戸田建設の支払い管理システム等への不正アクセス（従業員4,778名・取引先担当者メールアドレス最大7,200件等が漏えい）
公表日
大手建設会社の戸田建設で、取引先への支払いを管理するシステムなどが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受け、従業員4,778人分の個人情報と、取引先担当者のメールアドレスなどが漏えいしました。
対象者は？
戸田建設の従業員4,778人（氏名・住所・電話番号・メールアドレス・所属部署）と、取引先の担当者（メールアドレス最大7,200件）です。このほか取引データ最大6,000件も漏えいしましたが、その中身（金額や振込先口座が含まれるか）は公表されていません。
漏えいが確認された方には、会社から個別に案内するとされています。
いますぐできること
- 戸田建設を名乗るメールで、振込先口座の変更や支払いを求められたら、メールに書かれた連絡先ではなく、普段の担当者に電話などで確かめる
- 知らない添付ファイルやリンクのついた、戸田建設を装うメールを開かない
何が起きたのか
2026年10月5日、戸田建設は、取引先への支払いを管理するシステムなどへの外部からの不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を見つけ、すぐにそのシステムをネットワークから切り離しました。調べたところ、10月1日から5日にかけて情報が外部に漏えいした形跡が見つかりました。会社は10月7日に公表し、同じ日に個人情報保護委員会へ報告しました。
なぜ起きたのか・なぜ広がったのか
どこから、どのように侵入されたかは、まだ公表されていません。対象のシステムの名前や、「など」に含まれる他のシステムも明らかにされていません。
いまの状況2026-10-07 時点続報待ち
会社は外部の専門機関と協力して、全体の状況と原因を調べています。10月7日の時点で、漏えいした情報が公開されたり悪用されたりしたことは確認されていません。侵入の経路と、取引データの中身はまだ発表されていません。
企業として考えたいこと
取引先から「振込先が変わった」というメールが届いたとき、自社ではメール以外の方法で確かめる決まりがあるでしょうか。
技術的な要約
戸田建設は2026年10月5日、取引先への支払いを管理するシステム等への外部からの不正アクセスを検知し、10月1日から5日にかけて情報が外部に漏洩した形跡を確認した。漏洩したのは取引先担当者のメールアドレス（最大7,200件）と取引データ（最大6,000件）、従業員4,778名分の氏名・住所・電話番号・メールアドレス・所属部署で、同社は「漏洩した」と確定的に表現している。該当システムはネットワークから隔離され、10月7日に公表と個人情報保護委員会への報告を行ったが、侵入経路・取引データの中身（口座情報の有無を含む）は公表されておらず、外部専門機関と調査中である。
攻撃の分類
- 侵入口
- 不明不明。公式発表は「取引先への支払いを管理するシステム等への外部からの不正アクセス」とのみ記載し、侵入経路（VPN・認証情報・脆弱性等）、対象システムの製品名・クラウド/オンプレミスの別、「等」に含まれる他システムは公表していない。報道（セキュリティ対策Lab）も原因・侵入経路は未公表と整理している。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 該当システムをネットワークから隔離したが、支払い業務や工事への影響は公表されていない。
- データ
- 確定上限 7,200確定 4,778件氏名住所電話メール従業員情報取引先情報業務データ公式は「漏洩したことが判明」と確定表現。内訳：①取引先担当者のメールアドレス最大7,200件、取引データ最大6,000件、②従業員4,778名分（氏名・住所・電話番号・メールアドレス・所属部署）。records_maxは単一区分の最大値（取引先メールアドレス7,200件）、records_confirmedは件数が確定値で示された従業員4,778名。区分が異なるため合算していない（単純合計は最大17,978件）。「取引データ」の内容（金額・振込先口座等）は公表されておらず、口座情報の有無は不明。公開・不正利用の事実は10/7時点で確認されていない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 取引先の担当者情報・取引データが含まれるが、取引先のシステムへの波及は公表されていない。
時系列
- 2026-10-01漏洩の形跡が確認された期間の始期（〜10/5）1
- 2026-10-05
- 2026-10-07
技術解説
支払い系システムが狙われたことの意味（推測を含む） 解釈
公表された漏洩項目は取引先担当者のメールアドレスと取引データ、従業員の連絡先・所属で、組み合わせると「誰が・どの取引先と・いくらの取引をしているか」を把握できる可能性がある。これは請求書の振込先変更を装うビジネスメール詐欺（BEC）の材料として典型的であり、同社が取引先に対し同社関係者を装った不審なメール・SMSへの注意を呼びかけているのもこの懸念と整合する。ただし取引データの項目（金額・支払日・振込先口座など）は公表されておらず、口座情報が含まれるかは不明である。10/1〜10/5という短い期間に検知できた点は評価できるが、侵入経路が未公表のため、同じ経路による再侵入リスクの評価はできない。
対応
- 封じ込め
- 10/5の検知後、直ちに該当システムをネットワークから隔離し応急措置。外部の専門機関と連携し全容解明と原因特定を進めている。
- 公表の仕方
- 10/7に第1報。漏洩件数・項目は示したが、侵入経路・取引データの内容は非公表。漏洩が確認された人には個別に案内するとしている。
- 当局対応
- 個人情報保護委員会：2026-10-07に報告済み（公式）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 取引先連絡先と取引データの組み合わせはBECの材料になる | 振込先変更依頼はメールだけで受け付けず、既知の電話番号へのコールバック確認を必須化。支払いシステムで振込先マスタ変更に二者承認と変更通知を設定する |
| 支払い系システムの外部到達性と認証 | 支払い管理システムへのアクセスを社内ネットワーク/ZTNA経由に限定し、管理者・利用者ともにMFAを必須化。大量エクスポートやAPI経由の一括取得をアラート化する |
自組織などでの確認項目
- 自社の支払い・購買システムから取引先担当者のメールアドレスと取引履歴が漏れた場合、取引先へのBEC注意喚起を何時間以内にどのチャネルで出せるか。
未解明点
- 侵入経路（認証情報、VPN、脆弱性等）と対象システムの製品名・提供形態
- 「取引データ」の項目（金額・振込先口座等が含まれるか）
- 10/1より前の初期侵入の有無、ランサムウェア・犯行声明の有無
出典
- 1戸田建設2026-10-07公式本文確認済
- 2セキュリティ対策Lab（ロケットボーイズ）2026-10-07報道本文確認済