アンビションDXホールディングス、サイバー攻撃で情報漏えいを確認-ランサムウェアグループが437GB窃取を主張|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年08月31日更新日時: 2026年08月31日

株式会社アンビションDXホールディングスは2026年8月28日、ファイルサーバーへの第三者による不正アクセスについて第3報を公表し、一部の情報資産で情報漏えいを確認したと明らかにしました。

漏えいが確認された情報には、顧客、賃貸管理物件のオーナー、入居者、取引先、同社役職員に関する氏名、住所、電話番号、メールアドレスなどの個人情報が含まれる可能性があります。ただし、8月28日18時時点では具体的な対象者や件数、情報項目の特定には至っていません。

一方、セキュリティ対策Labが確認したデータリークサイトでは、新興ランサムウェア／データ恐喝グループ「Settra（セトラ）」が「am-bition.jp」を掲載し、437GBのデータを取得したと主張しています。掲載ページでは、アンビショングループや株式会社ホープ少額短期保険に関連するとする賃貸契約、保険契約、ネットワーク構成、認証情報、決済関連資料などの内訳を列挙し、保険契約申込書、財務資料、請求書、発注書とみられるサンプル画像も掲載していました。

ただし、アンビションDXホールディングスは攻撃者をSettraと特定しておらず、ランサムウェア感染やデータ暗号化についても公表していません。Settraが主張する437GBという容量、個別ファイルの内容、認証情報や金融関連情報の取得、同グループによる犯行帰属は、現時点で公式には確認されていません。

アンビションDXホールディングス不正アクセスのサマリー

アンビションDXホールディングスは2026年8月6日未明、社内ファイルサーバーのアクセス障害を確認しました。
調査の過程でログが消失していることが判明し、第三者による不正アクセスを確認しました。
同社は自社ネットワークを外部から遮断し、対象サーバーと関連システムを停止・隔離しました。
8月7日の第2報では、第三者がファイルサーバーへアクセスを試みた痕跡は確認した一方、データが外部へ持ち出された形跡は確認されていないとしていました。
8月28日の第3報では状況が更新され、一部の情報資産について情報漏えいを確認したと公表しました。
漏えいした情報には、顧客、賃貸管理物件のオーナー、入居者、取引先、役職員の個人情報が含まれる可能性があります。
個人情報の具体的な対象者、件数、情報項目は調査中です。
その他の情報についても漏えいの可能性を完全には否定できないとしています。
Settraは「am-bition.jp」をデータリークサイトへ掲載し、437GBのデータを取得したと主張しています。
Settraは賃貸関連ファイル449件、保険契約363件、保険支払い関連833件などを取得したと主張していますが、これらの件数は会社側が確認した数字ではありません。
Settraのページには「217,000,000」という数値も表示されていますが、提供された画面では指標の意味や単位を確認できないため、本稿では件数や金額として扱いません。
Settraはネットワーク構成図、認証情報、VPN関連設定などの取得も主張していますが、真正性は独立確認できていません。
アンビションDXホールディングスは攻撃者名、侵入経路、攻撃手法の詳細を公表していません。
同社は警察へ相談し、個人情報保護法第26条第1項に基づいて個人情報保護委員会へ報告しています。
8月28日時点で、本件に起因する情報の不正利用などの二次被害は確認されていません。
システムは安全性を確認した新しいネットワーク環境へ切り替え、業務で利用する各システムの復旧を完了しています。

項目	内容
第1報	2026年8月6日
第2報	2026年8月7日
第3報	2026年8月28日
対象組織	株式会社アンビションDXホールディングス
インシデント	ファイルサーバーへの第三者による不正アクセス
最初の異常	8月6日未明にアクセス障害、確認過程でログ消失を確認
情報漏えい	第3報で一部情報資産の漏えいを確認
個人情報	氏名、住所、電話番号、メールアドレス等が含まれる可能性
対象者	顧客、賃貸管理物件のオーナー、入居者、取引先、役職員など
対象件数	調査中
侵入経路	詳細非公表
攻撃者	公式には特定されていません
ランサムウェア感染	公式には確認されていません
Settraの主張	am-bition.jpを掲載し、437GBを取得したと主張
Settraが主張する主な内容	賃貸関連資料、保険関連データ、ネットワーク・認証関連情報など
Settraの帰属	アンビションDXホールディングスは確認していません
二次被害	8月28日時点で確認されていません
個人情報保護委員会	報告済み
警察	相談中
復旧状況	新ネットワークへ切替、業務システムはすべて復旧
連結業績への影響	精査中

8月6日未明、ファイルサーバー障害とログ消失を確認

アンビションDXホールディングスが最初に異常を確認したのは8月6日未明です。

社内ネットワーク内のファイルサーバーでアクセス障害が発生し、状況を確認したところログが消失していることが判明しました。

同社は第三者による不正アクセスを確認した後、被害拡大と二次被害を防ぐため、自社ネットワークを外部から遮断。対象サーバーと関連システムを停止・隔離しました。

代表取締役社長を本部長とする緊急対策本部を設置し、外部のフォレンジック専門機関へ調査を依頼しています。

第1報の段階では、情報が外部へ流出したかどうかを含め、被害の全容は確認できていませんでした。

また、ネットワーク遮断と一部システム停止により、社内業務、取引先とのデータ連携、問い合わせ対応などに遅延が発生していました。

8月7日の第2報では「持ち出し形跡は未確認」

翌8月7日の第2報では、安全性を確認した新たなネットワーク環境への切り替えが完了しました。

この時点では、第三者がファイルサーバーへのアクセスを試みた痕跡は確認されたものの、サーバー内に保存されたデータが外部へ持ち出された形跡は確認されていないと説明していました。

ただし同社は、第2報でも「被害の全容が確定したものではない」として調査を継続しています。

この表現は「情報流出がなかったことを確認した」という意味ではありません。

インシデント調査の途中では、ネットワークログ、端末ログ、ファイルアクセス記録などからデータ持ち出しを示す証拠が見つからない場合でも、ログの欠損や未監視経路などによって外部送信を完全に否定できない場合があります。

今回も8月28日の第3報で、一部情報資産の情報漏えいが確認されたため、調査結果が更新される形となりました。

第3報で一部情報資産の「情報漏えい」を確認

アンビションDXホールディングスは8月28日18時時点の調査結果として、一部の情報資産について情報漏えいを確認したと公表しました。

これは「情報へアクセスされた可能性」や「漏えいの可能性を否定できない」という段階ではなく、一部情報について漏えい自体を会社側が確認したものです。

一方、漏えいした情報に含まれる個人情報については確定表現ではありません。

同社は、顧客、賃貸管理物件のオーナー、入居者、取引先、役職員に関する氏名、住所、電話番号、メールアドレスなどが「含まれる可能性がある」としています。

そのほかの情報についても漏えいの可能性を完全には否定できず、具体的な範囲や内容の特定は続いています。

したがって、現時点で「何人分の個人情報が漏えいした」「すべての顧客情報が流出した」と断定することはできません。

Settraが「am-bition.jp」を掲載、437GBの窃取を主張

セキュリティ対策Labが確認したSettraのデータリークサイトでは、「am-bition.jp」が被害組織として掲載されていました。

ページには「437GB」というデータ量が表示され、完全公開までのカウントダウンも設置されています。

同じ位置には「217,000,000」という数値も表示されています。ただし、提供されたスクリーンショット上では、この数値がファイル数、レコード数、金額、その他の指標のどれを意味するのか確認できません。

このため、本稿では「2億1,700万件」などとは表現しません。

Settraは掲載文で、アンビショングループと関連組織から内部文書を取得したと主張しています。

ただし、437GBというデータ量を含め、これらは攻撃者側の主張です。アンビションDXホールディングスは漏えいしたデータ総量を公表しておらず、Settraの数字を確認していません。

Settraは賃貸449件、保険契約363件、支払い833件などを主張

Settraの掲載ページでは、取得したとするデータの内容も具体的に列挙されています。

Settraの主張によると、アーカイブには次のような情報が含まれるとしています。

グループ拠点に関するネットワーク構成情報
従業員の認証に関係するとする情報
DocuWorksで管理されていたとする賃貸取引関連ファイル449件
賃貸契約や入居審査に関連するとする資料
保険関連のSalesforceデータとして363件の契約情報
保険顧客ポータルに関係するとする認証情報
IP-VPNなどネットワーク接続に関係するとする設定情報
保険支払い関連データとして833件の取引情報
アンビション・ベンチャーズの投資関連資料

ここに記載されたファイル数、契約件数、取引件数、認証情報の有無は、Settraがリークサイトで主張している内容です。

アンビションDXホールディングスの第3報では、こうした個別データセットの存在や漏えいを確認していません。

特に認証情報やネットワーク設定は悪用リスクが高いため、掲載内容をそのまま再配布することは避けるべきです。本稿でも、実際の認証情報、ネットワーク情報、金融情報などは掲載しません。

ホープ少額短期保険はアンビションDXホールディングスの関連会社

Settraはリークサイトで「Insurance Partner Hope SSI」と表現し、株式会社ホープ少額短期保険に関連するデータも取得したと主張しています。

アンビションDXホールディングスの公式サイトでは、株式会社ホープ少額短期保険を関連会社として掲載し、グループの「少額短期保険事業」を担う会社として紹介しています。

そのため、Settraの掲載ページにある保険関連の組織名が、アンビションDXホールディングスの事業と無関係な名称というわけではありません。

一方、ホープ少額短期保険のどのシステムや情報が今回の不正アクセスで実際に影響を受けたかは、アンビションDXホールディングスの第3報では具体的に公表されていません。

Settraが主張する363件の保険契約や833件の支払い関連データについても、公式確認された件数ではありません。

Settraは2026年6月に出現したランサムウェア／データ恐喝グループ

Settraは2026年6月に表面化した新しいランサムウェア／データ恐喝グループです。

米サイバーセキュリティ企業MOXFIVEは、自社のインシデント対応案件でSettraの活動を直接確認しています。

MOXFIVEが別のSettra事案で確認した攻撃では、侵害済みVPN認証情報による初期アクセス、ネットワーク探索、追加認証情報の取得、横展開、防御回避、データ窃取、暗号化などが行われていました。

また、Windowsイベントログを削除して痕跡を消す活動も確認されています。

アンビションDXホールディングスの第1報でも「ログが消失されている事実」が確認されています。

ただし、この一致だけを根拠にSettraの犯行と判断することはできません。

ログ削除は複数のランサムウェアや攻撃者が利用する一般的な痕跡消去手法であり、アンビションDXホールディングスは侵入経路や使用されたツールを公表していません。

また、MOXFIVEが他のSettra事案で確認したVPN認証情報の悪用が、今回の侵入経路だったことを示す一次情報もありません。

セキュリティ対策Labでは、Settraの既知の攻撃手法について「ランサムウェアグループ『Settra（セトラ）』とは　2026年6月に出現、MOXFIVEがVPN認証情報・Mimikatz・BYOVDを実案件で確認」で整理しています。

第2報の「持ち出し形跡なし」と第3報の「漏えい確認」は矛盾しない

今回の公表で重要なのが、8月7日時点では「データが外部へ持ち出された形跡は確認されていない」としていた一方、8月28日に「一部の情報資産について情報漏えいが確認された」と更新された点です。

これは必ずしも、第2報が誤りだったことを意味しません。

第2報は8月7日18時25分時点で判明していた調査結果であり、会社自身も「被害の全容が確定したものではない」と明記していました。

フォレンジック調査では、侵害初期の段階で確認できるログやネットワーク記録に外部送信の痕跡がなくても、その後の追加解析、ファイルサーバーのアクセス状況、外部で公開されたデータとの照合などによって情報漏えいが判明する場合があります。

今回、どのような証拠を基に情報漏えいを確認したのかは公表されていません。

Settraのリークサイト掲載が会社側の判断に影響したかどうかも確認できません。

システムは復旧、現在は通常運用

アンビションDXホールディングスは、安全性を確認した新たなネットワーク環境への切り替えを完了しています。

業務で利用する各システムもすべて復旧し、8月28日時点では通常運用に戻っています。

顧客、賃貸管理物件のオーナー、入居者、取引先に対する各種手続きやサービスについても、実務上の支障は発生していないとしています。

一方、情報漏えいの調査自体は継続中です。

同社は漏えいが確認された情報の範囲特定を最優先とし、対象者が確定した後に個別連絡を行う方針です。

第4報以降も、新たな事実が判明し次第公表するとしています。

個人情報保護委員会へ報告、警察にも相談

アンビションDXホールディングスは、個人情報の漏えいなどが発生したおそれがあるとして、個人情報保護法第26条第1項に基づき個人情報保護委員会へ報告しています。

警察への相談も継続しています。

また、連結業績への影響については現在精査中で、重要な影響が判明した場合には別途公表するとしています。

賃料振込先変更やなりすまし連絡に注意

同社は、流出した情報が悪用される可能性があるとして、同社や役職員を装った不審なメール、電話、郵便物に注意するよう呼びかけています。

特にアンビションDXホールディングスは、メールまたは電話だけで賃料などの振込先変更、金銭の支払い、ID・パスワードの入力を依頼することはないと明示しています。

今回のように、不動産管理に関係する顧客、オーナー、入居者、取引先の情報が含まれる可能性がある場合、今後想定される二次被害には次のようなものがあります。

管理会社や担当者を装った賃料振込先の変更依頼
オーナーや取引先を装ったビジネスメール詐欺
入居者に対する契約更新や未払いを装ったフィッシング
保険会社や代理店を装った契約確認・保険金関連の連絡
漏えいした認証情報が真正だった場合の不正ログイン
公開情報と漏えい情報を組み合わせた標的型メールや電話

ただし、これらは今後想定されるリスクです。

8月28日時点で、アンビションDXホールディングスが把握する限り、本件に起因する情報の不正利用などの二次被害は確認されていません。

情報システム・セキュリティ部門への示唆

今回の事案は、インシデント初期に「持ち出しの痕跡が確認されていない」場合でも、情報漏えいの可能性を継続して調査する必要があることを示しています。

第一に、ログの保全と多層化です。今回の第1報ではファイルサーバーのログ消失が確認されました。端末やサーバー内だけにログを保存していると、攻撃者に削除された際に調査能力が大きく低下します。認証、EDR、ネットワーク、VPN、ファイルアクセス、クラウドなどのログを改ざんしにくい別環境へ転送し、十分な期間保存することが重要です。

第二に、情報資産の棚卸しです。ファイルサーバーには顧客情報だけでなく、賃貸契約、ネットワーク構成、認証関連情報、グループ会社資料など多様な情報が蓄積する可能性があります。どのサーバーに何があり、保存期間とアクセス権限が適切かを把握し、不要な情報を削減する必要があります。

第三に、グループ企業をまたぐアクセス権限の確認です。アンビションDXホールディングスは不動産管理、仲介、投資、少額短期保険など複数事業を展開しています。一つのファイルサーバーや認証基盤から複数法人の情報へ到達できる構成では、単一侵害の影響が広がる可能性があります。法人・事業・機密度に応じたネットワークと権限の分離が必要です。

第四に、リークサイトの情報を「事実」ではなく調査材料として扱うことです。攻撃者が掲載したファイル名やサンプルを、社内の既知ファイル、ハッシュ値、文書管理履歴などと安全な環境で照合すれば、漏えい範囲を特定する手掛かりになる場合があります。一方、攻撃者の主張するデータ量や件数を検証せず、そのまま漏えい件数として公表すべきではありません。

第五に、認証情報やネットワーク設定の漏えいが主張された場合は、真偽の確定を待たずリスクベースで失効・変更を検討する必要があります。外部公開用VPN、管理者ID、サービスアカウント、APIキー、共有シークレットなどが含まれる可能性がある場合、該当する認証情報を洗い出し、利用状況を確認したうえでローテーションすることが重要です。

最後に、攻撃者帰属と侵害原因を分けて考える必要があります。Settraは犯行を主張していますが、会社側は帰属を確認していません。過去にSettraがVPN認証情報を悪用した事例があっても、今回も同じ侵入経路だったとは限りません。帰属情報を対策の参考にしつつ、実際のログやフォレンジック結果を基に自社環境の侵入経路を特定することが重要です。

セキュリティ対策Labでは、本件の第1報・第2報について「アンビションDXホールディングス、ファイルサーバーに不正アクセス　第2報で新ネットワーク環境への切替完了、データ持ち出しは未確認」で整理しています。

<!– SEOディスクリプション案: アンビションDXホールディングスはファイルサーバーへの不正アクセスで一部情報資産の漏えいを確認。Settraは437GBのデータ窃取を主張し、賃貸・保険・ネットワーク関連資料のサンプルを掲載していますが、会社側はSettraへの帰属や具体的な漏えい件数を確認していません。 –>