株式会社ウチコミへのランサムウェア攻撃（最大142,591アカウント流出のおそれ）
公表日
株式会社ウチコミが運営する賃貸サイト「ウチコミ！」のサーバーがランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（専用の鍵がないと読めない状態に変換すること）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。攻撃を受け、最大142,591アカウントの氏名や住所などの個人情報が流出したおそれがあります。
対象者は？
「ウチコミ！」に登録されている会員および契約者のうち、影響を受けた可能性がある最大142,591アカウント。氏名、メールアドレス、生年月日、性別、住所、電話番号が含まれる可能性があります。なお、クレジットカード情報は保持しておらず流出はありません。パスワードも暗号化されて保管されていました。
株式会社ウチコミから一部の対象者へ個別に案内メールが送付されています。詳細はお知らせページをご確認ください。
いますぐできること
- 「ウチコミ！」と同じパスワードを他のウェブサービスでも使い回している場合は、悪用を防ぐため念のため他社サービスのパスワードを変更してください。
- ウチコミや公的機関などをかたる不審なメール、SMS、電話、郵便物に注意し、不審なリンクを開かないようにしてください。
何が起きたのか
2026年7月6日にウチコミの管理サーバーで障害が発生し、同社は調査とシステムの切り離しを行いました。その後の専門調査で、第三者による不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。を受け、サーバー内の一部ファイルが暗号化されるとともに盗み出されるランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（専用の鍵がないと読めない状態に変換すること）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。被害が確認されました。同社は警察や個人情報保護委員会に報告し、2026年11月4日に状況を公表しました。
なぜ起きたのか・なぜ広がったのか
第三者による不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。を受けたことが判明していますが、具体的な侵入経路や手口の詳細は公表されていません。サーバー内のファイルが暗号化・窃取されたことで個人情報流出の可能性が生じました。
いまの状況2026-11-04 時点
社内対策本部を設置して二次被害防止措置を実施したほか、セキュリティ監視の強化、アクセス制御の見直し、全サーバーの安全確認を継続して進めています。公表時点で情報の不正利用やインターネット上への公開は確認されていません。
企業として考えたいこと
サーバー障害が発生した際、単なる機器トラブルと決めつけずに外部からの攻撃やデータ窃取の可能性を想定した初動調査を行える体制が整っていますか？
技術的な要約
株式会社ウチコミが運営する不動産賃貸サイト「ウチコミ！」のサーバーが第三者による不正アクセスを受け、一部ファイルが暗号化および窃取されるランサムウェア被害が発生した。2026年7月6日にサーバー障害が発生してシステムの切り離し等の緊急対応を実施し、その後の専門調査で被害が判明した。サーバーに保存されていた会員情報および契約情報のうち、最大142,591アカウントの氏名、メールアドレス、住所、電話番号などが流出した可能性がある。同社はクレジットカード情報を保有しておらず、パスワードは暗号化して保管されていた。公表時点で情報の不正利用や二次被害、インターネット上への公開は確認されていない。
攻撃の分類
- 侵入口
- 不明公表資料では第三者による不正アクセスとされているが、具体的な侵入経路や悪用された手法は明示されていない。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 2026年7月6日に管理サーバーで障害が発生し、調査およびシステムの切り離し等の緊急対応が実施された。
- データ
- おそれ上限 142,591確定 —アカウント氏名メール生年月日性別住所電話番号ウチコミ！に登録されている会員情報および契約情報のうち、影響を受けた可能性のある対象が最大142,591アカウント。クレジットカード情報は非保有のため流出なし。パスワードは暗号化保管。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- —
時系列
- 2026-07-06
- 2026-07-06
- 2026-07
- 2026-11-04
- 2026-11-04
- 2026-11-04
- 2026-11-04一部の対象者へ個別の案内メールを送付する。1
- 2026-11-04
技術解説
障害発生から被害特定までの経緯 事実
2026年7月6日、株式会社ウチコミが管理するサーバーにおいて障害が発生し、同社は原因調査およびシステムの切り離しなどの緊急対応を実施した。その後の専門調査によって、第三者による不正アクセスを受け、サーバー内に保存されていた一部のファイルが暗号化されるとともに外部へ窃取されるランサムウェア被害が発生していたことが判明した。同社は被害の判明直後に社内対策本部を設置して二次被害防止措置を講じ、警察との情報共有や個人情報保護委員会への報告を完了した。その後、2026年11月4日に公式サイトにてお詫びとお知らせを公表し、一部の対象者へ個別の案内メールを送付した。
漏えい対象データの内容と安全対策の状況 事実
公表資料によると、被害サーバーに保存されていた会員情報および契約情報のうち、影響を受けた可能性のある対象は最大142,591アカウントである。第三者によって閲覧または取得された可能性がある情報項目には、氏名、メールアドレス、生年月日、性別、住所、電話番号が含まれる。一方で、同社はクレジットカード情報を一切保有していないためカード情報の流出はないと説明している。また、会員パスワードは暗号化して保管されており、平文流出が確認されたわけではない。2026年11月4日の公表時点において、本件に起因する情報の不正利用や二次被害、インターネット上への情報公開等は確認されていない。
二重恐喝型攻撃と調査・公表タイムラインの評価 解釈
本件は、ファイルの暗号化による業務妨害だけでなくデータの窃取も伴う二重恐喝型ランサムウェアの特徴を示している。7月6日の障害検知およびシステム切り離しから11月4日の対外公表まで約4か月を要しているが、これは侵害範囲のフォレンジック調査や影響を受けた最大142,591アカウントの特定に慎重を期した結果と考えられる。クレジットカード情報を保持せずパスワードを暗号化保管していた設計は被害の深刻化を防ぐ上で有効に機能したと評価できる。一方で、初期侵入経路となった具体的な脆弱性や設定不備、侵入手法などの技術的詳細は公表されておらず、他のWebサービス運用事業者における再発防止の観点からは検証すべき点が残されている。
対応
- 封じ込め
- 障害発生直後にシステムの切り離し等の緊急対応を実施。社内対策本部を設置して二次被害防止措置を講じるとともに、ネットワークのセキュリティ監視体制の強化、アクセス制御の見直し、全サーバーの安全確認を継続して実施している。
- 公表の仕方
- 2026年11月4日に公式サイトで公表し、一部対象者へ個別の案内メールを送付。他社サービスでパスワードを併用している利用者に対して念のためのパスワード変更を推奨した。
- 当局対応
- 個人情報保護委員会
- 警察
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| クレジットカード情報の非保持化と機微情報の暗号化保管 | 決済情報は自社サーバーに保存せず決済代行事業者のトークン決済等を利用するとともに、パスワードは強力なハッシュ関数（Argon2やbcrypt等）を用いてソルト付きで保護し、漏えい時の二次被害を最小化する。 |
| サーバー障害時におけるランサムウェア攻撃・データ持ち出しの早期検知 | EDR（Endpoint Detection and Response）を導入してプロセスの異常動作やファイルの急激な暗号化を自動検知・隔離できるようにし、大容量の外部通信や未知のアカウントによるアクセスをログ監視で検知する仕組みを構築する。 |
| システム切り離しを含むインシデント初動対応の迅速化 | 侵害の兆候を検知した際に、被害拡大を防ぐためのネットワーク隔離手順やバックアップシステムの保護手順を標準作業手順書（SOP）として策定し、定期的な訓練を実施する。 |
| 不正アクセスを許さないアクセス制御とネットワーク監視の徹底 | 管理用サーバーやデータベースへのアクセスを最小権限の原則に基づいて制限し、多要素認証（MFA）を必須化するとともに、定期的なアクセス権棚卸しと脆弱性診断を実施する。 |
自組織などでの確認項目
- 自社のサービスで障害が発生した際、単なるインフラ障害と断定せずサイバー攻撃の痕跡（ファイルの暗号化や不審な通信）を即座に確認する初動手順が整備されているか。
- 自社システムで保持しているユーザー情報のうち、不要な機微情報（決済情報など）を外部委託等により非保持化できているか、またパスワード等の重要情報が適切な強度で暗号化・ハッシュ化されているか。
- 重大インシデント発生時に外部専門調査機関を迅速にアサインし、警察や個人情報保護委員会への報告および対象者への通知を円滑に進める体制や連絡フローが準備されているか。
未解明点
- 攻撃者が管理サーバーへ侵入した具体的な初期侵入経路（公開サーバーの脆弱性悪用、管理画面の認証突破、VPN機器の欠陥など）は特定されているか。
- 暗号化されたサーバーの復旧にあたりバックアップからのリストアが行われたのか、また攻撃者からの身代金要求や脅迫の接触があったのか。
出典
- 1ひまなねこのひまつぶし2026-11-05報道本文確認済
- 2情報漏洩まとめ.site2026-11-05報道本文確認済
- 3zephel012026-11-04研究者本文確認済
- 4合同会社ロケットボーイズ2026-11-05報道本文確認済
- 5株式会社ウチコミ2026-11-04公式本文確認済