三井不動産株式会社は2026年9月1日、同社グループが利用する一部のシステムへの不正アクセスにより、最大約5万5,000件の情報が外部に漏えいした可能性があると公表した。
事案の詳細
公表によると、2026年8月28日に同社グループが利用する一部システムへの不正アクセスを確認し、調査を行ったところ、当該システムに係る資格情報（IDやパスワード等のログイン情報）が第三者に不正に利用され、正規の利用者になりすます形でシステムにアクセスされ、保存されていた情報の一部が閲覧された可能性が判明した。
被害の内容は「システム閲覧」によるものであり、閲覧された可能性のある情報として、三井不動産およびグループ会社の役職員等に関する氏名・メールアドレス・部署・役職などの情報と、社外関係者（取引先等）のメールアドレスや表示名などの情報が含まれるとされている。これらを合計すると最大約5万5,000件となるが、現時点で業務メール本文やチャット内容、ファイル、パスワードなどが実際に取得・流出した事実は確認されていないと説明されている。一方で、第三者による閲覧の可能性がある以上、情報漏えいの可能性を前提に影響範囲を整理し、最大約5万5,000件に及ぶ可能性があるとしている。
今回の発表は、外部からの侵入手口として「資格情報の不正利用」が中心に据えられている点が特徴だ。攻撃者がシステムの脆弱性を直接突くのではなく、正当なアカウントの資格情報を用いてログインし、内部の情報に到達する形で被害が発生したことが読み取れる。現時点で、資格情報がどのような経緯で不正利用に至ったか（フィッシング、情報漏えい、マルウェア感染など）の詳細は公表されておらず、詳細は現時点で不明である。
影響と背景
最大約5万5,000件という規模は、同社グループの役職員や社外関係者を含む情報管理に対する影響が小さくない。資格情報が不正利用されると、アクセスがログ上は「正規の操作」として記録されるため、不審な挙動を検知しにくく、発見の遅れや被害範囲の把握の難しさにつながり得る点が、今回の事案からも示唆される。
また、今回の事案では、現時点でメール本文やファイル、パスワード等の漏えいは確認されていないものの、氏名やメールアドレス、部署・役職などの情報が閲覧された可能性があるとされており、標的型メール攻撃（ビジネスメール詐欺やフィッシングなど）やソーシャルエンジニアリングに悪用されるリスクも懸念される。こうした情報は、攻撃者にとって組織構造や人間関係を把握する材料となり、さらなるサイバー攻撃の足掛かりになり得る。
対策・今後の展望
- アカウント管理の強化：パスワードの適切な管理や定期的な更新、不要なアカウントの棚卸し・削除、多要素認証（MFA）の導入など、資格情報が悪用されにくい運用の徹底が重要となる。また、退職者や異動者のアカウントを速やかに無効化し、共有アカウントの利用を最小限にすることも有効だ。
- アクセス状況の監視：通常と異なるログイン時間帯や接続元、短時間での大量閲覧など、閲覧型の不正を早期に察知できるよう、ログの取得と監視体制の整備が求められる。SIEMやMDRなどのサービスを活用し、正規IDによる不審なアクセスパターンを検出する仕組みを構築することが望ましい。
- 影響範囲の把握と説明：閲覧された可能性のある情報をできる限り特定し、対象となる役職員や社外関係者への案内、問い合わせ窓口の設置、再発防止策の明確化を進めることが、信頼回復の観点でも欠かせない。今回のように、実際に流出が確認されていない情報についても「漏えいの可能性」を前提に説明する姿勢が、インシデント対応において重要となる。
CSRIからの現場アドバイス
【現場で何が起きているか】CSRIが支援する中小企業のMDR運用では、「正規IDでの深夜ログイン」「普段触らない共有フォルダの連続閲覧」など、正規アカウントを悪用したアクセスが頻出している。診断でも、退職者IDの残存や権限過大のまま放置されているケースが目立ち、なりすましに弱い状態が多く見られる。
【平易な解説】例えるなら、会社の合鍵が外に出回り、正規の社員として建物に入られたようなものだと言える。入口の鍵が本人確認の代わりになっているため、その鍵（IDとパスワード）を奪われると、内部の情報を「正当な操作」に見せかけて覗かれてしまう。今回の三井不動産の事案も、このような資格情報の不正利用による不正アクセスの典型例と位置づけられる。
【今週中にできること】まず、全アカウントの棚卸しを行い、使っていないIDや共有IDを停止することを確認してほしい。次に、重要システムのログイン履歴を担当者が毎日確認する運用にし、不審な時間帯や場所からのログインがないか点検する。最後に、全員へパスワードの使い回し禁止や推測されにくいパスワードの設定、多要素認証の利用を周知し、必要に応じて変更を促すことで、資格情報の不正利用リスクを低減できる。