安藤ハザマ、ソーシャルエンジニアリングで約5,000件の個人情報漏洩の恐れ　社員が名刺管理システムからダウンロードしメール送信

株式会社安藤・間（呼称：安藤ハザマ）は2026年8月31日、同社社員が警察官を名乗る人物にだまされ、名刺管理システムに保存されていた約5,000件の個人情報を外部へ送信したと公表しました。

同社によると、当該社員は8月16日から23日にかけて警察官を名乗る人物から連絡を受け、「交友関係の捜査に必要」として名刺情報の提出を求められました。社員は8月17日、名刺管理システムから名刺情報をダウンロードし、相手方へ電子メールで提出しました。

その後、8月23日に社員自身が警察へ連絡したことで、相手が実際の警察官ではなく、架空請求を目的とした詐欺だったことが判明しました。安藤ハザマは翌24日に報告を受けて事案を把握し、8月28日に個人情報保護委員会へ報告しています。

流出した情報は、会社名、部署名、役職、氏名、住所、電話番号、FAX番号、メールアドレスの約5,000件です。

今回の事案について、安藤ハザマは外部から名刺管理システムへ不正アクセスされたとは説明していません。正規権限を持つ社員が詐欺により情報提供を求められ、自らデータをダウンロードして送信したことから、技術的な侵入ではなく、人物の信頼や権威を悪用するソーシャルエンジニアリングによる情報流出として捉える必要があります。

安藤ハザマの名刺情報流出のサマリー

• 安藤ハザマは2026年8月31日、名刺情報約5,000件の外部流出を公表しました。
• 当該社員は8月16日から23日にかけて、警察官を名乗る人物から連絡を受けました。
• 相手は「交友関係の捜査に必要」として名刺情報の提出を求めました。
• 社員は8月17日、名刺管理システムに保管されていた情報をダウンロードし、相手方へ電子メールで送信しました。
• 8月23日に社員自身が警察へ確認し、実際の警察官ではなく、架空請求を目的とした詐欺だったことが判明しました。
• 安藤ハザマは8月24日に本件を把握しました。
• 流出した情報は、会社名、部署名、役職、氏名、住所、電話番号、FAX番号、メールアドレスです。
• 対象件数は約5,000件で、情報流出は確認済みです。
• 名刺管理システムへの不正アクセスやアカウント侵害は公表されていません。
• 国内では、はてなが2026年4月に警察関係者を名乗る電話を起点としたボイスフィッシング型ソーシャルエンジニアリングにより、総額11億7,981万円の資金流出被害を受けています。
• 安藤ハザマは8月28日に個人情報保護委員会へ報告しました。
• 対象者には個別に謝罪と状況説明を順次開始しています。
• 再発防止として、個人情報保護・情報セキュリティ教育とデータアクセス権限の見直しを進めます。

項目	内容
公表日	2026年8月31日
対象組織	株式会社安藤・間（安藤ハザマ）
事案	警察官を名乗る人物による詐欺を起点とした名刺情報の外部流出
接触期間	2026年8月16日～8月23日
情報送信日	2026年8月17日
詐欺判明日	2026年8月23日
会社把握日	2026年8月24日
流出件数	約5,000件
流出情報	会社名、部署名、役職、氏名、住所、電話番号、FAX番号、メールアドレス
流出経路	社員が名刺管理システムからダウンロードし、相手方へ電子メールで送信
システムへの不正アクセス	公表されていません
個人情報保護委員会への報告	2026年8月28日に実施
対象者への通知	個別に順次開始
再発防止	教育の実施、データアクセス権限の見直し

警察官を名乗る人物が「捜査に必要」と名刺情報を要求

安藤ハザマによると、社員への接触は8月16日に始まりました。

警察官を名乗る人物は、交友関係を捜査するために必要だとして、当該社員へ名刺情報の提出を求めました。

社員は翌17日、安藤ハザマが利用する名刺管理システムに保存されていた情報をダウンロードし、相手方へ電子メールで提出しました。

接触は8月23日まで続きました。

同日、社員自身が警察へ連絡したことで、それまで連絡を取っていた人物は実際の警察官ではなく、安藤ハザマの説明では「架空請求を目的とした詐欺」だったことが判明しました。

会社は8月24日に社員から報告を受け、本件を把握しています。

約5,000件の名刺情報が実際に外部へ流出

今回の約5,000件については、「漏えいした可能性がある」という段階ではありません。

安藤ハザマ自身が、社員が名刺情報をダウンロードして相手方へメールで提出したと説明しており、個人情報の外部流出が確認されています。

対象となる情報は、会社名、部署名、役職、氏名、住所、電話番号、FAX番号、メールアドレスです。

名刺には勤務先の連絡先が中心となるケースもありますが、公表資料は各情報が法人の代表連絡先なのか、個人へ直接ひも付く情報なのかを区別していません。

また、約5,000件のうち何件に住所や電話番号など各項目が含まれていたかも明らかにされていません。

不正アクセスではなく、正規権限を悪用させたソーシャルエンジニアリング

本件を「名刺管理システムへのサイバー攻撃」と表現するのは適切ではありません。

安藤ハザマの公表では、攻撃者がシステムへ侵入した、認証情報を窃取した、外部から不正ログインしたといった事実は示されていません。

名刺管理システムへアクセスできる正規の社員が、警察官を名乗る人物からの要求を正当な捜査協力だと信じ、情報を自らダウンロードして送信しています。

このように、権威、緊急性、信頼など人間の心理を利用して正規利用者に情報提供や操作をさせる手法は、一般にソーシャルエンジニアリングと呼ばれます。

セキュリティ対策Labでも「ソーシャルエンジニアリングとは 手法や手口を解説」で、システムの技術的な脆弱性ではなく、人の判断を狙う攻撃として整理しています。

警察庁、2026年上半期の「ニセ警察詐欺」は被害額507.9億円

今回の詐欺を警察庁が統計上の「ニセ警察詐欺」と認定したとの公表はありません。

ただし、警察官の権威を悪用する詐欺そのものは全国的に大きな問題となっています。

警察庁が2026年7月31日に公表した上半期の暫定値では、「ニセ警察詐欺」の認知件数は4,466件、被害額は507.9億円でした。被害額は前年同期より108.9億円増えています。

当初の接触手段は電話が9割以上を占めています。

警察庁は、警察官を装って「口座が犯罪に利用されている」などと不安をあおり、金銭や情報を要求する手口が広がっているとして注意を呼び掛けています。

安藤ハザマの事案は、金銭そのものではなく企業が保有する約5,000件の名刺データが先に提供された点が特徴です。

企業側では「金銭を要求されたら詐欺を疑う」だけでは不十分で、捜査、監査、官公庁照会などを理由とした大量データの提出要求についても、正式な確認手続きを設ける必要があります。

警察を名乗る相手からの依頼は所属先へ確認

警察庁は、警察官を名乗る連絡を受けた場合、相手から示された連絡先をそのまま信用せず、最寄りの警察署などへかけ直して本物か確認するよう案内しています。

警察官がSNSや突然のビデオ通話で連絡することはないとも注意喚起しています。

今回、安藤ハザマの社員は8月23日に自ら警察へ連絡したことで詐欺に気付きましたが、情報送信は6日前の8月17日に既に行われていました。

企業では、官公庁や捜査機関を名乗る相手から個人情報、顧客情報、取引先情報の提出を求められた場合、社員個人の判断で応じず、法務・コンプライアンス部門などによる正式な照会確認を必須とする運用が重要です。

はてなも警察関係者をかたる「ボイスフィッシング型ソーシャルエンジニアリング」で被害

安藤ハザマの事案と共通点が多い国内事例として、株式会社はてなが2026年4月に被害を受けた資金流出事案があります。

はてなが2026年7月24日に公表した特別調査委員会の調査報告書によると、事案は4月20日午前8時2分、経理部長の私用携帯電話に警察関係者を名乗る人物から電話がかかってきたことを起点に始まりました。

相手方は、大規模な資金洗浄事件の捜査を装い、本人にも関与の疑いがあるなどと説明しました。そのうえで、家族や会社関係者へ口外しないよう求め、被害者を心理的に孤立させています。

その後、やり取りは通信アプリ上のビデオ通話へ移行し、相手方は警察手帳や検察官証を装ったものを提示しました。被害者は一連の指示を「捜査協力」と信じ、会社貸与PCを使って相手方の指示に従いました。

特別調査委員会の報告書では、最終的にリモートデスクトップを通じた操作などを経て、会社口座から総額11億7,981万円が流出したとされています。

この事案は、CEOや経営者を装って送金を指示する「CEO詐欺」ではありません。

警察関係者を名乗る電話を起点に、権威への信頼や逮捕・捜査への不安を利用して被害者を誘導した「ボイスフィッシング（ビッシング）型のソーシャルエンジニアリング」と整理するのが適切です。

ただし、電話だけで完結した攻撃でもありません。電話による接触後、ビデオ通話、偽の身分証明、口外禁止による心理的隔離、リモートデスクトップなど複数の手段を組み合わせた複合型の手口でした。

安藤ハザマとは、攻撃者がシステムへ直接侵入するのではなく、「警察」という権威を利用し、正規権限を持つ社員自身に操作や情報提供をさせた点が共通しています。

一方、被害の内容は異なります。

安藤ハザマでは、社員が名刺管理システムから約5,000件の個人情報を正規操作でダウンロードし、電子メールで相手方へ送信しました。

はてなでは、警察関係者を装う電話を起点とした一連の詐欺により、最終的に会社資金11億7,981万円が流出しました。

比較項目	安藤ハザマ	はてな
起点	警察官を名乗る人物からの連絡	警察関係者を名乗る人物から私用携帯へ電話
手口の分類	ソーシャルエンジニアリング	ボイスフィッシング型ソーシャルエンジニアリング
相手の要求	「交友関係の捜査」に必要として名刺情報を要求	資金洗浄事件の「捜査協力」を要求
主な心理操作	警察の権威、捜査協力	警察の権威、捜査への不安、口外禁止
追加手段	電子メールで情報提出	ビデオ通話、偽身分証、リモートデスクトップ
システムへの直接侵入	公表されていません	攻撃者が正規ユーザーを介して操作
正規利用者の操作	名刺情報をダウンロードして送信	会社PCやオンラインバンキング等を操作
被害	名刺情報約5,000件が流出	総額11億7,981万円の資金流出
公式な整理	警察官を名乗る人物による詐欺	特別調査委員会が「特殊詐欺」と認定

この2件は、「フィッシング対策＝不審メールや偽サイト対策」と考えるだけでは不十分であることを示しています。

警察、金融機関、監督当局など社会的な権威を持つ組織を名乗る電話を受けた場合、その場で相手の指示に従わず、一度通話を切ったうえで、公式サイトに掲載された代表番号など別経路から真正性を確認する手順が必要です。

また、捜査協力や守秘義務を理由に「上司や法務部門へ相談してはいけない」と求められた場合も、高リスクな兆候として扱うべきです。

セキュリティ対策Labでは、はてなの資金流出について「はてなの11.8億円流出はボイスフィッシングが起点-偽警察の電話・遠隔操作・二段階認証突破・正常性バイアスの悪用を徹底解説」で追跡しています。初報後に公表された特別調査委員会の報告書により、警察関係者を名乗る電話を起点とした特殊詐欺であることが明らかになりました。

また、電話を起点とする攻撃については「ボイスフィッシング（ビッシング）とは？被害事例や対策を解説」でも整理しています。

安藤ハザマは8月28日に個人情報保護委員会へ報告

安藤ハザマは本件について、8月28日に個人情報保護委員会へ報告しています。

また、情報流出の対象となった関係者に対し、個別に謝罪と状況説明を順次開始しました。

個人情報保護委員会のガイドラインでは、個人データを第三者へ誤送信した場合や、不正アクセスによって第三者へ窃取された場合などを「漏えい」の例として示しています。

今回の事案は、会社が管理するデータを社員が第三者へ実際に送信しているため、外部流出が発生した事案として安藤ハザマ自身も公表しています。

一方、8月31日時点のリリースでは、流出情報が詐欺グループによってどのように利用されたか、第三者へさらに共有されたか、対象者への不審メールなど二次被害が確認されたかについての記載はありません。

名刺情報でも二次的な標的型詐欺に利用される可能性

今回流出した情報には、会社名、部署名、役職、氏名、電話番号、メールアドレスなどが含まれます。

こうした情報は単独ではパスワードや決済情報ではありませんが、組織内の役職関係や連絡先を把握する材料となります。

今後想定されるリスクとしては、本人や所属企業を狙ったフィッシング、取引先を装う連絡、役員や上司を装ったBEC、警察や官公庁を再度装う電話などが挙げられます。

これは現時点で二次被害が確認されたという意味ではありません。

個人情報保護委員会も、漏えいしたメールアドレス宛てに第三者が不審メールや詐欺メールを送ることを、二次被害の例として示しています。

特に名刺情報は会社名・部署・役職が組み合わされるため、単なる大量配信ではなく、受信者の職務に合わせた標的型のなりすましに利用される可能性を考慮する必要があります。

再発防止は教育とデータアクセス権限の見直し

安藤ハザマは再発防止策として、個人情報保護と情報セキュリティに関する教育を実施するとともに、データアクセス権限を見直すとしています。

同社は従来から情報セキュリティを重要な経営課題と位置付け、「ルールの制定」「資産の一元管理」「物理的対策」「人的対策」の4つを柱に対策を進めてきたと説明しています。

人的対策として教育、棚卸し、監査を継続している一方、今回の事案では正規権限を持つ社員による大量ダウンロードと外部送信を止められませんでした。

今後は、誰が情報へアクセスできるかという権限設定だけでなく、大量データを一括ダウンロードできる条件、エクスポート時の承認、外部メールへの添付・送信制御なども確認点になります。

情報システム・コンプライアンス部門への示唆

今回の事案では、システムの脆弱性対策や多要素認証だけでは防ぎにくい情報流出が発生しました。

第一に、大量エクスポートを通常操作と同じ扱いにしないことが重要です。

名刺管理、CRM、顧客管理、人事、営業支援システムなどでは、日常業務で1件ずつ情報を見る権限と、数千件を一括して外部ファイルへ出力する権限を分離する必要があります。大量出力には上長承認や目的入力を求める仕組みが有効です。

第二に、DLPやメール送信制御を権限管理と組み合わせます。

正規利用者による操作でも、大量の個人情報ファイルを社外アドレスへ送信する場合は警告、保留、承認などを行えるようにします。権限が正しいことと、操作の目的が正当であることは別問題です。

第三に、警察・官公庁・監督機関からの照会対応を個人判断に委ねないことです。

捜査協力や法令対応を装う要求は、相手の権威によって断りにくくなります。所属、氏名、代表番号、公文書や照会番号を別経路で確認し、法務・コンプライアンス部門の承認を経なければ情報を提供しない運用が必要です。

第四に、セキュリティ教育を「怪しいメールをクリックしない」に限定しないことです。

今回のような攻撃では、不審URLやマルウェアが登場しない可能性があります。電話、メール、SNS、ビデオ通話などを組み合わせ、「警察」「金融機関」「経営者」「取引先」を名乗って正規操作をさせるシナリオも訓練対象にする必要があります。

第五に、名刺情報を低リスク情報として一括管理しないことです。

会社名、役職、氏名、直通番号、メールアドレスがセットになれば、標的型攻撃の精度を高めるデータになります。CRMや名刺管理システムについても、顧客情報データベースと同様に、アクセスログ、ダウンロード制御、保持期間、退職・異動時の権限見直しを行う必要があります。

今回の事案は、攻撃者がシステムを侵害しなくても、正規ユーザーに操作させることで大量の情報を取得できることを示しています。技術対策と人的対策を分離せず、「人がだまされることを前提にシステム側でどこまで被害を止められるか」を設計することが重要です。

出典

• 個人情報（名刺情報）の外部流出に係るお詫びとご報告 – 株式会社安藤・間
• 情報セキュリティ – 株式会社安藤・間
• 会社概要 – 株式会社安藤・間
• 令和8年上半期における特殊詐欺の認知・検挙状況等について（暫定値） – 警察庁
• ビデオ通話を悪用した“偽警察官・検察官”の詐欺に注意！！ – 警察庁
• 個人情報の保護に関する法律についてのガイドライン（通則編） – 個人情報保護委員会
• 漏えい等報告における「二次被害」の考え方 – 個人情報保護委員会
• ソーシャルエンジニアリングとは 手法や手口を解説 – セキュリティ対策Lab
• 特別調査委員会による調査報告書の公表及び役員報酬の一部自主返上に関するお知らせ – 株式会社はてな
• 株式会社はてな、最大約11億円の資金流出で特別調査委員会を設置 – セキュリティ対策Lab
• ボイスフィッシング（ビッシング）とは？被害事例や対策を解説 – セキュリティ対策Lab
• AIが悪用される「警察官なりすまし詐欺」が急増中：被害額は過去最多に – セキュリティ対策Lab