住宅省エネ2024キャンペーン事務局システムへの外部不正操作による登録事業者情報漏洩（最大23,918人）
公表日
国の住宅補助金事業の事務局システムが外部から不正操作を受け、登録事業者最大23,918人分の個人情報が漏えいした可能性があると発表されました。
対象者は？
「住宅省エネ2024キャンペーン」に登録していた16,950事業者の代表者（氏名・肩書）、個人事業主（氏名・住所）、および統括アカウント担当者（各社1名の氏名・部署・役職・業務住所・電話番号・メールアドレス）が対象です。なお、事業者の振込先口座情報、代表者の連絡先（電話・メール・住所）、一般消費者の個人情報の漏えいは確認されていません。
2026年10月20日に対象事業者の統括アカウント担当者宛てに、事務局（info@jutaku-shoene.jp）から個別に案内メールが送付されています。
いますぐできること
- 事務局（差出人: info@jutaku-shoene.jp）から届いた案内メールの内容を確認してください。
- 漏えいした可能性がある担当者の氏名やメールアドレス、電話番号を悪用した、事務局や国土交通省などを名乗る不審な連絡（詐欺メールや電話）に注意してください。
何が起きたのか
国土交通省などが実施する「住宅省エネ2024キャンペーン」において、事務局を務める博報堂が運営するシステムが外部から不正な操作を受けました。これにより、登録していた16,950事業者の代表者や担当者など最大23,918人分の情報が外部に漏れた可能性があることがわかり、事務局は被害拡大を防ぐため共通ポータルなどのシステム機能をすべて停止しました。
なぜ起きたのか・なぜ広がったのか
システムに対して外部から不正な操作が行われたと発表されていますが、具体的な侵入の手口や原因については博報堂において現在調査中とされています。
いまの状況2026-10-20 時点続報待ち
被害拡大を防ぐため、共通ポータルや子育てエコホーム支援事業の専用ポータルの機能が停止され点検が行われています。対象の事業者担当者へ個別の謝罪と注意喚起メールが送られており、国土交通省の指示・指導のもとで原因究明が進められています。
企業として考えたいこと
自社が管理または委託している公開ポータルで不正な操作を検知した際、速やかにシステムを停止し、登録企業へ迅速に影響を通知できる体制が整っていますか？
技術的な要約
国土交通省、経済産業省、環境省が連携して実施する「住宅省エネ2024キャンペーン」において、事務局を務める博報堂が運営するシステムが外部から不正な操作を受けた。この不正操作により、キャンペーンに登録していた16,950事業者の代表者や補助金担当者（統括アカウント担当者）など、最大23,918人分の個人情報が漏えいした可能性がある。事務局は被害拡大防止のため、共通ポータルや子育てエコホーム支援事業の専用ポータルを含む全システム機能を停止して点検を開始した。対象となる事業者の担当者宛てに個別に謝罪と注意喚起のメールを送付するとともに、国土交通省の指示・指導のもとで原因や詳細な被害状況の調査を進めている。なお、登録事業者の補助金振込用口座情報や一般消費者の個人情報の漏洩は確認されていない。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明公表で確認システムへの外部からの不正操作（具体的な侵入手口や原因は博報堂にて調査中）
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 被害拡大防止のため、共通ポータル並びに子育てエコホーム支援事業の専用ポータルを含むすべてのシステム機能を停止期間：2026-10-20〜
- データ
- おそれ上限 23,918確定 —人氏名電話メール住所その他登録事業者16,950社の計23,918名分（速報値）。対象は法人代表者情報（氏名、肩書）、個人事業主情報（氏名、住所）、統括アカウント担当者である補助金担当者情報（各社1名の氏名、部署、役職、業務住所、電話番号、メールアドレス）。登録事業者の補助金振込用口座情報、代表者の電話・メール・住所、および一般消費者の個人情報の漏洩は確認されていない。
- 波及先
- 16950 事業者
- キャンペーン登録事業者の法人代表者、個人事業主、統括アカウント担当者
- 金銭影響
- —
- サプライチェーン
- 国交省・経産省・環境省が連携する国の補助事業において、事務局を務めシステムを運営する博報堂のシステムが外部からの不正操作を受け、登録事業者情報が漏えいした可能性がある。
時系列
- 2023-12-27住宅省エネ2024キャンペーンのプライバシーポリシーが制定される5
- 2025-02-10住宅省エネ2024キャンペーンのプライバシーポリシーが改正される5
- 2026-10-20
- 2026-10-20国土交通省が博報堂に対し、原因や被害状況の早急な調査および再発防止の徹底を指示・指導4
- 2026-10-20被害拡大防止のため、共通ポータルや子育てエコホーム支援事業の専用ポータルを含む全システム機能を停止し点検を開始4
- 2026-10-20情報漏洩の可能性がある事業者の統括アカウント担当者宛にメール（info@jutaku-shoene.jp）で個別に謝罪と注意喚起を実施4
- 2026-10-20
- 2026-10-20
技術解説
外部不正操作の発生と判明している影響範囲 事実
2026年10月20日、国土交通省および「住宅省エネ2024キャンペーン」事務局（博報堂）は、同事務局が運営するシステムが外部から不正な操作を受け、登録事業者情報が漏えいした可能性があると公表した。対象となるのは、事業に登録していた16,950事業者の最大23,918人分の個人情報（速報値）である。漏えいのおそれがある項目には、法人代表者の氏名や肩書、個人事業主の氏名や住所、各社1名の統括アカウント担当者（補助金担当者）の氏名、部署、役職、業務住所、電話番号、メールアドレスが含まれる。一方で、登録事業者の補助金振込用口座情報、代表者の電話番号・メールアドレス・住所、ならびに補助事業を利用した一般消費者の個人情報については漏えいが確認されていないと公表されている。事務局は被害拡大防止を理由に、共通ポータルおよび子育てエコホーム支援事業の専用ポータルを含むすべてのシステム機能を停止した。
受託運営システムにおける情報集約と漏洩リスクの構造 解釈
本事業は国土交通省、経済産業省、環境省が連携して進める国の大型補助金施策であり、民間事業者である博報堂が事務局業務およびシステム運営を一括して受託する形態をとっている。多数の住宅関連事業者が申請や管理のために同一のポータルシステムへ集約される構造上、受託事業者のシステムが単一障害点（SPOF）となり、外部侵害が発生した際の影響規模が広範に及ぶ特性がある。今回、補助金振込用口座情報や消費者の個人情報といった高度に機微なデータへの影響は確認されていないとされているものの、各事業者の統括担当者の氏名や直通連絡先などが漏洩した可能性が生じている。これにより、当該情報が悪用された標的型攻撃やなりすまし詐欺、フィッシングなどの二次被害リスクが事業者側に波及する懸念が残されている。
初動対応における全機能停止判断と調査課題 解釈
事案判明を受けた初動対応として、事務局は共通ポータルおよび専用ポータルを含む全システム機能を即座に停止させ、外部からの不正操作による被害拡大の遮断を図った。同時に、対象となる統括アカウント担当者へ個別に注意喚起メールを送付し、国土交通省の指導下で調査体制を整えるなど、初期の封じ込めと関係者通知は迅速に行われた。しかし、公表時点では「外部からの不正操作」という表現にとどまり、脆弱性の悪用なのか、正規アカウントの認証情報悪用なのか、あるいはWebAPIの認可不備に起因するものかといった具体的な侵入経路や操作手法は明らかにされていない。全機能の停止は申請手続き等の停滞を招くため、早期の原因究明と安全性を検証した上での段階的復旧プロセスの確立が求められる。
対応
- 封じ込め
- 被害拡大防止の観点から、共通ポータル並びに子育てエコホーム支援事業の専用ポータルを含むシステム機能を停止し、点検を実施。
- 公表の仕方
- 2026年10月20日に公式サイト上に重要なお知らせを掲載し、国土交通省なども発表。同日、漏洩の可能性がある事業者の統括アカウント担当者宛にメールで個別の謝罪と注意喚起を送付。
- 当局対応
- 国土交通省
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 公開ポータルにおける認可制御および不正操作検知の厳格化 | WebアプリケーションやAPIにおいて、ロールベースアクセス制御（RBAC）やオブジェクトレベルの認可検証を徹底し、正規権限外のデータ更新や異常なパラメータ操作を検知・ブロックするWAFおよび振る舞い監視ルールを導入する。 |
| 重要データと連絡先データの論理分離およびマスキング | 振込用口座情報などの高機微データと担当者の連絡先情報を異なるデータストアやスキーマに論理分離し、管理画面やAPI経由での一括照会に対してレートリミットやマスキング処理を適用する。 |
| インシデント発生時における緊急サービス遮断手順の標準化 | 不正アクセス検知時に影響範囲の特定前であっても、不正操作の連鎖を遮断できるよう、ポータル機能やAPIエンドポイントを即座にメンテナンス状態へ切り替える非常停止プロトコルと復旧手順を策定しておく。 |
| サプライチェーンにおける受託システムのセキュリティ監視と監査 | 行政・公共事業等の受託システムにおいて、外部公開サーバやポータルに対する定期的な脆弱性診断の受診を義務付け、ログ監査や侵入検知の運用状況を定期的に点検する統制プロセスを契約要件に組み込む。 |
自組織などでの確認項目
- 自社が運用または委託している外部公開ポータルやWebAPIにおいて、想定外のパラメータ操作や大量データ閲覧などの不正な操作をリアルタイムに検知・遮断する仕組みは備わっているか。
- 万が一公開システムが侵害された際、被害拡大を防ぐために迅速に全機能や一部サービスを安全に停止させる判断基準と運用フローが事前に整備されているか。
- 取引先や登録事業者の担当者情報（連絡先等）が漏洩した場合を想定し、二次被害となるなりすましメールやフィッシングに対する注意喚起を関係者へ迅速に伝達できる連絡ルートが確保されているか。
未解明点
- 「外部からの不正操作」はどのような手口（Webアプリの脆弱性悪用、APIの認可不備、認証情報の窃取・流用など）で行われたのか。
- 不正操作が行われていた期間（最初の不正アクセスから検知・システム停止までのタイムライン）および、実際に外部へデータが持ち出された痕跡の有無。
出典
- 1四国新聞社2026-10-20報道本文確認済
- 2Cedar News2026-10-20報道本文確認済
- 3住宅省エネ2024キャンペーン事務局2026-10-20公式本文確認済
- 4住宅省エネ2024キャンペーン事務局2026-10-20公式本文確認済
- 5子育てエコホーム支援事業事務局（国土交通省等）2025-02-10公式本文確認済
- 6熊本日日新聞社2026-10-20報道本文確認済
- 7共同通信2026-10-20報道本文確認済
- 8北日本新聞webunプラス2026-10-20報道本文確認済
- 9中日新聞Web2026-10-20報道本文確認済
- 10デイリースポーツ online2026-10-20報道本文確認済
- 11nippon.com2026-10-20報道本文確認済
- 12共同通信社2026-10-20報道本文確認済
- 13東京新聞デジタル2026-10-20報道本文確認済