日鉄興和不動産、クラウドサービスへの不正アクセスを確認　マンション販売の顧客情報保存、情報漏えいは未確認

日鉄興和不動産は2026年8月26日、同社が利用するクラウドサービスの一部で、第三者による不正アクセスが行われていたことを確認したと公表しました。

不正アクセスを確認したのは8月25日です。対象のクラウドサービスには、マンション販売業務などに関する顧客情報が保存されています。

8月26日時点で、個人情報の漏えいや不正利用の事実は確認されていません。ただし、同社は情報流出の可能性を否定したわけではなく、クラウドサービスへの接続を停止した上で、システム運営会社と調査を続けています。

クラウドサービスの名称や運営会社、保存されている顧客情報の具体的な項目、対象件数、不正アクセスの開始時期、侵入経路などは公表されていません。日鉄興和不動産は、調査結果が確認でき次第、改めて公表するとしています。

日鉄興和不動産の不正アクセス事案のサマリー

• 【確認済み】日鉄興和不動産は2026年8月25日、利用するクラウドサービスの一部で第三者による不正アクセスを確認しました。
• 【確認済み】対象クラウドサービスには、マンション販売業務などに関する顧客情報が保存されています。
• 【確認済み】8月26日時点で、個人情報の漏えいや不正利用の事実は確認されていません。
• 【確認済み】同社は対象クラウドサービスへの接続を停止しています。
• 【確認済み】システム運営会社と連携して調査と必要な対応を進めています。
• 【確認済み】調査結果は確認でき次第、改めて公表する方針です。
• 【未確認】クラウドサービスの名称、システム運営会社名は公表されていません。
• 【未確認】保存されている顧客情報の具体的な項目や対象件数は公表されていません。
• 【未確認】個人情報へ実際にアクセスされたか、外部へ取得されたかは公表されていません。
• 【未確認】不正アクセスの開始時期、継続期間、侵入経路は公表されていません。
• 【未確認】ランサムウェアやマルウェアの関与、攻撃主体は公表されていません。
• 【未確認】個人情報保護委員会や警察への報告については、8月26日の公表文では確認できませんでした。

項目	内容
公表日	2026年8月26日
不正アクセス確認日	2026年8月25日
対象組織	日鉄興和不動産株式会社
インシデント	利用するクラウドサービスの一部への第三者による不正アクセス
対象サービス	名称非公表
保存されていた情報	マンション販売業務などに関する顧客情報
情報項目	公表されていません
対象件数	公表されていません
個人情報漏えい	8月26日時点で確認されていません
不正利用	8月26日時点で確認されていません
侵入経路	公表されていません
不正アクセス期間	公表されていません
対応	対象クラウドサービスへの接続停止、システム運営会社と調査
個人情報保護委員会への報告	公表情報では確認できず
今後	調査結果を確認でき次第、改めて公表

8月25日にクラウドサービスへの不正アクセスを確認

日鉄興和不動産は8月26日、「当社が利用するクラウドサービスへの不正アクセスに関するお知らせ」を公表しました。

同社によると、8月25日に、利用しているクラウドサービスの一部で第三者による不正アクセスが行われていたことを確認しました。

第一報では、不正アクセスをどのような経緯で検知したのかは明らかにされていません。

また、「8月25日」は不正アクセスを確認した日であり、攻撃そのものが8月25日に始まったと公表されたわけではありません。実際に第三者がアクセスを開始した日時や、どの程度の期間アクセス可能だったのかは今後の調査事項です。

マンション販売業務などの顧客情報を保存

対象となったクラウドサービスには、マンション販売業務などに関する顧客情報が保存されています。

一方、どの物件やサービスの顧客が対象となる可能性があるのか、氏名、住所、電話番号、メールアドレス、購入検討情報、契約情報などのうち、どの情報項目が保存されていたのかは公表されていません。

そのため、「購入者情報が漏えいした」「特定の個人情報が流出した」といった表現は現時点ではできません。

確認されているのは、顧客情報を保存するクラウドサービスへ第三者が不正アクセスしたという事実までです。

対象クラウドサービスへの接続を停止

日鉄興和不動産は、不正アクセスを確認したクラウドサービスへの接続を停止しています。

同社はシステム運営会社と連携し、調査と必要な対応を進めています。

ただし、サービスを停止した範囲や、マンション販売業務への影響については公表していません。

販売担当者が顧客情報を閲覧できない状態になっているのか、代替手段で業務を継続しているのか、顧客向けサービスに停止が発生しているのかも確認できません。

今後の公表では、情報セキュリティ上の影響だけでなく、業務継続への影響も確認する必要があります。

クラウドサービス名と運営会社は非公表

8月26日の発表では、対象となったクラウドサービスの名称とシステム運営会社は公表されていません。

そのため、特定の不動産向けSaaSやCRM、販売管理システムなどと今回の事案を結び付けることはできません。

2026年4月には、不動産業界向けクラウドサービス「いえらぶCLOUD」で不正アクセスが発生し、複数の利用企業が顧客情報への影響を公表しました。

ただし、今回の日鉄興和不動産の事案と「いえらぶCLOUD」との関連を示す情報は確認されていません。業界や「クラウドサービス」という共通点だけを根拠に、同一サービスや同一攻撃と推測することは避ける必要があります。

利用企業側の認証情報が侵害されたのかも不明

クラウドサービスへの不正アクセスでは、利用企業のアカウント認証情報が第三者に取得される場合もあれば、クラウドサービス運営会社側のシステムが侵害され、複数顧客へ影響する場合もあります。

しかし、日鉄興和不動産は今回、どの経路で不正アクセスされたのかを公表していません。

したがって、本件を「クラウドベンダーへのサイバー攻撃」「委託先からの情報漏えい」「サプライチェーン攻撃」などと現段階で分類することはできません。

利用者アカウントの認証情報が悪用された可能性、サービス側の脆弱性が悪用された可能性なども、いずれも推測の域を出ません。

対象人数・情報項目は今後の重要確認事項

個人情報インシデントでは件数が注目されがちですが、今回の第一報には対象件数が記載されていません。

そのため、クラウドサービス内に何人分の顧客情報が保存されているのか、不正アクセスの対象となった範囲がそのすべてなのか一部なのかは確認できません。

また、保存されている情報項目によって二次被害リスクも大きく異なります。

氏名や連絡先だけでなく、物件購入の検討状況や契約に関する情報などが含まれる場合には、住宅購入者を狙ったなりすましやフィッシング、取引関係者を装う詐欺などへの悪用リスクを考える必要があります。

ただし、これらの情報が実際に今回のクラウドサービスへ保存されていたとは公表されていません。現時点で二次被害が確認されたとの発表もありません。

不動産業界ではクラウドへの顧客情報集約がリスクに

不動産販売では、広告媒体からの問い合わせ、来場予約、顧客対応履歴、商談状況などをクラウドサービスへ集約する運用が一般化しています。

クラウド化によって営業担当者間で情報を共有しやすくなる一方、一つのサービスへ大量の顧客情報が集中するため、アカウントやサービス基盤が侵害された場合の影響も大きくなります。

セキュリティ対策Labでは2026年4月、いえらぶCLOUDへの不正アクセスについて、複数の不動産会社へ影響が波及した事案を整理しています。

このような過去事例からも、利用企業側では「クラウド事業者がセキュリティを管理しているから自社で確認する必要はない」という運用では不十分です。

SaaSの認証、権限、ログ、データ出力機能、委託先管理を含め、自社側でも統制する必要があります。

情報システム・個人情報管理部門への示唆

今回のように外部クラウドサービスへの不正アクセスが判明した場合、情報システム部門が最初に確認すべきなのは「サービスが復旧したか」だけではありません。

まず、対象サービスへ保存されているデータの種類と件数を確定し、どの利用者アカウントから、どの時間帯に、どのデータへアクセスされたかをログから確認する必要があります。

クラウド事業者のログだけでは調査できないケースに備え、自社のIdP、SSO、端末、メール、プロキシなどのログも突き合わせることが重要です。

アカウント侵害の可能性がある場合には、パスワード変更だけでなく、セッション失効、多要素認証の再登録確認、APIキーや連携トークンの無効化、管理者権限の棚卸しまで行う必要があります。

また、クラウドサービス選定・契約時には、インシデント発生時に利用企業へどのログが提供されるのか、保存期間はどの程度か、データエクスポートの監査証跡を取得できるかを確認しておくべきです。

個人情報管理部門では、漏えいの有無を判断するために「第三者がアクセスできた可能性」と「実際に外部取得されたことが確認されたか」を分けて整理する必要があります。

今回の日鉄興和不動産は、現時点では漏えい・不正利用を確認していないとしています。

今後の続報では、対象となる顧客情報の項目・件数、不正アクセス期間、侵入経路、データ閲覧・取得の有無、個人情報保護委員会や警察への報告、対象顧客への通知の有無が重要な確認ポイントになります。

出典

• 当社が利用するクラウドサービスへの不正アクセスに関するお知らせ – 日鉄興和不動産
• いえらぶCLOUDへの不正アクセスによるサイバー攻撃 被害 企業や概要まとめ【2026年5月29日時点】 – セキュリティ対策Lab