エリッツ、入居申込者の個人情報流出の可能性　クラウド保管ファイルのアクセス制限に脆弱性

賃貸不動産仲介を手がける株式会社エリッツは2026年8月20日、入居申込者との間で電子メールにより取り交わした情報を保管するクラウド環境について、アクセス制限に脆弱性が存在していたと公表しました。

脆弱性は8月17日、外部の調査会社からの指摘によって判明し、アクセス制限の不備は同日中に改善したとしています。

対象となる可能性があるのは、2021年4月3日から直近日までに入居申込者との間で取り交わされた情報を格納したファイルで、一部には個人情報が記載された文書などが含まれています。

ただし、8月20日時点で個人情報が実際に外部へ流出した事実は確認されておらず、流出の有無や対象件数は調査中です。今回の公表は「個人情報流出の可能性」に関する第一報であり、不正アクセスや情報流出が確認された事案と断定することはできません。

エリッツの個人情報流出可能性のサマリー

• 【確認済み】株式会社エリッツは2026年8月20日、「個人情報流出の可能性に関するお知らせ（第1報）」を公表しました。
• 【確認済み】入居申込者との電子メールで取り交わした情報を格納するファイルをクラウド環境で保管していました。
• 【確認済み】クラウド環境のアクセス制限に脆弱性が存在することが8月17日に判明しました。
• 【確認済み】脆弱性は外部の調査会社からの指摘によって判明しました。
• 【確認済み】アクセス制限の不備は8月17日中に改善済みです。
• 【確認済み】対象となる可能性があるファイルには、2021年4月3日から直近日までに入居申込者との間で取り交わした情報が保存されています。
• 【確認済み】一部のファイルには個人情報が記載された文書などが含まれています。
• 【確認できず】個人情報が実際に外部へ流出した事実は、8月20日時点で確認されていません。
• 【確認できず】流出の有無、対象人数・件数、個人情報の具体的な項目は調査中です。
• 【確認できず】第三者による不正アクセスが実際に行われたかは公表されていません。
• 【確認できず】個人情報保護委員会への報告、警察への相談・通報については第一報では確認できませんでした。
• 【確認できず】クラウドサービス名、脆弱性の具体的な内容、アクセス可能だった範囲は公表されていません。

項目	内容
公表日	2026年8月20日
判明日	2026年8月17日
対象組織	株式会社エリッツ
インシデント	クラウド環境で保管するファイルのアクセス制限に脆弱性
判明経緯	外部の調査会社からの指摘
対象となる可能性がある期間	2021年4月3日から直近日まで
対象情報	入居申込者との電子メールで取り交わされた情報。個人情報を記載した文書などを一部含む
個人情報流出	有無を調査中
対象件数	調査中
不正アクセス	実際に行われたかは確認できませんでした
対応	アクセス制限の不備を8月17日に改善
個人情報保護委員会への報告	第一報では確認できませんでした
警察への相談・通報	第一報では確認できませんでした

クラウド環境のアクセス制限に脆弱性

エリッツによると、同社は入居申込者との間で電子メールにより取り交わした情報を格納するファイルをクラウド環境で保管しています。

このクラウド環境について、アクセス制限に脆弱性が存在することが8月17日に外部の調査会社から指摘されました。

同社はアクセス制限の不備について、指摘を受けた当日に改善したとしています。

第一報では、具体的にどのような設定や機能に不備があったのか、認証なしでアクセス可能だったのか、特定URLを知る第三者のみがアクセスできる状態だったのかといった技術的な詳細は明らかにされていません。

また、利用していたクラウドサービスの名称も公表されていません。

そのため、現段階で設定ミス、既知脆弱性、認証不備など特定の原因を推測することはできません。

2021年4月3日以降の入居申込者とのやり取りが対象

対象となる可能性があるファイルには、2021年4月3日から直近日までに入居申込者との間で取り交わされた情報が格納されています。

このうち一部には、個人情報が記載された文書なども含まれているとしています。

ただし、第一報では個人情報の具体的な項目は示されていません。対象となる人数やファイル数についても調査中です。

個人情報の「流出可能性」であり、流出確認ではない

今回の第一報で重要なのは、個人情報の外部流出が確認されたわけではない点です。

エリッツは、個人情報が実際に外部へ流出した事実の有無と、仮に流出が確認された場合の対象件数について現在調査中と説明しています。

したがって、現段階では「個人情報が漏えいした」「第三者が個人情報を取得した」と断定することはできません。

また、アクセス制限に脆弱性が存在していたことは確認されていますが、第三者が実際にその脆弱性を利用してファイルへアクセスしたかどうかも公表されていません。

今後の調査では、アクセスログやクラウド側の監査記録などを基に、第三者からのアクセス履歴、ファイル閲覧・ダウンロードの有無、影響を受けた情報の範囲を確認できるかが焦点となります。

外部調査会社の指摘で判明

今回の問題は、外部の調査会社からの指摘によって判明しました。

第一報には、外部調査会社がどのような経緯で脆弱性を発見したのかは記載されていません。

一般に、クラウド上のファイル共有やストレージでは、公開範囲やアクセス権限の設定を誤ることで、意図しない第三者からファイルへ到達可能になるリスクがあります。

ただし、本件が一般的なクラウド設定ミスによるものか、システム固有の脆弱性によるものかは現時点で確認できません。

エリッツは8月17日の指摘後、アクセス制限の不備を即日改善しています。

エリッツはプライバシーマーク取得事業者

エリッツは京都市に本社を置き、賃貸マンションの仲介、法人向け賃貸仲介、マンスリーマンション、テナント仲介などを展開しています。

同社公式サイトによると、一般財団法人日本情報経済社会推進協会（JIPDEC）からプライバシーマークの付与事業者として認定されています。

今回の第一報では、個人情報保護委員会やJIPDECへの報告状況については記載されていません。

今後は流出の有無と対象件数が焦点

エリッツは、個人情報が実際に外部へ流出した事実の有無について調査を続け、流出が確認された場合には対象件数なども含めて改めて公表するとしています。

今後の続報では、第三者からの不正アクセスが実際に確認されたか、ファイルの閲覧やダウンロードが行われたか、個人情報の具体的な項目、対象人数・件数、アクセス制限に脆弱性が生じた原因、影響期間、個人情報保護委員会への報告や対象者への通知状況、二次被害の有無、再発防止策などが確認ポイントになります。

第一報の段階では情報が限定されているため、これらを推測で補完せず、続報を待つ必要があります。

情報システム部門への示唆

今回の事案は、クラウドストレージやファイル共有環境のアクセス制御が、情報漏えいリスクに直結することを改めて示しています。

企業では、クラウドサービスを導入する際に初期設定だけを確認するのではなく、公開範囲、共有リンク、認証方式、アクセス権限を継続的に監査する必要があります。

特に、顧客や取引先からメールで受領したファイルをクラウドへ集約している場合、保存期間が長期化すると、一つのアクセス制御不備が数年分の情報に影響する可能性があります。

情報システム部門では、「誰がアクセスできるか」「外部から到達できるか」「共有リンクが残っていないか」「アクセスログを十分な期間保持しているか」を定期的に確認することが重要です。

また、今回のように外部からの指摘で問題が判明するケースを考えると、クラウド設定の定期診断や外部公開資産の継続監視も有効です。

インシデント発生時に流出の有無を判断するには、クラウド側の監査ログやファイルアクセス履歴が不可欠です。ログ保持期間が短い場合、過去のアクセス状況を確認できず、「流出を否定できない」という判断に至る可能性があります。

出典

• 個人情報流出の可能性に関するお知らせ（第1報） – 株式会社エリッツ
• 会社概要 – 株式会社エリッツ
• 企業情報 – 株式会社エリッツ
• 個人情報の取り扱いについて – 株式会社エリッツ