない状況で、復旧期間は不明と述べた。報道では、システムの全面復旧は6月予定とされた。
「おそれ」と確定が併存する公表の読み方 解釈
公表内容では、外部への持ち出しは「おそれ」とされ、確実な漏えいは未確認とされている。一方、委託元の公表資料の題名には「漏えい」の語が使われており、表現に差がある。これは、調査が進むなかで各社が確認できた範囲に応じて表現を選んでいる結果とも読めるが、出典だけでは理由は分からない。読者が自分の情報が対象かを判断するうえでは、確定した件数ではなく、第3報が示す本人区分と情報の種類を手がかりにするのが現実的である。第1報から第3報までに約3か月が経過しており、調査に時間を要している様子がうかがえる。ただし、これは公表の遅さを断じるものではなく、侵入経路が特定されていない状況での段階的な公表と捉えられる。
委託関係が影響範囲を広げる構造 解釈
本件では、賃貸管理を受託する企業のサーバーに、委託元の契約者や緊急連絡先、物件の所有者や入居者など、複数の立場の人の情報が置かれていた可能性が示されている。受託側が侵害されると、委託元の顧客だけでなく、顧客が登録した第三者の情報にも影響が及び得る点が特徴的である。また、本人確認書類の写しや口座振替依頼書のような書類は、調査対象の範囲を確定するのに手間がかかると考えられる。受託企業側の業務継続と、委託元側の業務継続とで説明が分かれている点も、委託関係の中でシステムの依存度が異なることを示唆する。ただし、これは公表された内容からの推測であり、実際のデータ保管状況は公表されていない。
対応
- 封じ込め
- 被害確認当日の2026年1月12日にサーバー等を停止し、パソコンに接続していたネットワークケーブルを抜線、関連端末をネットワークから切り離した。各種専門家を起用して社内外メンバーによる対応チームを組成し、専門業者によるログ解析を実施している。
- 公表の仕方
- 2026年1月16日に第1報、3月10日に第2報、4月6日に第3報を公表（第3報の記述による）。委託元のセゾンファンデックスも3月10日に公表した。自社を装った不審なメール・SMS・電話への注意を呼びかけ、個人情報の提供依頼、リンクや添付ファイルを開かせる行為、金銭の支払い依頼は一切行わないと明言している。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 委託先に預けた個人情報は、委託先の事故が自社の事故になる | 委託先ごとに預けているデータ項目・件数・保管場所を台帳化し、年次で棚卸しする。委託契約に、インシデント時の通知期限（例：確認後24〜72時間以内）と調査協力の条項を入れる。 |
| 本人確認書類や口座振替依頼書などの書類データは、漏えい時の影響が大きい | 書類の写しは業務上不要になった時点で削除する保存期限を設定し、必要なものは通常の業務サーバーと分離した暗号化ストレージに置き、アクセスログを取得する。 |
| 端末とサーバーの両方が暗号化されると、業務の継続と復旧に長期間を要し得る | バックアップは3-2-1を基本に、1つはネットワークから論理的に隔離（イミュータブル）して保管し、復旧手順を定期的に演習して復旧時間を実測する。 |
| 初動で停止・切り離しを速やかに行える体制が被害拡大の抑制につながる | インシデント対応手順書に、サーバー停止・端末のネットワーク切り離しの判断基準と連絡先を明記し、EDRの隔離機能を管理者が即時に実行できるよう権限と手順を整備する。 |
| 侵入経路が特定できないと、再発防止策の確定と説明が難しくなる | 認証・VPN・ファイアウォール・サーバーのログを一定期間（例：1年以上）別の保管先に集約し、改ざんされにくい形で保存して、フォレンジック調査に使えるようにする。 |
自組織などでの確認項目
- 自社が委託している業務で、委託先に渡している個人情報の項目と件数を、すぐに一覧で示せるか。緊急連絡先など、顧客以外の第三者の情報も含めて確認できているか。
- 自社のサーバーや端末が暗号化された場合、何を最初に停止・切り離すかが手順書で決まっているか。夜間・休日でも実行できる担当者と権限があるか。
- 本人確認書類の写しや契約書類などを、業務上不要になった後も保管していないか。保管期限と削除の運用は実際に守られているか。
未解明点
- 侵入経路と原因は特定されたのか。特定された場合、どのような再発防止策が取られるのか。
- 対象となる本人の人数と、実際に外部へ持ち出された情報の有無・範囲はどうなのか。
- 攻撃者グループは誰か。要求内容に応じた対応や、データ公開の有無はどうなっているのか。
- 2026年3月10日付の第2報の内容は何か（渡された出典では記述が確認できない）。
- 全面復旧は予定どおり6月に完了したのか。完了後の状況は公表されているのか。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2026-01-19報道本文確認済
- 2セキュリティ対策Lab(合同会社ロケットボーイズ)2026-04-09報道本文確認済
- 3セキュリティ対策Lab（合同会社ロケットボーイズ）2026-03-12報道本文確認済
- 4ScanNetSecurity2026-02-03報道本文確認済
- 5ScanNetSecurity2026-03-24報道本文確認済
- 6ScanNetSecurity2026-04-24報道本文確認済