穴吹興産、ランサムウェアで顧客や役職者等の個人情報漏洩の恐れ、Qilinが犯行を主張|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年04月05日更新日時: 2026年04月05日

穴吹興産は2026年4月3日、2月3日に確認したランサムウェアによるサイバー攻撃の被害に関する第4報を公表しました。今回の続報では、漏えいの可能性が否定できない個人情報の類型として、不動産商談・取引に関する顧客情報、中途採用候補者情報、役員・従業員・元従業員情報の3区分を明示しています。

1 概要
2 漏えいの可能性がある個人情報
3 Qilinが犯行主張との関係
4 サイバー攻撃が関連会社にも波及
5 情報システム部門が押さえるべきポイント

概要

穴吹興産によると、異常を検知したのは2026年2月3日です。システム監視によりランサムウェア攻撃による異常を検知し、暗号化被害の発生を確認したため、直ちに対象機器を社内ネットワークおよびインターネットから遮断しました。その後、関係機関への届出と被害拡大防止措置を進め、安全が確認された機器から順次稼働を再開しているとしています。

さらに、外部専門機関の協力を得た調査の中で、ダークウェブ上のリークサイトに当社関連とみられる情報が掲載されていることを確認し、個人情報と社内情報の一部が外部に漏えいした事実を確認したとしています。現時点でも、二次被害防止の観点から外部専門機関による調査は継続中です。

関連記事：2026年ランサムウェアの事例-国内・海外の最新被害を解説

漏えいの可能性がある個人情報

第4報で新たに具体化されたのは、漏えいの可能性が否定できない個人情報の範囲です。

1つ目は、不動産に関する商談および取引に係る顧客情報の一部で、氏名、住所、電話番号などが含まれます。

2つ目は、中途社員採用活動における候補者情報の一部で、氏名、住所、職務経歴、生年月日などです。

3つ目は、役員、従業員、元従業員の情報の一部で、氏名、住所、電話番号、生年月日、異動履歴などが含まれます。

同社は、対象者や保有状況によって含まれる情報は異なるとしており、なお詳細確認を続けています。

また、クレジットカード情報は保有しておらず、Jointo α 不動産投資クラウドファンディング会員情報は今回の対象に含まれていないと明記しています。すでに対象を特定できた人には、漏えいの事実または可能性に関する案内と注意喚起を個別に行っているとしています。

Qilinが犯行主張との関係

アサヒグループにもサイバー攻撃を行ったランサムウェアグループQilinがダークウェブ上のリークサイトで同社への犯行声明を主張しています。

画面上には、管理関連書類、図面、一覧表、申込書類とみられる資料に加え、本人確認書類とみられる画像も並んでおり、攻撃者側が不動産・管理業務に関わる多様な文書を保有しているかのように見せています。

セキュリティ対策Labで確認すると決算書類やパスポートを確認できましたが、一方、個人情報のリストなどは確認できませんでした。

サイバー攻撃が関連会社にも波及

まず、穴吹興産側の記事に追加すべきポイントとしては、今回のランサムウェア被害が同社単体ではなく、グループ会社の通信機器への攻撃(穴吹興産)を起点に社内ネットワークへ不正アクセスされたと、あなぶきハウジングサービスの第5報で説明されている点です。つまり、関連会社経由で侵入範囲が広がったことが確認されており、穴吹興産グループ全体の情報が影響を受けた可能性があります。

情報システム部門が押さえるべきポイント

今回の第4報で重いのは、漏えいの有無そのものではなく、影響対象が顧客、採用候補者、役職員まで広がっている点です。営業情報だけでなく、人事情報や採用関連情報も含まれるため、ランサムウェア被害が事業部門横断の情報管理リスクへ発展していることが分かります。加えて、ダークウェブ掲載の確認後に会社側も一部漏えいを認めており、暗号化だけでなく情報窃取を伴う典型的な二重脅迫型の構図として見る必要があります。

また、同社がオンプレミス刷新とクラウドネイティブ移行、ゼロトラスト、ID管理基盤を打ち出した点からも、今回の事案を単発の端末感染ではなく、認証、ネットワーク、基盤設計の問題として捉えていることが読み取れます。