穴吹興産グループへのランサムウェア攻撃（個人情報の漏えい可能性、穴吹ハウジングサービスで約49.6万名分の報道）
公表日
穴吹興産グループは2026年2月3日にランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。攻撃を受け、複数のサーバーが暗号化され、個人情報と社内情報の一部が外部に漏えいした事実が確認されました。公式には件数は発表されておらず、穴吹ハウジングサービスについて約49.6万名分の可能性を否定できないと報じられています。
対象者は？
公式に挙げられた漏えいの可能性がある人は、不動産の商談・取引に関わるお客様の一部（氏名、住所、電話番号など）、中途採用の候補者の一部（氏名、住所、職務経歴、生年月日など）、役員・従業員・元従業員の一部（氏名、住所、電話番号、生年月日、異動履歴など）です。クレジットカード情報は保有しておらず、Jointo α 不動産投資クラウドファンディングの会員情報は対象外とされています。大阪府営住宅の指定管理業務で取り扱う個人情報は、外部への漏えいの事実は確認されませんでした。
対象を特定できた人には、会社が個別に案内と注意喚起を行っているとされています。案内が届いていない場合の問い合わせ窓口は、今回確認した資料には書かれていません。
いますぐできること
- 会社から個別の案内が届いた場合は、書かれている注意喚起に従う。
- 身に覚えのない電話・メール・郵便が来ても、すぐに応じず、内容を確認してから対応する。
- 最新の情報は、公式のお知らせで確認する。
何が起きたのか
2026年2月3日、システムの監視でランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。（データを暗号化する攻撃）の異常が見つかり、暗号化の被害が確認されました。会社は対象の機器を社内ネットワークとインターネットから切り離しました。その後の調査で、ダークウェブ通常のブラウザや検索エンジンではたどり着けない、特殊なソフトを使ってアクセスするネット上の領域です。匿名性が高いため、盗まれた個人情報やID・パスワードの売買、リークサイトの運営に使われることがあります。上のリークサイトに会社関連とみられる情報が載っていることが分かり、個人情報と社内情報の一部が外部に漏れた事実が確認されたと説明されています。ランサムウェアグループQilinが犯行を主張していると報じられています。
なぜ起きたのか・なぜ広がったのか
外部の専門機関の調査では、グループ会社の通信機器の弱点を突かれて社内ネットワークに入られ、管理者の権限を奪われたうえで複数のサーバーが暗号化されたと説明されています。通信機器の製品名や弱点の番号（CVE）は公表されていません。確認できる情報の多くが暗号化されているため、漏れた内容や件数は分からない点が多いとされています。
いまの状況2026-07-03 時点続報待ち
2026年7月3日時点で、安全が確認された機器から順に稼働を再開しています。営業活動は当初から通常どおり続いていますが、一部の業務でお客様や取引先に不便が出ています。流出した情報が悪用された被害は、4月3日時点で確認されていません。穴吹ハウジングサービスは7月3日に大阪府へ報告書を提出しました。会社は、システムをクラウド中心に作り直し、グループ全体の情報管理の体制を見直すとしています。漏えいした情報の正確な件数は、まだ発表されていません。
企業として考えたいこと
自社のグループ会社や関連会社が使っている通信機器も含めて、弱点が見つかったときに誰がいつまでに直すのか、決まっていますか。
技術的な要約
穴吹興産グループは2026年2月3日、システム監視でランサムウェア攻撃による異常を検知し、暗号化被害を確認して対象機器を社内ネットワークとインターネットから遮断した。外部専門機関の調査では、グループ会社の通信機器の脆弱性を悪用した攻撃で社内ネットワークに侵入され、管理者権限を奪取されたうえで複数サーバーが暗号化されたと説明されている（製品名・CVEは公表されていない）。ダークウェブ上のリークサイトに関連情報が掲載され、個人情報と社内情報の一部が外部に漏えいした事実が確認された。ランサムウェアグループQilinが犯行を主張している。穴吹ハウジングサービスについては約496,000名分の個人情報が漏えいした可能性を否定できないと報じられた。営業活動は通常どおり継続とされ、2026年7月3日付で大阪府へ報告書が提出されるなど、再発防止とシステム再構築が進められている。
公開情報が限られている点について
攻撃の分類
- 侵入口
- VPN/境界機器公表で確認公式第4報は「グループ会社通信機器の脆弱性を悪用した攻撃により、社内ネットワークへの不正アクセスが行われたことが判明」と説明。製品名・CVEは本文に記載なし。通信機器の種別は公表されていないため、最も近い区分として選択。
- 脆弱性
- CVE 非公表公表で確認グループ会社の通信機器（製品名非公表）外部専門機関の調査で、通信機器の脆弱性を悪用した攻撃が判明したとされるが、製品名・CVEは公式第4報に記載なし。
- 攻撃者
- Qilin 被害組織の言及なしダークウェブ上のリークサイトで穴吹興産への犯行声明を主張（セキュリティ対策Lab報道）。
- ATT&CK
影響
- 業務停止
- あり 営業活動は発生当初より通常どおり継続しているが、一部の業務で顧客・取引先等に不便が生じている。複数サーバーが暗号化され、安全が確認された機器から順次稼働を再開している。
- データ
- おそれ上限 496,000確定 —人氏名住所電話生年月日従業員情報本人確認書類パスポート業務データその他約496,000名分は穴吹ハウジングサービスについてのScanNetSecurityの見出しによる（漏えいの可能性を否定できない数）。公式第4報は、確認できる情報の多くが暗号化されており内容・範囲・件数等は不明な点が多いとして調査を継続。漏えいの可能性が否定できない個人情報は、不動産商談・取引に係る顧客情報の一部（氏名、住所、電話番号など）、中途採用候補者情報の一部（氏名、住所、職務経歴、生年月日など）、役員・従業員・元従業員の情報の一部（氏名、住所、電話番号、生年月日、異動履歴など）。クレジットカード情報は保有しておらず、Jointo α 不動産投資クラウドファンディング会員情報は対象外と明記。リークサイトには本人確認書類とみられる画像等が並んでいたとの報道があり、セキュリティ対策Labは決算書類やパスポートを確認できたが個人情報のリストは確認できなかったとしている。大阪府営住宅の指定管理業務で取り扱う個人情報は外部への漏えいの事実は確認されなかった。流出した情報を悪用した被害は2026年4月3日時点で確認されていない。
- 波及先
- —
- 穴吹ハウジングサービス（グループ会社の通信機器への攻撃（穴吹興産）を起点に社内ネットワークへ不正アクセスされたと第5報で説明されたとの報道）
- 金銭影響
- —
- サプライチェーン
- あなぶきハウジングサービスの第5報で、グループ会社の通信機器への攻撃（穴吹興産）を起点に社内ネットワークへ不正アクセスされたと説明されているとセキュリティ対策Labが報じた。関連会社経由で侵入範囲が広がり、穴吹興産グループ全体の情報が影響を受けた可能性がある。
時系列
- 2026-02-03 05:28穴吹ハウジングサービスが、一部サーバーでランサムウェアによる被害が発生していることを確認した。5
- 2026-02-03
- 2026-02-03
- 2026-02-03 12:30穴吹ハウジングサービスが、システム障害がランサムウェアに起因するものと自社HPで公表した。5
- 2026-02-03 13:00穴吹ハウジングサービスが、公表内容及び被害状況を確認中である旨を大阪府住宅建築局住宅経営室へ報告した。5
- 2026-02-04穴吹興産が一部サーバーでのランサムウェア被害の発生を公表した。2
- 2026-02-18穴吹ハウジングサービスが、府営住宅への応募者及び入居者の情報について漏えいのおそれがある旨を大阪府へ報告した。5
- 2026-02-21穴吹ハウジングサービスが全入居者へ注意喚起チラシを配布した（3月1日には全ての新規入居申込者へ郵送）。5
- 2026-03-09穴吹ハウジングサービスがランサムウェア攻撃による不正アクセスについて第4報を発表した。3
- 2026-03-11穴吹興産が第3報を発表した。外部のセキュリティ専門会社と連携して不正アクセスの有無等の調査・解析を継続していた。2
- 2026-04-03
- 2026-05-21穴吹ハウジングサービスが情報漏えいに関する調査結果および今後の取り組みを自社HPで公表した。5
- 2026-07-03穴吹ハウジングサービスが報告書を大阪府住宅建築局住宅経営室へ提出した。5
技術解説
攻撃の経過（公表されている範囲） 事実
2026年2月3日、システム監視でランサムウェア攻撃による異常が検知され、暗号化被害が確認された。公式の第4報によると、外部専門機関の調査で、グループ会社通信機器の脆弱性を悪用した攻撃により社内ネットワークへ不正アクセスされたことが判明している。製品名とCVEは本文に記載がない。侵入後は業務時間外を中心にリモートデスクトップ等で複数サーバーへのログインを試行し、管理者権限を奪取してネットワーク全体に範囲を拡大、複数サーバーにランサムウェアを展開して暗号化したと説明されている。対象機器は社内ネットワークとインターネットから直ちに遮断され、安全が確認された機器から順次稼働を再開している。侵入日は公表されていない。
漏えいした情報と数字の扱い 事実
公式第4報は、ダークウェブ上のリークサイトに当社関連とみられる情報が掲載され、個人情報と社内情報の一部が外部に漏えいした事実を確認したとしている。漏えいの可能性が否定できない個人情報として、不動産商談・取引に係る顧客情報の一部、採用候補者情報の一部、役員・従業員・元従業員の情報の一部が挙げられた。一方、確認できる情報の多くが暗号化されており、内容・範囲・件数等は不明な点が多いとされる。約496,000名分という数字はScanNetSecurityの見出しにある「漏えいの可能性を否定できない」数で、穴吹ハウジングサービスについての報道であり、確定件数ではない。クレジットカード情報は保有せず、Jointo α会員情報は対象外と明記されている。流出情報を悪用した被害は4月3日時点で確認されていない。
公表と対応の経過 事実
穴吹ハウジングサービスは2月3日午前5時28分に一部サーバーの被害を確認し、12時30分にHPでランサムウェア起因と公表、13時に大阪府住宅建築局住宅経営室へ報告した。穴吹興産は2月4日に公表し、3月11日に第3報、4月3日に第4報を出した。大阪府営住宅の指定管理業務では、2月18日に応募者・入居者の情報の漏えいのおそれを府へ報告し、2月21日に全入居者へ注意喚起チラシを配布、3月1日に新規入居申込者へ郵送した。調査の結果、同業務で取り扱う個人情報の外部漏えいの事実は確認されず、報告書は7月3日に府へ提出された。警察と個人情報保護委員会へも報告している。今後はクラウドネイティブ基盤への移行、ゼロトラストやID管理基盤の導入などで再構築する方針とされる。
グループ内で影響が広がる構造についての読み取り 解釈
報道では、穴吹ハウジングサービスの第5報が、グループ会社の通信機器への攻撃を起点に社内ネットワークへ不正アクセスされたと説明していると伝えられている。この点から、グループ会社間のネットワークや管理権限が相互に影響しうる構成だった可能性が考えられるが、公表資料だけでは接続構成や権限設計は分からない。また、暗号化によって情報の内容や件数を特定しにくく、範囲の確定に時間がかかっていることが、報道上の数字と公式の「不明」との差につながっているとも読める。これらは出典から直接言える内容ではなく、読み取りに基づく解釈である。特定の組織の対応の良否を判断するものではない。
対応
- 封じ込め
- 対象機器を社内ネットワークおよびインターネットから直ちに遮断し、システムの隔離、フォレンジック調査、被害範囲の特定を実施。安全が確認された機器から順次稼働を再開している。穴吹ハウジングサービスは社内に対策本部を設置した。今後はオンプレミスからクラウドネイティブ基盤への移行、ゼロトラストアーキテクチャやID管理基盤の導入でシステム及びネットワーク構成を再構築する方針で、グループ全体の情報管理体制およびガバナンスの再構築にも取り組むとしている。
- 公表の仕方
- 穴吹ハウジングサービスが2026年2月3日にHPで公表し、穴吹興産が2月4日に公表。以後、第3報（3月11日）、第4報（4月3日）などで続報。対象を特定できた人には、漏えいの事実または可能性に関する案内と注意喚起を個別に実施。ただし内容・範囲・件数等は暗号化のため不明な点が多いとして調査継続中。
- 当局対応
- 警察
- 個人情報保護委員会
- 大阪府住宅建築局住宅経営室
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| グループ会社の境界機器も自社と同等に管理対象に含める必要がある。 | グループ全体の公開機器・通信機器を資産台帳に一元登録し、脆弱性情報の照合とパッチ適用期限（例：緊急度高は72時間以内）を定める。外部からのExposure管理（定期的な外部スキャン）を全社共通で実施する。 |
| 侵入後の権限奪取と横展開を前提に、管理者権限の経路を絞る。 | 特権アカウントを分離し、管理者ログインは踏み台経由とMFA必須にする。RDPの許可元を管理セグメントに限定し、サーバー間のRDP/SMBはホストFWで原則拒否する。 |
| 業務時間外のリモート操作を検知できる監視が初動を早める。 | EDRとログ集約（SIEM）で、時間外のRDPログイン、管理者権限の付与、大量ファイル暗号化のルールを作り、アラートをオンコールに連携する。隔離手順を実機で訓練しておく。 |
| 暗号化で内容が確認できないと影響範囲の特定が長引くため、事前にデータの所在を把握しておく。 | 個人情報を含むデータの保管場所と件数の目安を台帳化し、不要データは保存期間で削除する。アクセスログと転送ログを一定期間保全し、外部流出の有無を後から追えるようにする。 |
| 委託・指定管理業務の関係先への報告線と連絡内容を平時に決めておく。 | 発注元や自治体への報告時限、報告項目、連絡先を手順書に定め、机上演習で確認する。対象者への注意喚起文面のひな形も用意する。 |
自組織などでの確認項目
- 自組織のグループ会社・関連会社が持つVPN装置やルーターなどの通信機器を、情報システム部門は一覧で把握していますか。脆弱性対応の担当者は決まっていますか。
- グループ会社のネットワークから本体の社内ネットワークへ、どの経路と権限で到達できますか。管理者権限が奪われた場合に、止められる範囲は確認できていますか。
- ファイルが暗号化された場合に、どの個人情報が何件含まれていたかを、バックアップや台帳から何日で特定できますか。
未解明点
- 侵入に使われた通信機器の種別・製品名・CVEと、侵入日は公表されていない。
- 漏えいした個人情報の件数と内訳は公式には確定していない。約496,000名分は報道見出しの「可能性を否定できない」数である。
- 穴吹興産グループ各社の被害の範囲と、報道で言及された第5報の内容は、公式文書で確認できていない。
- Qilinの犯行声明について、被害組織が認めたかどうかは公表されていない。
出典
- 1セキュリティ対策Lab(合同会社ロケットボーイズ)2026-04-05報道本文確認済
- 2ScanNetSecurity2026-03-16報道本文確認済
- 3ScanNetSecurity2026-03-16報道本文確認済
- 4穴吹エンタープライズ株式会社2026-04-03公式本文確認済
- 5株式会社穴吹ハウジングサービス(大阪府掲載)2026-07-03公式本文確認済