コロナのクラウド環境に不正アクセス　最大3万5,000名の個人情報漏洩の恐れ、ランサムウェア グループがサイバー攻撃で320GB保有を主張

住宅設備機器メーカーの株式会社コロナは2026年8月28日、施工情報を管理する外部クラウドサービスに第三者から不正アクセスがあり、顧客の個人情報を含むデータの一部が外部へ流出した可能性があると公表しました。

漏えいした可能性があるのは、同社が施工を請け負った顧客の氏名、住所、施工関連資料など最大35,000名分です。コロナは8月24日、第三者からの情報提供を受けて調査を開始し、対象クラウドサービスの全ユーザーアカウントを無効化・再設定しました。8月28日時点で情報の不正利用は確認されていません。

一方、ランサムウェアグループ「MetaEncryptor」がダークウェブのリークサイトで「Corona Corporation」を掲載し、約320GBのデータを保有していると主張しています。別の画面では「FULLDATA / PART1」として28.18GBのZIPファイルが掲載されているように見え、ファイル一覧には施工案件に関連するとみられるPDF、画像、表計算ファイルなどの名称も確認できます。

ただし、コロナはMetaEncryptorへの帰属やランサムウェア感染、320GBのデータ窃取を公式には確認していません。リークサイト上の主張や掲載ファイルの真正性についても、セキュリティ対策Labでは実ファイルを取得・展開しておらず、第三者による独立検証は行っていません。

コロナへの不正アクセスのサマリー

• コロナは2026年8月28日、施工情報を管理する外部クラウドサービスへの不正アクセスを公表しました。
• 8月24日、第三者からの情報提供を受けて調査し、顧客の個人情報を含むデータが不正に流出した可能性があることを確認しました。
• 漏えいした可能性があるのは、施工を請け負った顧客の氏名、住所、施工関連資料など最大35,000名分です。
• 8月28日時点で、漏えいした可能性のある情報の不正利用は確認されていません。
• コロナは対象クラウドサービスの全ユーザーアカウントを無効化し、再設定しました。
• 原因、被害範囲、侵入経路は外部専門家と連携して調査中です。
• 個人情報保護委員会への報告を実施済みです。
• 添付されたリークサイト画面では、MetaEncryptorが「Corona Corporation」への攻撃を主張し、データ量を320GBと表示しています。
• 同リークサイトの別画面では、「FULLDATA / PART1」として28.18GBのZIPファイルが掲載されているように見えます。
• ファイル一覧のスクリーンショットには、施工案件に関連するとみられるPDF、JPG、XLSなどのファイルパスが表示されています。
• ただし、320GBの窃取、掲載ファイルの内容・真正性、MetaEncryptorによる侵害はコロナ側では確認されていません。
• コロナはランサムウェア感染、ファイル暗号化、身代金要求について公表していません。
• リークサイトのファイルパスには「Box for Salesforce Root」との文字列が見られますが、コロナは利用していた外部クラウドサービス名を公表しておらず、BoxやSalesforce自体が侵害されたと判断できる根拠はありません。

項目	内容
公表日	2026年8月28日
事案把握	2026年8月24日
対象組織	株式会社コロナ
対象環境	施工情報を管理する外部クラウドサービス
インシデント	第三者による不正アクセス
侵入経路	調査中
漏えいした可能性がある情報	顧客の氏名、住所、施工関連資料など
対象人数	最大35,000名
実際の不正利用	8月28日時点で確認されていません
対応	対象クラウドの全ユーザーアカウントを無効化・再設定
個人情報保護委員会への報告	実施済み
MetaEncryptorの主張	Corona Corporationへの攻撃、約320GBのデータ保有
リークサイト上の掲載	「FULLDATA / PART1」として28.18GBのZIPファイルが掲載されているように見える
MetaEncryptorへの帰属	コロナは確認していません
ランサムウェア感染	コロナは公表していません
データ暗号化	コロナは公表していません
身代金要求	コロナは公表していません

8月24日、第三者からの情報提供を受けて発覚

コロナによると、2026年8月24日、同社の施工情報を管理する外部クラウドサービスについて第三者から情報提供を受けました。

調査した結果、顧客の個人情報を含むデータが不正に流出した可能性があることを確認しました。

コロナは外部の専門家と連携し、原因究明、被害範囲の特定、侵入経路の調査を継続しています。

公式発表では、不正アクセスを最初に検知したのがコロナ自身の監視システムだったとは説明されていません。「第三者からの情報提供」を契機に調査を開始したことが明記されています。

一方、その第三者が誰であったのか、MetaEncryptorのリークサイト掲載を受けた情報提供だったのかについては公表されていません。

最大3万5,000名、氏名・住所・施工関連資料に漏えいのおそれ

漏えいした可能性があるのは、コロナが施工を請け負った顧客の情報です。

同社は対象について、氏名、住所のほか施工関連資料を挙げ、最大35,000名分としています。

施工関連資料に具体的にどのような情報が含まれているのかは、8月28日の公式発表では明らかにしていません。

住宅設備の施工資料には、案件によって施工場所、設備情報、現場写真、工事内容、施工事業者との連絡記録などが含まれる可能性がありますが、コロナがこれらすべてを漏えい対象として確認したわけではありません。公式に確認されている範囲を超えて、個別項目の漏えいを断定することはできません。

また、最大35,000名は「漏えいした可能性がある」対象範囲です。35,000名全員の情報が第三者によって取得されたことが確認されたという意味ではありません。

MetaEncryptorが「Corona Corporation」を掲載、320GB保有を主張

添付されたリークサイトのスクリーンショットでは、MetaEncryptorが「Corona Corporation」を被害組織として掲載しています。

掲載画面には「Data size 320 GB」と表示されており、同グループは約320GBのデータを保有していると主張しています。

2026年8月23日には、複数のランサムウェア監視サービスもMetaEncryptorがCorona Corporationをリークサイトへ掲載したことを記録しています。

この時系列では、MetaEncryptor側の掲載が8月23日、コロナが第三者から情報提供を受けたのが8月24日、公式公表が8月28日となります。

ただし、コロナは8月28日の発表でMetaEncryptorの名称を挙げておらず、ダークウェブのリークサイトへの掲載と自社で確認した不正アクセスが同一事案であると公式には認定していません。

そのため、「MetaEncryptorがコロナを侵害したことが確認された」と断定するのではなく、「MetaEncryptorが犯行声明を出している」と整理する必要があります。

関連：YouTube解説：ダークウェブとは？盗まれた企業情報の行方とランサムウェアのリークサイトを解説

「FULLDATA / PART1」に28.18GBのZIPファイルを掲載

添付された別のスクリーンショットでは、MetaEncryptorのリークサイトとみられるページに「Corona Corporation > FULLDATA > PART1」と表示され、「corona_part1.zip」というZIPファイルが掲載されています。

画面上のファイルサイズは28.18GBです。

ダウンロード操作が可能なように見えるアイコンも表示されています。このため、少なくともリークサイト上では、MetaEncryptorがデータの一部を公開または取得可能な状態にしていると主張していることが分かります。

ただし、セキュリティ対策Labでは当該ZIPファイルを取得・展開していません。

したがって、28.18GBのアーカイブが実際にコロナから取得されたデータなのか、ファイルが正常に取得できる状態なのか、320GBという総量の主張とどのような関係にあるのかは確認していません。

「攻撃者が320GBを実際に窃取した」「320GBすべてを公開した」と断定する根拠にはなりません。

ファイル一覧には施工案件関連とみられるPDF・画像・表計算ファイル

 

リークサイトでは、複数のファイルパスに施工案件を示すとみられるフォルダ名や、PDF、JPG、XLS形式のファイル名が表示されています。

表示されている名称からは、施工依頼書、見積書、図面、完了報告書、現場写真、自己検査報告書など、施工業務に関連するとみられるファイルが含まれているように見えます。

また、パス中には住宅関連企業や施工案件名とみられる名称も確認できます。

これは、コロナが公式発表で「施工関連資料」が漏えいした可能性を公表していることと、情報の種類としては整合する部分があります。

しかし、リークサイトのファイル一覧が真正なコロナのデータであることを、この一致だけで確認することはできません。

また、スクリーンショットには個人名とみられる文字列も含まれていますが、二次的な個人情報拡散を避けるため、本記事では個人名を転載しません。

コロナはランサムウェア感染を確認していない

MetaEncryptorは、2023年からセキュリティ企業によって観測されているランサムウェア／多重脅迫型の攻撃グループ名です。

2023年にはGuidePoint SecurityなどがMetaEncryptorの活動を確認し、BleepingComputerやSentinelOneは、その後登場したLostTrustとMetaEncryptorのリークサイトや暗号化ツールに強い類似性があると報告しています。

一方、コロナの今回の発表には「ランサムウェア」という表現はありません。

同社が確認しているのは、施工情報を管理する外部クラウドサービスへの第三者からの不正アクセスと、情報が外部へ流出した可能性です。

社内ファイルの暗号化、システム停止、ランサムノート、身代金要求など、典型的なランサムウェア感染を示す事象は公表されていません。

そのため、本件を現時点で「コロナがランサムウェア被害を受けた」と公式確認事項として扱うことはできません。

MetaEncryptorが犯行声明を出している事実と、コロナがランサムウェア感染を確認したかどうかは分ける必要があります。

MetaEncryptorとは

ランサムウェアグループ「MetaEncryptor（Metaencryptor）」が2026年に再び活動を活発化させています。

米Palo Alto Networks Unit 42や欧州CERT-EUの資料では、2023年にリークサイト上で活動が確認されたランサムウェアオペレーションとして記録されています。その後、LostTrustと呼ばれる別ブランドとの強い技術的関連が指摘され、一時的に活動が目立たなくなったものの、2025年から2026年にかけてMetaEncryptor名義の掲載が再び増えています。

本記事では、米国、英国、EU、イスラエルなどの政府機関や大手セキュリティ企業の情報を基に、MetaEncryptorの活動時期、LostTrustとの関係、2026年の再浮上、現在確認できる攻撃手法と未確認事項を整理します。

全ユーザーアカウントを無効化・再設定

コロナは本件を把握した後、対象となった外部クラウドサービスの全ユーザーアカウントをただちに無効化し、再設定しました。

全アカウントを対象としていることから、同社は不正アクセス後の認証情報やセッションを信頼せず、アクセス権をリセットする対応を取ったことになります。

ただし、公式発表では、パスワード漏えいが確認されたのか、多要素認証が設定されていたのか、APIキーやOAuthトークンなどの認証情報が影響を受けたのかは公表していません。

原因究明、侵入経路、被害範囲の調査は継続中です。

個人情報保護委員会へ報告、8月31日に相談窓口開設

コロナは、本件について個人情報保護委員会へ報告しています。

対象者への具体的な個別通知方法については8月28日の発表では明らかにしていませんが、8月31日から個人情報相談窓口を開設する予定です。

また、業績予想への影響については現在精査中で、今後、開示すべき事項が発生した場合は速やかに公表するとしています。

警察への相談や被害届の提出については、8月28日の公式発表からは確認できませんでした。

施工関連情報を使ったフィッシングや取引先詐称に注意

8月28日時点で、コロナは漏えいした可能性のある情報の不正利用を確認していません。

ただし、氏名、住所、施工関連資料が実際に第三者へ取得されていた場合、一般的なメールアドレス流出とは異なる二次被害が想定されます。

施工業者、住宅メーカー、設備会社などを装い、「点検」「修理」「施工内容の確認」「見積もり変更」「請求先変更」などを理由にした連絡へ悪用される可能性があります。

施工案件名や取引関係、現場情報などが含まれていた場合、実在する案件を前提とした標的型メールやBEC、電話によるソーシャルエンジニアリングの精度が高まる可能性もあります。

ただし、これらは現時点で確認された二次被害ではなく、漏えいが実際に発生していた場合に想定されるリスクです。

情報システム部門への示唆

今回の事案は、外部クラウドサービスを利用していても、クラウド上の顧客・施工データに対するアクセス管理と侵害監視が利用企業側の重要な責任として残ることを示しています。

まず確認したいのは、ユーザーアカウントだけでなく、APIキー、OAuthトークン、サービスアカウント、連携アプリ、外部共有リンクなど、クラウドへアクセスできるすべての認証経路です。インシデント時に全ユーザーのパスワードを変更しても、長期間有効なAPIトークンが残っていればアクセスを継続される可能性があります。

次に、クラウド監査ログから大量ダウンロード、異常なAPI呼び出し、新規端末・海外IPからのアクセス、外部共有設定の変更などを検知できるようにする必要があります。

施工資料のようにファイル単位で大量の機密情報を保有する環境では、通常利用と比較して異常な件数・容量のダウンロードを検知するDLPやCASB、SaaS側の監査機能も重要です。

また、SalesforceやBoxなど複数SaaSを連携している環境では、個々のSaaSだけを見るのではなく、連携アプリやSSO、OAuth権限を含めた「クラウド間の信頼関係」を資産として管理する必要があります。

今回、リークサイトのパスに「Box for Salesforce Root」と表示されているとしても、それだけで特定クラウド事業者の基盤侵害を意味するわけではありません。利用企業側のアカウント、連携アプリ、設定、トークンなど、複数の可能性を切り分けて調査することが重要です。

最後に、脅威アクターの犯行声明と公式調査結果を分離して管理する必要があります。「320GBを保有している」という攻撃者側の主張は重要なインテリジェンスですが、公式に確認された最大35,000名の影響範囲や、実際に取得されたデータ量とは別の情報です。

出典

• 当社が利用するクラウドサービスへの不正アクセスによる個人情報漏えいの可能性に関するお知らせ（お詫び） – 株式会社コロナ
• 印刷用PDF「当社が利用するクラウドサービスへの不正アクセスによる個人情報漏えいの可能性に関するお知らせ（お詫び）」 – 株式会社コロナ
• GRIT Ransomware Report: August 2023 – GuidePoint Security
• Meet LostTrust ransomware — A likely rebrand of the MetaEncryptor gang – BleepingComputer
• LostTrust Ransomware: Multi-Extortion Threat with SFile Traits – SentinelOne