穴吹ハウジングサービス・穴吹興産(あなぶきグループ)へのランサムウェア攻撃(個人情報最大約49.6万件の可能性、最終20万7,773件)
公表日
あなぶきグループの穴吹ハウジングサービスと穴吹興産がランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。攻撃を受け、個人情報が外部に漏れた可能性があるものは最終的に20万7,773件と確認されました(当初は最大約49万6,000件の可能性と発表)。
対象者は？
外部に漏れた可能性のある個人情報は20万7,773件です(当初は最大約49万6,000件の可能性)。松山市営住宅の入居者7,237件(氏名・団地名・部屋番号・生年月日、生活保護受給の有無488件、障害者手帳等の有無663件を含む)の漏えいが発表されています。穴吹興産は、不動産商談・取引の顧客、中途採用の候補者、役員・従業員・元従業員の情報の一部(氏名・住所・電話番号・生年月日など)も漏れた可能性を否定できないとしています。金融機関口座とマイナンバーの漏えいは確認されておらず、クレジットカード情報は保有していないとされ、Jointo α 不動産投資クラウドファンディングの会員情報は対象外です。
会社は、対象を特定できた人に漏えいの事実または可能性を個別に連絡し、注意喚起を行っているとしています。連絡が届いているかをご確認ください。公表の詳細は下のリンクの報道記事から確認できます。
いますぐできること
- 会社から個別の連絡が届いた場合は、案内の内容を確認し、記載された注意事項に従う。
- 身に覚えのない電話・メール・郵便には、すぐに応じず、内容を確かめる。
何が起きたのか
2026年2月3日の早朝、穴吹ハウジングサービスと穴吹興産で、サーバーのファイルが暗号化されるランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。(身代金要求型ウイルス)の被害が確認されました。会社は対象の機器をネットワークから切り離し、対策本部を作って調べました。電話やメールがつながりにくくなったほか、一部のシステムが使えなくなりました。その後、犯行グループが公開するサイト(リークサイト)に会社関連の情報が載っていることが分かり、個人情報の一部が外部に漏れたことが確認されました。5月21日の第6報で、外部に漏れた可能性のある個人情報は20万7,773件と最終確認されました。
なぜ起きたのか・なぜ広がったのか
会社の説明では、グループ会社の通信機器(ネットワーク機器)の弱点を突かれて不正に入られたことが原因です。その後、内部のネットワークで被害が広がるのを抑えられなかったことも公表されています。攻撃者は管理者の権限を奪い、複数のサーバーにウイルスを仕込んだとされています。機器の製品名や弱点の番号は発表されていません。
いまの状況2026-10-09 時点続報待ち
2026年10月9日の時点で、オーナーズサイトは外部の安全診断の結果を受けて予防的に一時停止されています。会社は新たな情報漏えいは確認していないと説明しており、再開日はまだ発表されていません。会社は旧ネットワーク・VPN環境の停止、多要素認証の導入、EDRによる端末監視の強化などの対策を進めてきました。補償や金銭的な影響については、まだ発表されていません。
企業として考えたいこと
もしグループ会社の通信機器が最初に狙われたら、あなたの会社でも、その機器の存在と更新状況、そこから他のサーバーへ広がらない仕組みを、すぐに説明できますか。
技術的な要約
2026年2月3日、穴吹ハウジングサービスと穴吹興産(あなぶきグループ)がシステム監視でランサムウェア攻撃による異常を検知し、暗号化被害を確認して対象機器を遮断した。原因はグループ会社の通信機器(ネットワーク機器)の脆弱性を悪用した不正アクセスで、攻撃者は管理者権限を奪取し複数サーバーにランサムウェアを展開したとされる。ダークウェブ上のリークサイトで個人情報・社内情報の一部が確認され、ランサムウェアグループQilinが犯行を主張している。個人情報は当初最大約49万6,000件の可能性と公表されたが、5月21日の第6報で20万7,773件と確定し、松山市営住宅入居者7,237件(生活保護受給の有無488件、障害者手帳等の有無663件を含む)も漏えいした。10月9日には外部診断を受け、オーナーズサイトを予防的に再度一時停止しており、再開日は未定である。
公開情報が限られている点について
攻撃の分類
- 侵入口
- VPN/境界機器公表で確認公表では原因は「同社グループの通信機器の脆弱性を悪用した攻撃による不正アクセス」。第6報では攻撃の起点を「グループ会社のネットワーク機器の脆弱性を突かれたこと」と、その後の内部ネットワークでの横展開を抑止できなかったこととしている。製品名・CVEは公表されていない。対策として旧ネットワーク・VPN環境の停止が挙げられている。
- 脆弱性
- CVE 非公表公表で確認グループ会社の通信機器(ネットワーク機器)の脆弱性とされるが、製品名・CVEは公表されていない。
- 攻撃者
- Qilin 被害組織の言及なしダークウェブ上のリークサイトで穴吹興産・穴吹ハウジングサービスへの犯行声明を主張。リークサイトには管理関連書類、図面、一覧表、申込書類とみられる資料や本人確認書類とみられる画像が掲載されていたとされる。
- ATT&CK
影響
- 業務停止
- あり システムの一部が使用不能となり、コールセンター業務を大幅に縮小して電話・メールがつながりにくい状況となった。重要事項調査報告書ウェブ受付システム「J-Web/R」が利用不能となったと報じられた。オーナーズサイトは機能の一部が使えなくなり、7月31日に管理費等明細や議事録等の閲覧機能が復旧したが、10月9日に予防的に再停止された(マンション管理業務などの他サービスが全停止したわけではない)。期間：2026-02-03の被害確認からオーナーズサイトの一部機能復旧(2026-07-31)まで約5か月。オーナーズサイトは2026-10-09に再停止し再開日未定。
- データ
- 確定上限 496,000確定 207,773件氏名住所電話生年月日従業員情報本人確認書類パスポート業務データその他調査途中では最大約49万6,000件(約496,000名分との報道もあり)の可能性と公表されたが、2026年5月21日の第6報で外部に漏えいした可能性のある個人情報を20万7,773件と最終確認した。このうち松山市営住宅入居者7,237件(氏名・団地名・部屋番号・生年月日、生活保護受給の有無488件、障害者手帳等の有無663件を含む)の漏えいを4月17日に発表。穴吹興産は漏えいの可能性を否定できない情報として、不動産商談・取引に係る顧客情報の一部(氏名・住所・電話番号など)、中途採用候補者情報の一部(氏名・住所・職務経歴・生年月日など)、役員・従業員・元従業員の情報の一部(氏名・住所・電話番号・生年月日・異動履歴など)を挙げた。金融機関口座情報やマイナンバーの漏えいは確認されていない。クレジットカード情報は保有しておらず、Jointo α 不動産投資クラウドファンディング会員情報は対象外。メディアはリークサイト上で決算書類やパスポートを確認したが、個人情報のリストなどは確認できなかったとしている。
- 波及先
- —
- 松山市営住宅入居者の個人情報7,237件(穴吹ハウジングサービスが指定管理者)
- 穴吹興産グループ各社(関連会社経由で侵入範囲が広がったことが確認されている)
- 金銭影響
- —
- サプライチェーン
- グループ会社(穴吹興産)の通信機器への攻撃を起点に穴吹ハウジングサービスの社内ネットワークへ不正アクセスされたと説明されており、グループ内で被害が拡大した。指定管理者として管理する松山市営住宅入居者の情報も漏えいした。外部の取引先やサービス提供先を介した大規模な波及は公表されていない。
時系列
- 2026-02-03 05:28
- 2026-02-03
- 2026-02-03あなぶきハウジングサービスがコールセンター業務を大幅に縮小し、電話・メールがつながりにくい状況を案内した。2
- 2026-02-27重要事項調査報告書ウェブ受付システム「J-Web/R」が利用できない状態になったと報じられた。8
- 2026-03-09穴吹ハウジングサービスが第4報を発表。攻撃者により公開された情報の中に関連情報の掲載を確認し、最大約496,000件の個人情報漏えいの可能性を否定できないとした。7
- 2026-03-11穴吹興産が第3報を発表。外部セキュリティ専門会社と連携して調査・解析を継続。6
- 2026-03-16
- 2026-04-03穴吹興産が第4報を公表。ダークウェブ上のリークサイトで個人情報・社内情報の一部の漏えいを確認し、顧客情報・中途採用候補者情報・役員従業員情報について漏えいの可能性を否定できないとした。Qilinが犯行を主張。3
- 2026-04-03
- 2026-04-17
- 2026-05-21
- 2026-07-31オーナーズサイトの管理費等明細や議事録等の閲覧機能が復旧したと案内された。4
- 2026-10-09 12:00外部専門機関のセキュリティ診断で追加の安全対策が望ましい事項が見つかったとして、オーナーズサイトを予防的に一時停止すると発表。新たな情報漏えいは確認していない。4
技術解説
攻撃の経路と展開 事実
公表によると、原因は同社グループの通信機器(ネットワーク機器)の脆弱性を悪用した不正アクセスである。第5報ではグループ会社(穴吹興産)の通信機器への攻撃を起点に社内ネットワークへ不正アクセスされたと説明され、第6報では、起点となった脆弱性に加え、その後の内部ネットワークでの横展開を抑止できなかったことが公表された。攻撃者は侵入後、業務時間外を中心に遠隔操作で複数のサーバーへのログインを試行し、管理者権限を奪取してネットワーク全体に侵入、複数のサーバーにランサムウェアを展開して暗号化したとされる。穴吹ハウジングサービスは2026年2月3日午前5時28分に被害を確認した。製品名やCVEは公表されていない。
個人情報の件数と内訳 事実
個人情報の件数は段階的に変わった。調査途中では最大約49万6,000件の漏えいの可能性が公表されたが、2026年5月21日の第6報で、外部に漏えいした可能性のある個人情報は20万7,773件と最終確認された。約49.6万件は最大見込みの数字で、現在は最終調査結果が基準とされている。このうち松山市営住宅入居者7,237件の漏えいが4月17日に発表され、氏名・団地名・部屋番号・生年月日に加え、生活保護受給の有無488件、障害者手帳等の有無663件が含まれる。金融機関口座情報とマイナンバーの漏えいは確認されておらず、クレジットカード情報は保有していないとされる。
業務への影響とオーナーズサイトの再停止 事実
被害確認後、穴吹ハウジングサービスのシステムの一部が使用できなくなり、コールセンター業務は大幅に縮小され、電話やメールがつながりにくい状況が案内された。重要事項調査報告書ウェブ受付システム「J-Web/R」が利用できない状態になったとも報じられた(2月27日付)。オーナーズサイトも機能の一部が使えなくなり、7月31日に管理費等明細や議事録等の閲覧機能が復旧した。その後、2026年10月9日正午から、外部専門機関のセキュリティ診断で追加の安全対策が望ましい事項が見つかったとして、全コンテンツと関連サービスを予防的に一時停止した。同社は、直ちに情報漏えいにつながる事項ではなく新たな漏えいも確認していないと説明している。再感染や新たな不正アクセスの発表ではなく、再開日は示されていない。
リークサイトの掲載とQilinの主張 事実
穴吹興産は2026年4月3日の第4報で、ダークウェブ上のリークサイトに同社関連とみられる情報が掲載され、個人情報と社内情報の一部が外部に漏えいした事実を確認したと公表した。ランサムウェアグループQilinが同社への犯行声明を主張しており、画面上には管理関連書類、図面、一覧表、申込書類とみられる資料や本人確認書類とみられる画像が並んでいたという。報道側の確認では、決算書類やパスポートは確認できた一方、個人情報のリストなどは確認できなかった。穴吹ハウジングサービスも、攻撃者が公開したデータに自社関連情報が含まれていることを確認している。提供された資料には、被害組織がQilinによる犯行と認めたかどうかの記載はない。
グループ内の接続関係が被害範囲に影響した可能性 解釈
第6報が、起点となった脆弱性と、内部ネットワークでの横展開を抑止できなかったことの二つを挙げている点は、被害範囲が入口の対策だけでなく内部の分離や権限管理にも左右されたことを示唆する。グループ会社の機器が起点となり別会社のネットワークへ広がった構図は、グループ全体を一つの信頼範囲として扱う運用が増える中で、どの会社でも起こりうる。また、管理者権限の奪取と複数サーバーでの暗号化が同時に成立した点は、特権アカウントの保護と監視が検知の鍵になることを示す。公表後に挙げられた多要素認証、EDR、SASEなどの対策は、こうした経路を意識した内容と読める。ただし製品や設定の詳細は非公表であり、これは公表された範囲からの推測である。
件数公表の段階性をどう読むか 解釈
件数は、当初の最大約49.6万件から最終20万7,773件へと変わった。調査初期に上限を示し、精査後に絞り込む進め方は、確認できていない範囲を過小に見せない点で利用者の備えを助ける一方、数字だけが独り歩きしやすい。実際に報道でも旧稿の約49.6万件を最大見込みとして扱う注記が出ている。最終値も、外部に漏えいした可能性のある件数であり、確定した流出件数とは位置づけが異なる点に注意が要る。また、松山市営住宅入居者の情報のように指定管理者として預かる情報は、自社顧客とは別に発表されており、関係者への個別連絡と併せて段階的に影響が明らかになった。公式発表の原文は今回の出典に含まれないため、評価は報道経由の内容に基づく暫定的なものである。
対応
- 封じ込め
- 被害確認後、対象システムの隔離と社内ネットワーク・インターネットからの遮断を実施し、対策本部を設置。外部専門機関と連携して調査し、安全確認できた機器から順次稼働を再開した。対策として旧ネットワーク・VPN環境の停止、端末の入れ替え、多要素認証の導入、EDRによる端末監視の強化、SASE等によるネットワーク構成の見直しを進めた。2026年10月9日には外部診断を受けてオーナーズサイトを予防的に停止した。
- 公表の仕方
- 2026年2月3日にランサムウェア被害を公表し、その後第3〜第6報で続報(穴吹ハウジングサービス第4報3/9・第5報4/3・第6報5/21、穴吹興産第3報3/11・第4報4/3)。特定できた対象者には個別に漏えいの事実または可能性を連絡し注意喚起している。件数は当初最大約49.6万件から最終20万7,773件へ修正された。10月9日の再停止発表では、利用再開後間もない再停止であることを認め謝罪した。
- 当局対応
- 関係機関への届出を実施したとされるが、届出先の具体名は公表されていない
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| ネットワーク機器の脆弱性が侵入口になりうるため、グループ会社を含めた機器の棚卸しと更新管理が要る | グループ全体のインターネット接続機器(VPN装置・ルーター等)を資産台帳で一元管理し、ベンダー脆弱性情報を購読して重大度に応じた適用期限(例:緊急は数日以内)を定める。外部公開面を定期スキャンして台帳との差分を確認する。 |
| 侵入後の横展開と管理者権限の奪取を抑止できるかが被害範囲を左右する | 特権アカウントを分離し、管理者ログインは多要素認証と踏み台経由に限定する。サーバー間通信をセグメント分割し、業務時間外の管理者ログイン試行や複数サーバーへの連続ログインをSIEMで検知してアラート化する。 |
| グループ会社間のネットワーク接続は信頼範囲を広げるため、相互接続を最小化する必要がある | 会社ごとにネットワークを分離し、会社間通信はファイアウォールで必要最小限のポート・宛先に限定する。旧VPN環境は利用実態を確認して廃止し、ゼロトラスト型のアクセス制御へ段階移行する。 |
| 調査途中の件数は上限と確定を分けて公表し、更新履歴も残すと利用者が誤解しにくい | 公表テンプレートに「最大(可能性)」と「確認済み」の欄を分けて設け、版ごとの変更点と算定方法を記載する。報道・問合せ対応向けに最新値を一元管理する担当を置く。 |
| 指定管理などで預かる他者の個人情報は、自社保有情報と区別して保護・把握できる体制が要る | 受託・預かりデータを分類してデータカタログに記録し、保管先サーバーを分離してアクセス権を最小化する。要配慮に当たる項目は暗号化とアクセスログ監査を行い、発注者への連絡手順を事前に定める。 |
| 復旧・再開したサービスは、再開前後に外部診断を受けて設定と対策を確認する必要がある | 再開の判定基準にペネトレーションテストや構成診断の完了を含め、指摘事項の是正完了を再開条件として文書化する。段階的に機能を公開し、再開直後は監視を強化する。 |
自組織などでの確認項目
- 自組織のグループ会社・拠点を含め、インターネットに接続している通信機器(VPN装置等)を、機種とファームウェア版数まで一覧で把握できていますか。重大な脆弱性が出た際、何日以内に適用できますか。
- 管理者権限のアカウントが侵害された場合に、複数サーバーへ一斉にランサムウェアが展開されないよう、ネットワーク分割や特権ログインの制限がかかっていますか。業務時間外の管理者ログイン試行を検知できますか。
- グループ会社間の接続や旧VPN環境など、使われているか不明な経路が残っていませんか。停止した場合の影響を誰が判断しますか。
- 自社が預かっている他者(自治体・取引先など)の個人情報の保管場所と、漏えい時に連絡する相手・手順を示せますか。
未解明点
- 起点となった通信機器の製品名・バージョン・脆弱性(CVE)は公表されていない。
- 侵入が始まった日(侵入日)は公表されておらず、攻撃者が滞在していた期間は不明である。
- 最大約49万6,000件が20万7,773件に変わった算定上の差の理由や内訳は、提供された資料からは分からない。
- 2026年10月9日の外部診断で見つかった「追加の安全対策が望ましい事項」の具体的内容と、オーナーズサイトの再開日は示されていない。
- 金銭的影響や補償の有無は公表されておらず、被害組織がQilinによる犯行と認めたかどうかも記載がない。
- 提供された出典はすべて報道であり、被害組織の公式発表の原文は確認できていない。
出典
- 1INTERNET Watch2026-04-20報道本文確認済
- 2セキュリティ対策Lab（合同会社ロケットボーイズ）2026-02-05報道本文確認済
- 3セキュリティ対策Lab（合同会社ロケットボーイズ）2026-04-05報道本文確認済
- 4セキュリティ対策Lab（合同会社ロケットボーイズ）2026-10-09報道本文確認済
- 5セキュリティ対策Lab（合同会社ロケットボーイズ）2026-09-30報道本文確認済
- 6ScanNetSecurity2026-03-16報道本文確認済
- 7ScanNetSecurity2026-03-16報道本文確認済
- 8ScanNetSecurity2026-04-21報道本文確認済
- 9ScanNetSecurity2026-05-08報道本文確認済
- 10ScanNetSecurity2026-06-03報道本文確認済