三井不動産、資格情報の不正利用で役職員ら最大5.5万件の個人情報漏えい可能性——フィッシングに注意

「大企業のシステムは安全だ」と思っていませんか？
「パスワードは設定しているから大丈夫」と油断していませんか？

チップス

ボスッ、三井不動産って大手不動産会社でしゅよね？そこでも情報漏えいが起きたんでしゅか？

ボス

大企業だからこそ攻撃者が狙う。資格情報——要するにIDとパスワードを不正に使われれば、正規ユーザーに見せかけてシステムに潜り込める。規模の大きさは武器にもなるが、守る範囲も広がるな。

三井不動産は2026年9月1日、同社グループが利用する一部システムが不正アクセスを受け、役職員および社外関係者の個人情報が最大5万5000件漏えいした可能性があると公表しました。
不正アクセスは8月28日に確認されており、システムの資格情報が不正に利用されたものと判明しています。
業務ファイルやパスワードの漏えいは現時点で確認されていません。

今回の事案から、資格情報の管理と多要素認証の重要性を改めて確認しましょう。

三井不動産への不正アクセス——最大5.5万件の個人情報が危険に

三井不動産は、三井不動産レジデンシャル・三井不動産商業マネジメントなど多数のグループ会社を擁する大手不動産企業です。

2026年8月28日、同社グループが利用する一部システムへの不正アクセスを確認しました。
調査の結果、システムの資格情報が不正に利用され、第三者が一部情報を閲覧した可能性があると判明しています。

漏えいした可能性のある情報は以下のとおりです。

なお、同社は「全ての情報が実際に第三者に閲覧・取得されたことを確認したわけではない」と説明しています。
メール、チャット、業務ファイル、パスワードの漏えいは現時点で確認されていません。

チップス

氏名とメールアドレスが漏れたら、何か悪いことが起きるんでしゅか？

ボス

フィッシングメールに悪用される。攻撃者は名前と会社を知っているから「三井不動産のAさんから」と見せかけた偽メールが来ても気づきにくい。実際、同社もフィッシングへの注意喚起を出している。

資格情報の不正利用——大企業でも起きる認証突破の手口

今回の事案では「システムの資格情報が不正に利用された」とされています。
資格情報の不正利用とは、正規ユーザーのIDとパスワードを入手して、正規ユーザーになりすましてシステムにログインする攻撃手法です。

資格情報が不正入手される主な経路は以下のとおりです。

今回の攻撃の具体的な手口は公表されていませんが、いずれの経路でも多要素認証（MFA）の未導入が突破を容易にします。

資格情報の不正利用対策として今すぐ確認すべきことは以下のとおりです。

まとめ：資格情報管理こそが情報漏えい防止の要

三井不動産の事案では、資格情報が不正に利用されました。
最大5万5,000件という規模の情報漏えいの可能性がある一方、業務ファイルやパスワードの漏えいは現時点で確認されていません。

日本企業が今すぐ取るべきアクションは以下のとおりです。

今回の事案で三井不動産が示した「発覚から4日での公表・資格情報の無効化」は、インシデント対応の基本として参考になります。