東急不動産管理ウェブサイトおよび外部SaaS（Studio）への不正アクセスに伴う個人情報流出の可能性（最大4,107件）
公表日
東急不動産は、自社管理サイトのCMS脆弱性・権限設定不備共有範囲やアクセス権の設定を誤り、本来は見えてはいけない情報が、他の人やインターネットから見える状態になってしまうことです。攻撃がなくても漏えいが起きます。クラウドの共有リンクや「全員に公開」の設定で起きやすい事故です。と、外部制作ツール「Studio」への不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。により、最大4,107件の個人情報が外部へ流出した可能性があると公表しました。
対象者は？
「GREEN CROSS PARK 公式サイト」会員登録者（4,079件）、「GREENUP Cooldown Project 公式サイト」問い合わせ者（3件）、「リエネソーラーファーム東松山公式サイト」問い合わせ者（5件）、「TENOHA 松前公式サイト」問い合わせ者（20件）の最大4,107件。クレジットカード情報や平文パスワードの流出は含まれていません。
影響を受けた可能性のある利用者に対して、東急不動産より個別に案内が進められています。詳細は同社の公式お知らせをご確認ください。
いますぐできること
- 東急不動産からの個別案内を確認し、同社を装った不審なメールや問い合わせの心当たりがない連絡に注意してください。
何が起きたのか
東急不動産が管理するAWS上の共同サーバー環境で、WordPressなどのCMS脆弱性とアクセス権限の不備を突く不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。が発生し、2つのサイトで会員情報や問い合わせ内容が外部から閲覧できる状態となっていました。また、同社が一部サイトの制作・運用に利用していた外部サービス「Studio」でも不正アクセスが発生し、同サービス上に保存されていた2つのサイトの問い合わせ情報が流出した可能性があることが判明しました。
なぜ起きたのか・なぜ広がったのか
自社管理サイトでは、CMSのソフトウェア脆弱性とサーバー内のアクセス権限設定不備共有範囲やアクセス権の設定を誤り、本来は見えてはいけない情報が、他の人やインターネットから見える状態になってしまうことです。攻撃がなくても漏えいが起きます。クラウドの共有リンクや「全員に公開」の設定で起きやすい事故です。が悪用されました。また外部サービス「Studio」でも一部機能に存在した脆弱性が悪用され、保存データが外部から取得できる状態になっていたためです。
いまの状況2026-10-30 時点続報待ち
東急不動産は不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。の発覚後直ちにサイトを遮断して緊急停止し、サーバー全体の権限見直しや脆弱性修正・アップデートを実施して順次復旧させました。個人情報保護委員会への報告一定の個人情報の漏えいが起きた場合、企業は国の機関である個人情報保護委員会への報告と、本人への通知が法律で義務づけられています（2022年4月から）。漏えいの通知が届くことが多いのは、このためです。を完了し、対象者への個別案内を進めています。現時点で流出確定や本件に伴う二次被害は確認されていません。
企業として考えたいこと
自社が管理するWebサーバーの脆弱性管理や権限設定だけでなく、外部SaaS上に蓄積されるフォームデータなどの漏えいリスクを定期的に点検できていますか？
技術的な要約
東急不動産は2026年10月30日、自社が管理するウェブサイトへの不正アクセスと、利用していた外部Webサイト制作サービス「Studio」への不正アクセスに伴う情報流出の可能性をそれぞれ公表した。自社管理サイトの事案では、AWS共同サーバー環境においてWordPress等のCMS脆弱性とアクセス権限設定不備を突かれ、2サイトの会員情報や問い合わせ情報計4,082件が外部へ流出した可能性がある。またStudioの不正アクセス事案では、同サービスを利用していた2サイトの問い合わせ情報計25件に流出の可能性が判明した。同社は2026年10月19日に自社サイトの不正アクセスを把握して即座に遮断し、権限見直しや脆弱性修正を行った上で順次復旧させるとともに、個人情報保護委員会への報告と対象者への個別案内を進めている。
攻撃の分類
- 侵入口
- Webアプリ脆弱性公表で確認自社管理サイトではWordPress等のCMSのソフトウェア脆弱性とサーバー内のアクセス権限設定不備を突く攻撃が確認された。また外部利用していたStudioでも一部機能の脆弱性を悪用された。
- 脆弱性
- CVE 非公表公表で確認WordPress 等のコンテンツ管理システム（CMS）CMSのソフトウェア脆弱性とサーバー内のアクセス権限設定不備が突かれた。CVE番号は非公表。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 不正アクセス発覚に伴い、自社管理の該当ウェブサイトを遮断して緊急メンテナンス状態へ移行。改修およびセキュリティ強化を実施した上で順次復旧した。期間：2026-10-19から順次復旧
- データ
- おそれ上限 4,107確定 0件氏名メール電話取引先情報その他自社管理サイト4,082件（GREEN CROSS PARK 会員情報4,079件、GREENUP Cooldown Project 問い合わせ情報3件）と、Studio利用サイト25件（リエネソーラーファーム東松山 5件、TENOHA 松前 20件）の合計最大4,107件。実際の情報流出の有無は特定されておらず、二次被害等は確認されていない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 東急不動産がサイト運用に利用していたSaaS「Studio」への不正アクセスにより、同社サイトのフォーム入力データ25件に流出の可能性が生じた。また自社管理サイトのインシデントでも保守管理委託先と連携して調査・復旧が行われている。
時系列
- 2026-09-30
- 2026-10-13
- 2026-10-16
- 2026-10-17
- 2026-10-19
- 2026-10-20
- 2026-10-28東急不動産が個人情報保護委員会等の関係行政機関への報告および必要な手続きを完了2
- 2026-10-30
技術解説
自社管理サーバーにおけるCMS脆弱性とアクセス権限設定不備 事実
東急不動産が公表した自社管理ウェブサイトのインシデントでは、AWS上に構築された共同サーバー環境が攻撃対象となりました。同社の発表によると、攻撃の原因はWordPress等のコンテンツ管理システム（CMS）のソフトウェア脆弱性と、サーバー内部のアクセス権限設定の不備を突かれたことによるものです。影響の対象となったのは、「GREEN CROSS PARK 公式サイト」の会員登録情報4,079件と、「GREENUP Cooldown Project 公式サイト」の問い合わせ情報3件の計4,082件です。対象データには会社名、部署名、氏名、メールアドレス、電話番号、プロジェクトへの関心、問い合わせ内容などが含まれます。同社は2026年10月19日に不正アクセスを検知して直ちに対象サイトを遮断・緊急停止し、翌20日以降にサーバー環境全体のアクセス権限見直しやCMSの脆弱性修正・アップデートを実施して順次復旧を行いました。ログ調査では流出の有無を確定できなかったものの、公表時点で二次被害等は確認されていません。
外部SaaS「Studio」への不正アクセスに伴う波及被害 事実
東急不動産は自社管理サーバーの事案と同時に、Webサイト制作・運用に利用していた外部SaaS「Studio」の不正アクセスに伴う影響についても公表しました。Studio側では機能の脆弱性を突かれ、2026年9月30日から10月1日にかけてクラウド環境内のデータが外部から取得できる状態となっていました。Studio社が10月16日に情報流出の可能性を公表したことを受け、東急不動産が緊急点検を実施したところ、同サービスを利用していた「リエネソーラーファーム東松山公式サイト」（5件）および「TENOHA 松前公式サイト」（20件）の問い合わせフォーム入力データ計25件について流出の可能性が判明しました。これにより自社管理サイトと合わせて最大4,107件の個人情報に影響が生じる可能性が特定されました。Studio側の調査でも実際のデータ持ち出しの確証は得られていないものの、東急不動産は個人情報保護委員会への報告と対象者への案内を行っています。
複数サイト同居環境の分離管理と外部SaaS依存のリスク構造 解釈
本件は、自社が管理するWebインフラの構成管理上の課題と、外部SaaS利用に伴うサプライチェーンリスクの双方が浮き彫りになった事例といえます。自社管理サーバーの事案では、複数のサイトが同一のAWS共同サーバー環境で運用されていた中で、CMSの脆弱性と権限設定不備が突かれました。Webサイトごとに実行ユーザーやアクセス可能領域を厳密に分離・制限できていなければ、単一のCMSで侵入を許した際に同居する別サイトや保存領域へと影響が拡大する懸念が生じます。また、外部SaaSの利用においては、手軽にフォームやサイトを立ち上げられる利便性がある反面、サービス側で保管される問い合わせデータの安全管理は事業者に依存することになります。自社基盤における最小権限とパッチ管理の徹底はもちろん、外部SaaSに受領データを滞留させない設計やAPI連携のライフサイクル管理など、多層的な対策が求められます。
対応
- 封じ込め
- 自社管理サイトでは不正アクセス発覚後直ちにサイトを遮断して緊急メンテナンス状態とし、サーバー環境全体のアクセス権限見直しやCMS脆弱性プログラムの修正・アップデートを実施して順次復旧した。またStudio事案の公表を受けて緊急調査・点検を実施した。
- 公表の仕方
- 2026年10月30日に公式ウェブサイト上でニュースリリースおよびPDF文書を公開し、影響を受けた可能性のある利用者への個別案内を進めている。
- 当局対応
- 個人情報保護委員会
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| WordPress等の公開CMSにおける脆弱性管理と自動更新プロセスの確立 | CMS本体やプラグインの構成要素をインベントリ化し、脆弱性スキャナやCI/CD連携による定期チェックを導入するとともに、セキュリティパッチの適用手順とステージング検証環境を標準化して迅速にアップデートできる運用を構築する。 |
| 共同サーバー環境におけるサイト間・プロセス間の権限分離の徹底 | 単一のOSやサーバーインスタンス内に複数サイトを同居させる構成を避け、サイトごとにコンテナや独立した実行ユーザー（chroot環境等）を割り当て、Webサーバー権限から不要なディレクトリや他サイトの領域への読み取り・書き込み権限を排する。 |
| 外部フォームSaaSにおける入力データの保持期間最小化と自動破棄 | SaaS上のWebフォームで受領した問い合わせや個人情報は、社内通知や受信用システムへ連携した直後にSaaS側からAPI等で自動削除し、クラウドサービス上に個人情報が長期滞留しない設計を採用する。 |
| 委託先を含めたWebサイト構築・管理ガイドラインの監査と定期点検 | サイト構築時および運用フェーズにおけるサーバー設定基準（パーミッション、不要機能の停止、通信制御）をチェックリスト化し、委託先に対して定期的な設定監査と構成レビューの提出を義務付ける。 |
自組織などでの確認項目
- 自社で稼働しているWordPress等のCMSやプラグインの最新パッチ適用状況と、公開中の全サイトのインベントリが正確に把握できているか。
- 同一のサーバーやクラウドインスタンス内に複数のWebサイトやシステムが同居している場合、OS権限やファイルアクセス権限がサイトごとに厳密に分離されているか。
- 外部のWeb制作サービスやノーコードフォームSaaSを利用している場合、受領した個人情報がSaaS環境内に不要に蓄積され続けていないか。
未解明点
- 自社管理サーバーにおいて悪用されたWordPress等のCMS脆弱性の具体的なCVE番号や機能、およびサーバー内でどのような権限設定不備が存在していたのか。
- AWS共同サーバー環境において、公表された2サイト以外の同一サーバー上に同居していた他のウェブサイトやデータに対する影響や調査結果の詳細。
出典
- 1Innovatopia2026-11-01報道本文確認済
- 2セキュリティ対策Lab2026-10-30報道本文確認済
- 3Studio株式会社2026-10-16公式本文確認済
- 4株式会社エス・エム・エス・データ・テック2026-10-22研究者本文確認済
- 5東急不動産2026-10-30公式本文確認済
- 6東急不動産2026-10-30公式本文確認済
- 7東急不動産株式会社2026-10-30公式本文確認済