三井不動産、一部システムへの不正アクセスで最大5万5,000件の個人情報に漏えいの可能性　資格情報の不正利用を確認

三井不動産株式会社は2026年9月1日、同社グループが利用する一部システムへの不正アクセスにより、三井不動産およびグループ会社の役職員等、社外関係者の一部情報が外部に漏えいした可能性があると公表しました。

同社は8月28日に不正アクセスを確認し、調査の結果、一部システムに係る資格情報が不正に利用され、第三者から情報の一部を閲覧された可能性があることを確認しました。

漏えいした可能性のある個人情報は、三井不動産およびグループ会社の役職員等に関する氏名、メールアドレス、部署、役職が最大1万9,000件、社外関係者のメールアドレスとメール表示名が最大3万6,000件です。合計では最大5万5,000件となります。

ただし、これは漏えいした可能性のある情報の最大件数であり、すべてが実際に第三者へ閲覧・取得されたことを確認したものではありません。また、現時点の調査では、メール、チャット、ファイルなどの業務情報やパスワードの漏えいは確認されていません。

三井不動産の不正アクセスのサマリー

• 三井不動産は2026年9月1日、一部システムへの不正アクセスを公表しました。
• 不正アクセスを確認したのは2026年8月28日です。
• 一部システムに係る資格情報が不正に利用されていました。
• 第三者から情報の一部を閲覧された可能性があります。
• 役職員等の氏名、メールアドレス、部署、役職が最大1万9,000件、漏えいした可能性があります。
• 社外関係者のメールアドレス、メール表示名が最大3万6,000件、漏えいした可能性があります。
• 最大件数を単純合計すると5万5,000件ですが、すべてが実際に閲覧・取得されたことを確認したものではありません。
• メール、チャット、ファイルなどの業務情報の漏えいは現時点で確認されていません。
• パスワードなどの漏えいも確認されていません。
• 不正アクセスに利用された資格情報等は無効化されています。
• 対象システムの監視を強化しています。
• 影響範囲、侵入経路、原因は調査中です。
• 個人情報保護委員会と関係官庁へ報告済みです。
• 漏えいした可能性のある情報を悪用したフィッシングメールなどへの注意を呼びかけています。

項目	内容
公表日	2026年9月1日
不正アクセス確認日	2026年8月28日
対象組織	三井不動産株式会社および三井不動産グループ
対象システム	同社グループが利用する一部システム
インシデント	一部システムへの不正アクセス
確認された事象	一部システムに係る資格情報の不正利用
侵入経路	調査中
原因	調査中
漏えいした可能性のある情報	役職員等：氏名、メールアドレス、部署、役職／社外関係者：メールアドレス、メール表示名
対象件数	役職員等 最大1万9,000件、社外関係者 最大3万6,000件
合計最大件数	最大5万5,000件
実際の閲覧・取得	すべての情報について確認されたわけではありません
業務情報	メール、チャット、ファイル等の漏えいは現時点で未確認
パスワード	漏えいは現時点で未確認
対応	資格情報等の無効化、監視強化、影響範囲・侵入経路・原因の調査
個人情報保護委員会への報告	実施済み
関係官庁への報告	実施済み

8月28日に不正アクセスを確認

三井不動産は8月28日、同社が利用する一部システムへの不正アクセスを確認しました。

その後の調査で、一部システムに係る資格情報が不正に利用され、第三者から情報の一部を閲覧された可能性があることを確認しています。

一方、資格情報が具体的にどの種類の認証情報だったのか、どのように取得・悪用されたのかは公表されていません。不正アクセスの開始時期、アクセス元、攻撃者、脆弱性悪用の有無も現時点では明らかになっていません。

最大5万5,000件の個人情報に漏えいの可能性

三井不動産が現時点で確認している漏えい可能性のある情報は、対象によって異なります。

三井不動産およびグループ会社の役職員等については、氏名、メールアドレス、部署、役職が最大1万9,000件です。

社外関係者については、メールアドレスとメール表示名が最大3万6,000件です。

最大件数を合計すると5万5,000件ですが、三井不動産は、すべてが実際に第三者へ閲覧・取得されたことを確認したものではないと明記しています。

このため、「5万5,000件の個人情報が漏えいした」と断定することはできません。

メール・チャット・ファイルやパスワードの漏えいは未確認

三井不動産は、現時点の調査において、メール、チャット、ファイルなどの業務情報やパスワードなどの漏えいは確認されていないとしています。

今回公表された影響範囲は、現時点では役職員等のプロフィール情報や社外関係者のメールアドレス・表示名が中心です。

ただし、影響範囲、侵入経路、原因については調査が続いており、今後内容が更新される可能性があります。

不正利用された資格情報等を無効化

三井不動産は、不正アクセスの判明後、不正アクセスに利用された資格情報等を無効化しました。

さらに、対象システムへの監視を強化し、影響範囲、侵入経路、原因の調査を進めています。

個人情報保護委員会と関係官庁への報告も実施済みです。

一方、警察への届出や相談、対象者への個別通知の有無については、9月1日の公表資料では確認できませんでした。

「資格情報の不正利用」と「パスワード漏えい未確認」は分けて考える必要

今回の公表で重要なのは、一部システムに係る資格情報が不正に利用されたことが確認されている一方、パスワードなどの漏えいは確認されていない点です。

「資格情報」にはパスワード以外の認証情報が含まれる場合がありますが、三井不動産は不正利用された資格情報の種類を明らかにしていません。

そのため、アクセストークンやAPIキー、セッション情報など特定の認証情報が悪用されたと推測することはできません。

現時点で確認できるのは、「資格情報の不正利用」が確認されたことと、「パスワードなどの漏えいは確認されていない」という2点です。

社外関係者はメールアドレスと表示名が対象

今回の対象には、三井不動産グループの役職員等だけでなく、社外関係者も含まれています。

社外関係者について漏えいした可能性がある情報は、メールアドレスとメール表示名で最大3万6,000件です。

ただし、「社外関係者」の具体的な範囲について、取引先、委託先、顧客などの内訳は公表されていません。

フィッシングメールやなりすましに注意喚起

三井不動産は、漏えいした可能性のある情報がフィッシングメールなどに悪用される可能性があるとして注意を呼びかけています。

同社グループの役職員等を装った不審メールを受信した場合、メール本文中のURLへのアクセス、添付ファイルの開封、個人情報等の入力・回答を行わないよう求めています。

氏名、部署、役職、メールアドレスなどは、標的型メールやBECの説得力を高めるために悪用される可能性があります。

ただし、今回の情報を悪用したフィッシングやBECなどの二次被害が実際に発生したとの公表はありません。現時点では今後想定されるリスクとして注意が必要です。

情報システム部門への示唆

今回の事案では、「脆弱性を悪用された」とは公表されておらず、「一部システムに係る資格情報が不正に利用された」ことが確認されています。

情報システム部門では、パスワードだけでなく、認証に利用する資格情報全体を対象に、長期間有効な認証情報の有無、不要なサービスアカウント、資格情報のローテーション、異常なログイン元、通常と異なる大量閲覧などを確認する必要があります。

また、役職員の氏名、部署、役職、メールアドレスといった情報は、機密ファイルそのものではなくても、標的型メールやBEC、なりすまし連絡に悪用される可能性があります。

インシデント対応では「機密情報が盗まれたか」だけを見るのではなく、外部に知られた情報を攻撃者が次の攻撃へどう利用できるかまで想定することが重要です。

今後の確認ポイントは、不正利用された資格情報の種類、資格情報が取得された経緯、侵入経路、実際に第三者が閲覧した情報の範囲、対象者への通知、追加の漏えい情報の有無です。

出典

• 不正アクセスによる情報漏えいの可能性について – 三井不動産株式会社