Speeeグループ4サービスに不正ログイン、延べ3,822件の個人情報に閲覧・取得の可能性　イエウール・ヌリカエなどが対象

株式会社Speeeは2026年10月22日、同社とグループ会社の株式会社ReFactが提供する不動産・リフォーム関連サービスで、第三者による不正ログインが発生したと公表しました。「イエウール」「すまいステップ」「Housii」「ヌリカエ」の4サービスが対象で、利用者の氏名、連絡先、物件の所在地などが閲覧・取得された可能性があります。

各社の個別発表では、対象情報はSpeee側が延べ853件、ReFact側が延べ2,969件です。単純合計は延べ3,822件ですが、これは個別資料で示された対象件数を足したもので、漏えいが確認された件数や重複を除いた実人数を意味しません。両社は正規のID・パスワードが不正ログインに使われたと説明し、認証情報の入手経路を調べています。

Speee・ReFactへの不正ログインのサマリー

• 公表日：2026年10月22日。検知・確認日は同月16日。
• 対象サービス：Speee運営の「イエウール」「すまいステップ」「Housii」と、ReFact運営の「ヌリカエ」。
• 不正ログイン先：「イエウール」「すまいステップ」の加盟店向け管理画面が計2アカウント、「Housii」の利用者アカウントが1件、「ヌリカエ」の加盟店向け管理画面が1アカウント。
• 発生期間：Speee側は10月3～16日、ReFact側は10月16日。いずれも海外のサーバー経由でアクセスされました。
• 個人情報への影響可能性：Speee側は延べ853件、ReFact側は延べ2,969件。単純合算で延べ3,822件。
• 対象情報：氏名、電話番号、メールアドレス、住所、不動産やリフォーム対象物件の所在地などの全部または一部。
• 利用者のパスワードは、今回閲覧・取得された可能性がある個人情報の項目に含まれていません。
• 原因：正規のログインIDとパスワードを使用。両社はシステムの脆弱性が悪用された形跡を確認しておらず、認証情報の入手経路は調査中です。
• 対応：10月16日中に当該アカウントのパスワード変更等を実施。10月19日以降、該当する不正アクセス元の接続を遮断しました。
• 個人情報保護委員会への報告：10月22日。対象者への個別メール通知はSpeee側が26日以降、ReFact側が22日以降に順次実施する方針です。

4サービスの影響範囲と対象件数

Speeeの延べ853件は3サービス全体の対象件数であり、イエウール、すまいステップ、Housiiそれぞれの件数は個別に示されていません。加盟店向け管理画面のアカウント数を、被害を受けた不動産会社の数や個人情報の件数と混同することもできません。

ReFactは「ヌリカエ」について、クレジットカード情報、銀行口座情報、本人確認書類を預かっていないと説明しています。したがって、これらの情報は同社が今回公表した影響対象に含まれません。

10月3日から不正ログイン　10月16日に検知し当日中に遮断措置

Speeeの個別資料によると、第三者は10月3日から16日にかけて海外のサーバーを経由し、イエウールとすまいステップの加盟店向け管理画面計2件にログインしました。Housiiでは利用者アカウント1件への不正ログインも確認されています。

ReFactのヌリカエでは、10月16日に加盟店であるリフォーム会社向け管理画面1件への不正ログインが発生しました。両社は同日、問題を検知・確認し、対象アカウントのパスワード変更などによって第三者がログインできない状態にしたとしています。

10月19日以降には不正なアクセス元からの接続を遮断。各社は、対策後に同じアクセス元からのログインが成功していないことを確認したと説明しています。今後はログインの仕組みの見直しも進める方針です。

原因は正規のID・パスワードの不正使用　認証情報の入手方法は調査中

今回の不正ログインには、加盟店向け管理画面の正規のID・パスワードが使用されました。Housiiでも、対象利用者の正規の認証情報が使われています。

両社は、10月22日時点で自社システムの欠陥や脆弱性を突かれた形跡を確認していません。ただし、ID・パスワードがどのように第三者へ渡ったかは特定していません。このため、フィッシングや他サービスから流出したパスワードの使い回しなど、特定の窃取手法を原因として断定することはできません。

実際に管理画面への不正ログインが確認されたことと、対象の個人情報すべてが外部に持ち出されたことも別の事実です。両社は「閲覧・取得された可能性がある情報」の件数として公表しています。

不動産・リフォーム検討者に届く不審な電話やSMSに注意

氏名・連絡先と物件の所在地などが結び付いた情報は、不動産査定や外壁塗装の相談をした人に対し、実在する加盟店やサービスを装って連絡する際に悪用されるおそれがあります。例えば、現地調査の日程確認、査定内容の確認、契約金の支払いなどを口実とした電話・SMS・メールが想定されますが、こうした手口が今回実際に使われたと確認されたわけではありません。

10月22日の発表時点で、Speee・ReFactはいずれも、本件で取得された情報が悪用された事実を確認していないと説明しています。利用者には、不審なリンクや添付ファイルを開かないこと、突然の支払いや追加の個人情報の提供を求められても応じず、公式に確認した問い合わせ窓口へ連絡することを呼び掛けています。実在する会社名・物件情報が記載されていても、それだけでは正規の連絡と判断できません。

認証情報を入力させる偽サイトへの誘導はフィッシング詐欺の手口と対策でも解説しています。Speee・ReFactとも、利用者にパスワードを尋ねることはないと明示しています。

10月22日と26日から対象者に順次メールで連絡

Speeeは対象者に10月26日以降、ReFactは10月22日以降、メールで個別に連絡すると発表しました。連絡先の変更などにより通知できない場合、公式発表を個別通知に代えるとしています。自身が対象かどうかの照会には本人確認のうえで回答する方針です。加盟店に対しては別途個別に案内します。

両社は、別サービスでも同じID・パスワードを使っている利用者に、その別サービス側のパスワードも変更するよう案内しています。管理画面の利用組織では、自社に届く事業者からの通知を確認し、該当アカウントの認証情報変更、不要アカウントの削除、不審なログイン・操作の確認を進めることができます。

同日公表の「Studio」への不正アクセスは別事案

Speeeグループは10月22日、Webサイト制作サービス「Studio」への不正アクセスに伴う影響も別途公表しています。Studio事案では、ReFactが運営する「ヌリカエ」「リフォスム」「Budii」の事業者向けサイトなどに設置したフォームや、ThinQ Healthcareが運営する製品紹介サイトのフォーム送信情報が対象となる可能性を説明しました。

これに対し、今回のイエウール・すまいステップ・Housii・ヌリカエに関する発表は、各サービスの正規アカウントを悪用した不正ログインです。Studio側で説明されたWeb制作プラットフォームへの侵入とは、侵害された仕組みと対象情報が異なります。両資料の影響件数を、同じインシデントの被害として合算することはできません。

Studioへの不正アクセスの経緯と影響は、セキュリティ対策LabのStudio不正アクセスに関する記事でも整理しています。

出典

• 当社グループのサービスへの不正ログインに関するお詫びとお知らせ（2026年10月22日） – Speee
• 当社サービスへの不正ログインに関するお詫びとお知らせ（2026年10月22日・Speee個別資料）
• 当社サービスへの不正ログインに関するお詫びとお知らせ（2026年10月22日・ReFact個別資料）
• 外部サービス「Studio」への不正アクセスによる当社グループへの影響に関するお詫びとお知らせ（2026年10月22日） – Speee