2026年3月、株式会社穴吹ハウジングサービスがランサムウェア攻撃を受け、約49.6万人分の個人情報が漏洩した恐れがあることが明らかになった。犯行声明を出したのはランサムウェアグループ Qilin。データの暗号化と窃取を同時に行う「二重脅迫型」の攻撃だ。
この事件は孤立した出来事ではない。2026年3月だけでも、日本企業を狙ったサイバー攻撃が相次いでいる——ウチヤマHD（3月9日）、メディカ出版（3月13日）、そして穴吹ハウジングサービス。デジタルデータソリューション社の調査によれば、サイバー攻撃を受けた企業の約79%が情報漏洩に至っている。
特にサプライチェーン経由の攻撃が急増しており、「自社のセキュリティは万全」と考えている企業であっても、委託先やグループ会社が攻撃されれば自社の情報が流出するリスクがある。
目次
- 穴吹ハウジング事件の概要と時系列
- Qilinランサムウェアグループの特徴
- サプライチェーン攻撃のメカニズム
- 49.6万人漏洩の影響
- 中小企業の防衛策5つ
- 自社の防衛状況を点検するチェックリスト
- よくある質問（FAQ）
穴吹ハウジング事件の概要と時系列
穴吹ハウジングサービスは、四国を拠点とするマンション管理・不動産サービス会社だ。マンションの管理組合から委託を受け、入居者情報・契約情報・修繕履歴など大量の個人情報を取り扱っている。
事件の時系列
| 時期 | 出来事 |
|---|---|
| 2026年3月（初旬） | ランサムウェア攻撃を検知。社内システムの一部が暗号化される |
| 攻撃検知後 | 外部セキュリティ専門機関に調査を依頼。影響範囲の特定を開始 |
| 3月中旬 | ランサムウェアグループ Qilin がダークウェブ上で犯行声明を公表 |
| 3月下旬〜4月 | 約 49.6万人分 の個人情報漏洩の恐れがあることを公表 |
漏洩が疑われる情報
| 情報の種類 | 件数（推定） | 二次被害リスク |
|---|---|---|
| 氏名・住所・電話番号 | 約49.6万人分 | フィッシング詐欺、なりすまし |
| メールアドレス | 含まれる可能性 | スパム、標的型メール |
| マンション契約情報 | 一部含まれる可能性 | 不動産詐欺 |
| 管理組合の財務情報 | 調査中 | 金融詐欺 |
Qilinランサムウェアグループの特徴
Qilinは2022年後半に登場したRansomware-as-a-Service（RaaS）グループだ。ロシア語圏のサイバー犯罪フォーラムで活動し、攻撃ツールをアフィリエイト（実行者）に提供するビジネスモデルを採用している。
Qilinの攻撃手法
| 特徴 | 内容 |
|---|---|
| 攻撃モデル | Ransomware-as-a-Service（RaaS） |
| 脅迫手法 | 二重脅迫（暗号化＋データ窃取・公開） |
| 暗号化アルゴリズム | AES-256 + RSA-4096（解読は事実上不可能） |
| 標的選定 | 医療、不動産、製造業など個人情報を大量に保有する業種 |
| 侵入経路 | VPN機器の脆弱性、フィッシングメール、RDPの総当たり攻撃 |
| データ公開サイト | Torネットワーク上のリークサイトで被害データを段階的に公開 |
なぜ日本企業が狙われるのか
Qilinを含むランサムウェアグループが日本企業を標的にする理由は明確だ。
- 身代金支払い率が高い——日本企業はレピュテーションリスクを恐れ、支払いに応じる傾向がある
- VPN機器の脆弱性放置——特にFortiGate・Pulse Secure等のVPN機器に既知の脆弱性が残存するケースが多い
- 英語圏に比べてセキュリティ情報の流通が遅い——脆弱性情報が日本語化されるまでにタイムラグがある
セクションまとめ： QilinはRaaSモデルの二重脅迫型ランサムウェアグループ。日本企業は身代金支払い率の高さ、VPN脆弱性の放置、情報のタイムラグから標的にされやすい。
「自社が同じ攻撃を受けたら、何人分の情報が流出するか」把握していますか？
ランサムウェアに備えるには、まず守るべきデータの棚卸しから。現状のリスクを可視化するセキュリティ診断を実施しています。
※ 営業電話はしません | オンライン対応可 | 相談だけでもOK
サプライチェーン攻撃のメカニズム
穴吹ハウジング事件で特に注目すべきは、サプライチェーン経由の攻撃リスクだ。マンション管理会社は、管理組合・入居者・建設会社・保守会社など多数の関係者とデータを共有しており、1社の侵害がサプライチェーン全体に波及する。
サプライチェーン攻撃の3つのパターン
| パターン | 攻撃経路 | 具体例 |
|---|---|---|
| 委託先経由 | 業務委託先のシステムが侵害され、委託元のデータが漏洩 | 清掃・保守会社のVPN経由で管理会社のネットワークに侵入 |
| グループ会社経由 | セキュリティの弱いグループ会社から親会社に横展開 | 地方の関連会社を踏み台に本社システムへ侵入 |
| ソフトウェア経由 | 利用しているSaaS/パッケージの脆弱性を悪用 | 管理業務ソフトウェアの脆弱性からデータベースにアクセス |
2026年3月の日本企業攻撃連鎖
2026年3月に日本で発生したサイバー攻撃は、いずれもサプライチェーンに関連するリスクを示唆している。
| 日付 | 企業 | 概要 |
|---|---|---|
| 3月9日 | ウチヤマHD | ランサムウェア攻撃を受けシステム障害 |
| 3月13日 | メディカ出版 | サイバー攻撃による個人情報漏洩の恐れ |
| 3月 | 穴吹ハウジングサービス | Qilinランサムウェアで約49.6万人の情報漏洩 |
セクションまとめ： サプライチェーン攻撃は「委託先経由」「グループ会社経由」「ソフトウェア経由」の3パターン。2026年3月に日本企業への攻撃が集中しており、業種を問わず警戒が必要だ。
49.6万人漏洩の影響
個人情報保護法上の報告義務
2022年4月施行の改正個人情報保護法により、個人データの漏洩が発生した場合（または発生の恐れがある場合）、以下の対応が法的義務として課される。
| 義務 | 内容 | 期限 |
|---|---|---|
| 速報 | 個人情報保護委員会への速報 | 事態を知った日から3〜5日以内 |
| 確報 | 詳細な調査結果の報告 | 30日以内（不正アクセスの場合は60日以内） |
| 本人通知 | 漏洩の恐れがある本人への通知 | 速やかに |
損害賠償リスクの試算
過去の判例に基づき、個人情報漏洩1件あたりの損害賠償額は概ね以下の水準だ。
| 漏洩した情報の種類 | 1件あたりの損害賠償額 | 49.6万人の場合の総額 |
|---|---|---|
| 氏名・住所・電話番号 | 3,000〜5,000円 | 14.9億〜24.8億円 |
| クレジットカード情報含む | 5,000〜10,000円 | 24.8億〜49.6億円 |
| 機微情報（病歴等）含む | 10,000〜30,000円 | 49.6億〜148.8億円 |
信用毀損の長期的影響
金銭的な損害賠償に加え、以下の長期的な影響が生じる。
- 管理委託契約の解約・非更新の増加
- 新規受注の減少（「あの会社は情報漏洩した」という評判）
- 人材採用への悪影響
- 株価への影響（上場企業の場合）
セクションまとめ： 49.6万人の情報漏洩は、個人情報保護法上の報告義務、最大数十億円の損害賠償リスク、長期的な信用毀損を伴う。企業の存続を脅かす重大な事態だ。
中小企業の防衛策5つ
「穴吹ハウジングは大企業だから狙われた」と考えるのは危険だ。警察庁の統計では、ランサムウェア被害の約6割が中小企業だ。以下の5つの防衛策を、自社の状況に合わせて実施してほしい。
防衛策1：委託先のセキュリティ管理
サプライチェーン攻撃を防ぐには、自社だけでなく委託先のセキュリティ水準も管理する必要がある。
| 対策 | 具体的なアクション |
|---|---|
| 委託先選定時 | セキュリティ対策の実施状況をチェックリストで確認 |
| 契約時 | セキュリティ要件を契約書に明記（暗号化、アクセス制限、インシデント報告義務） |
| 運用時 | 年1回以上のセキュリティ監査を実施 |
| インシデント発生時 | 委託先からの報告ルートと対応手順を事前に合意 |
防衛策2：バックアップ 3-2-1 ルール
ランサムウェアに暗号化されてもデータを復旧できるよう、3-2-1ルールに従ったバックアップ体制を構築する。
| ルール | 内容 |
|---|---|
| 3 | データのコピーを3つ保持する（本番＋バックアップ2つ） |
| 2 | 2種類の異なるメディアに保存する（例：HDDとクラウド） |
| 1 | 1つはオフサイト（物理的に離れた場所）に保管する |
防衛策3：ネットワーク分離（セグメンテーション）
社内ネットワークを業務の種類ごとに分離し、1箇所の侵害がネットワーク全体に波及しないようにする。
| セグメント | 配置するシステム | アクセス制限 |
|---|---|---|
| 業務セグメント | 一般社員のPC、業務サーバー | インターネット接続あり |
| 個人情報セグメント | 顧客DB、人事DB | 特定端末からのみアクセス可 |
| 管理セグメント | AD、監視サーバー | 管理者のみアクセス可 |
| DMZ | Webサーバー、メールサーバー | インターネット公開、内部ネットワークとは分離 |
防衛策4：インシデント対応計画の策定
攻撃を受けてから対応を考えるのでは遅い。事前にインシデント対応計画を策定し、訓練を実施しておく。
計画に含めるべき項目：
- 検知・報告ルート——誰が・どこに・どの手段で報告するか
- 初動対応手順——ネットワーク遮断、証拠保全、外部専門家への連絡
- 関係者への通知——個人情報保護委員会、被害者、取引先
- 復旧手順——バックアップからの復元、システム再構築
- 再発防止策——根本原因分析、セキュリティ強化策の実施
防衛策5：サイバー保険への加入
上記の技術的対策を実施してもリスクをゼロにはできない。サイバー保険は、残存リスクに対する経済的な備えとして有効だ。
| 補償内容 | 概要 |
|---|---|
| 事故対応費用 | フォレンジック調査、法律相談、被害者通知の費用 |
| 損害賠償 | 個人情報漏洩に伴う損害賠償金 |
| 逸失利益 | システム停止による営業損失 |
| 危機管理費用 | 広報対応、コールセンター設置の費用 |
セクションまとめ： 中小企業の5つの防衛策は「委託先管理」「バックアップ3-2-1」「ネットワーク分離」「インシデント対応計画」「サイバー保険」。すべてを一度に実施する必要はなく、優先度の高いものから着手すべきだ。
関連記事：バックアップ3-2-1ルール実践ガイド 関連記事：NIST CSF 2.0 実装ガイド
自社の防衛状況を点検するチェックリスト
以下の項目を確認してほしい。チェックが付かない項目が3つ以上あれば、早急にセキュリティ対策の見直しが必要だ。
基本対策
- [ ] VPN機器・リモートアクセス環境のファームウェアは最新版に更新されているか
- [ ] 全端末にEDR（Endpoint Detection and Response）が導入されているか
- [ ] OSとソフトウェアのセキュリティパッチを定期的に適用しているか
- [ ] 多要素認証（MFA）を全システムで有効化しているか
バックアップと復旧
- [ ] バックアップは3-2-1ルールに従って保管されているか
- [ ] バックアップのうち1つはオフライン（ネットワーク非接続）で保管されているか
- [ ] バックアップからの復元テストを直近6か月以内に実施しているか
サプライチェーン管理
- [ ] 委託先のセキュリティ対策状況を契約時に確認しているか
- [ ] 委託先との契約にセキュリティ要件が明記されているか
- [ ] 委託先でのインシデント発生時の報告ルートが合意されているか
インシデント対応
- [ ] インシデント対応手順書が文書化されているか
- [ ] 個人情報保護委員会への報告手順を把握しているか
- [ ] サイバー保険に加入しているか
よくある質問（FAQ）
Q1. 穴吹ハウジングの情報漏洩で、自分の情報が含まれているか確認できますか？
穴吹ハウジングサービスは対象者への個別通知を進めています。穴吹ハウジングサービスのマンション管理・不動産サービスを利用したことがある方は、同社の問い合わせ窓口に確認してください。ダークウェブ上の情報を自分で検索することは、マルウェア感染のリスクがあるため推奨しません。
Q2. 中小企業でもランサムウェアの標的になりますか？
はい。警察庁の統計では、ランサムウェア被害の約6割が中小企業です。大企業に比べてセキュリティ対策が手薄なため、攻撃者にとって「費用対効果の高い標的」となっています。特にVPN機器の脆弱性を突いた攻撃が多発しています。
Q3. サプライチェーン攻撃は自社だけの対策で防げますか？
自社だけの対策では不十分です。委託先やグループ会社のセキュリティ水準が低ければ、そこを経由して自社の情報が漏洩します。契約時のセキュリティ要件の明記、定期的な監査、インシデント報告ルートの合意が必要です。
Q4. ランサムウェアの身代金は支払うべきですか？
警察庁・JPCERT/CC・IPAはいずれも身代金の支払いを推奨していません。支払いは犯罪組織の資金源となり、再攻撃を招く可能性があります。また、支払ってもデータの復旧や削除が保証されるわけではありません。バックアップからの復旧が最善の策です。
参考情報
- 株式会社穴吹ハウジングサービス「不正アクセスによる個人情報漏洩に関するお知らせ」
- 警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」
- デジタルデータソリューション「サイバー攻撃被害調査レポート 2026」
- IPA「ランサムウェア対策特設ページ」
- JPCERT/CC「ランサムウェアの脅威と対策」
関連記事
ランサムウェア対策、自社の現状を把握していますか？
「バックアップはあるが復元テストをしていない」「委託先のセキュリティ状況を確認していない」「インシデント対応手順が文書化されていない」——1つでも当てはまるなら、次の標的はあなたの会社かもしれません。まずはリスクの可視化から始めましょう。
※ 営業電話はしません | オンライン対応可 | 相談だけでもOK