アンビションDXのランサムウェア被害は、なぜ58万件の情報漏えいのおそれに広がったのか

1はじめに

2026年10月20日、東証グロース市場に上場する株式会社アンビションDXホールディングスは、8月に起きた不正アクセスの調査結果を「最終報」として公表しました。ネットワーク内のサーバーがランサムウェア攻撃を含む第三者の不正アクセスを受け、約14万件のファイルが持ち出され、個人情報約58万件に漏えいのおそれがあるとしています。

同社は、都心のデザイナーズマンションの賃貸管理を主力に、開発・企画・仕入れ・仲介・販売・保険までを手がけます。被害は同社だけでなく、グループ会社の株式会社ホープ少額短期保険と株式会社アンビション・エージェンシーにも及びました。最終報は、お詫びの相手として、お客様、賃貸管理物件のオーナー、入居者、保険契約者、取引先を挙げています。

KEYRINGの速報（No.0266）では最終報の要点を伝えました。このレポートでは、第1報から最終報までの4回の発表を順に読み、警察庁や個人情報保護委員会などの資料とあわせて、次の問いに答えます。

• 何が、いつ、どの順番で起きたのか
• 発表の内容は、調査が進むにつれてどう変わったのか
• 入居者やオーナー、保険契約者の、どんな情報が漏れたのか
• 侵入の経路について、何が公表され、何が公表されていないのか
• 初動と復旧はどう進み、他社は何を学べるのか

2発覚から最終報までの経緯

異常が見つかったのは8月6日の未明です。同じ日の夕方には第1報を出し、翌日には新しいネットワーク環境に切り替えました。漏えいの確認は3週間後、件数の公表は2か月半後でした。

同社は8月の決算発表を控えた時期に被害を受けました。9月1日の特別損失の公表は子会社の事業の見直しによるもので、本件とは関係がありません。最終報は、本件が2027年6月期の業績に与える影響を「軽微」と見込んでいます。

34回の発表で何が変わったか

今回の発表は、調査の進み具合に合わせて内容が大きく変わりました。とくに、データの持ち出しについての記述は、第2報と最終報で正反対です。

第1報の段階で同社が把握していたのは、ファイルサーバーの障害と、ログが消されていたことです。ログの消去は、攻撃者が痕跡を消すときに行うことの多い操作で、警察庁もランサムウェア攻撃の流れの最後の段階として挙げています。第2報で「持ち出しの形跡は確認されていない」とされたのは、その時点の調査の結果です。同社自身も「被害の全容が確定したものではございません」と書き添えていました。

発表を読む側にとっては、初期の「流出の形跡なし」を「流出なし」と受け取らないことが大切です。同社は第1報から一貫して、同社や役職員を装った不審なメールや電話への注意を呼びかけていました。漏えいが確定する前から二次被害に備えるよう伝えた点は、他社の初動の参考になります。

4何が漏れたのか

最終報は、漏えいした情報を2つの区分に分けて示しました。区分Aは、攻撃者が実際に外部へ持ち出したことが確認された情報で、ファイルの数（約14万件）で示されています。区分Bは、定義が「Aの内、攻撃者が外部へ持ち出した可能性を否定できない範囲に保管されていた情報」とされ、個人情報の件数（約58万件）で示されています。BはAに含まれる範囲として定義されていますが、Aはファイル、Bは個人情報と数える単位が違うため、14万と58万を直接比べることはできません。定義の文言のほかに、両者の関係の説明はありません。

区分Aのファイルを精査して特定された情報は、次のとおりです。会社ごと、書類ごとに、含まれる項目が違います。

特定して示された件数を足すと2,112件です。この2,112件と約58万件の関係、約58万件がどの会社のどの書類にどれだけあったかは公表されていません。58万件は、持ち出された可能性を否定できない範囲を広くとった数で、実際に持ち出しが確認された人数ではありません。一方で、範囲を狭く見積もって通知や注意喚起の対象から外すより、広く扱うほうが、本人にとっては身を守る機会が増えます。

口座の情報は、なりすましの材料になる

保険金の支払いに関する情報には、受取人の金融機関名、支店名、口座番号、口座名義が含まれていました。口座番号だけで預金を引き出すことはできませんが、本物の振込の記録（証券番号、事故受付番号、振込日、振込金額）と組み合わさると、保険会社を装った連絡が本物らしく見えます。最終報も、同社や金融機関を装ったなりすましメール、不審な電話・郵便物、金融機関口座の不正利用が起きる可能性は否定できないとしています。

5侵入から暗号化までの流れ

最終報は、攻撃の流れを次のように推定しています。8月6日の未明、第三者が同社のネットワーク機器を経由してネットワークに入り、同社とグループ会社のサーバー・端末の一部に保管されていた業務文書を外部に持ち出したうえで、ランサムウェアによる攻撃を行いました。

この流れは、警察庁が示す典型的なランサムウェア攻撃の流れとよく重なります。警察庁によると、近年はインターネットに露出した箇所から攻撃者が遠隔操作でネットワークの内部に入る手口が多くを占め、被害組織へのアンケートでは、侵入経路はVPN機器が約5割です。攻撃者は、修正されていない脆弱性や漏えいした認証情報を悪用して入り、管理者の権限を奪い、重要なデータやバックアップを探します。データを外へ送って盗んだあとに暗号化を実行し、最後にログや使ったツールの痕跡を消して攻撃を終えます。

最終報は「ネットワーク機器」とだけ書いており、それがVPN機器かどうかは示していません。ただ、再発防止策の最初に「各所機器の更新・接続方式の見直し、管理画面への接続元制限、アカウントの多要素認証の必須化」を挙げています。再発防止策の表で、外部接続の見直しが最初の行に置かれています。

6初動と復旧

業務の面では、同社の復旧は早く進みました。第1報の時点で、社内業務や取引先とのデータ連携、問い合わせへの対応に遅れが出ていましたが、翌日には新しいネットワーク環境に切り替え、業務は通常どおり可能と判断しています。

警察庁のアンケートでは、令和8年上半期にランサムウェアの被害を受けた組織のうち、1か月未満で復旧した組織は5割弱にとどまり、復旧に総額1,000万円以上を要した組織が6割を占めます。同社が全システムの復旧を公表したのは、障害から22日後の8月28日でした（日数は編集部が数えた）。どれだけの費用がかかったかは公表されていません。

バックアップと「新しい環境」

同社がバックアップからデータを戻したのか、別の方法で業務を再開したのかは、公表されていません。発表に書かれているのは、「安全性を確認した新たなネットワーク環境」への切替です。侵害された機器を使い続けず、隔離したまま、新しい環境で業務を始める方法をとりました。

JPCERT/CCは「侵入型ランサムウェア攻撃を受けたら読むFAQ」で、初動の方針として3つを示しています。被害の範囲を把握して被害を最小にすること、考えられる侵入経路をふさぐこと、攻撃者の要求には応じずバックアップから復旧することです。侵入経路をふさがずに復旧すると、別の攻撃グループの被害を受けるおそれがあるため、復旧の前に、侵入経路として考えられる原因はすべて対処するよう求めています。例として、SSL-VPN製品のファームウェアの版、深刻な脆弱性への対応、リモートアクセスの認証方式（多要素認証の有無など）の確認を挙げています。

同社は、侵害の痕跡があった機器を隔離したまま、安全を確認した新しい環境に移りました。最終報の再発防止策には、侵害を受けた機器の再構築または廃棄、「アカウントの再作成」「全役職員・管理者アカウントのパスワード一斉変更」「認証基盤の資格情報のリセット」が並びます。侵入経路をふさぎ、奪われた可能性のある認証情報を使えなくする対応と読めます。

JPCERT/CCは、身代金の支払いを選ぶべきではないとも書いています。暗号化されたファイルが元に戻る保証がないこと、被害の原因が残ったままになること、支払いのあとに別の攻撃や要求を受けるおそれがあることが理由です。同社が身代金を要求されたか、どう対応したかは公表されていません。

7分かっていること、分かっていないこと

最終報で調査結果の公表は終わりました。そのうえで、公表されていない項目が残っています。

漏えいの範囲についても、最終報は「これまでの精査において」クレジットカード情報とマイナンバーは確認されていないと書いています。精査が続けば、見つかる情報が増える可能性は残ります。同社は、対象者への対応、監視、再発防止の取り組みは続けるとし、二次被害の兆候など公表すべき事実が判明すれば、ウェブサイトなどで知らせるとしています。

手口を公表しない理由として、同社は同種被害の防止と捜査への影響を挙げています。手口を明かせば同じ機器を使う他社への攻撃に使われるおそれがある、という判断です。一方で、機器の種類や脆弱性の有無が分からなければ、同じ機器を使う他社は、自社が同じ状況にあるかを確かめられません。この2つの間で、公表の範囲をどう決めるかは、被害を受けた企業がいつも直面する難しさです。

8不動産会社が預かる情報

アンビションDXホールディングスは、賃貸管理（プロパティマネジメント）事業を主力に、賃貸仲介、売買、少額短期保険などの事業を持ちます。2026年9月30日の会社資料は、首都圏の賃貸管理受託市場を約400万戸とし、同社の管理戸数28,427戸から市場シェアを0.71%と推計しています。

賃貸の取引では、一つの部屋をめぐって、多くの人の情報が会社に集まります。今回特定された賃貸借契約の書類には、入居者本人の勤務先・勤続年数・年収・転居理由に加え、同居人と緊急連絡先の氏名・続柄・電話番号・住所、仲介会社の担当者の名前と業務用のメールアドレスまでが並んでいました。入居者の審査に必要な情報が、そのまま一つの書類にまとまっています。

緊急連絡先として名前を書かれた人や、仲介会社の担当者は、アンビションDXと直接の契約を結んでいない場合があります。自分の情報が漏れたことを知る機会が少ない人たちです。同社は第3報で、漏えいが確認された情報の範囲が確定すれば、対象となる人に個別に連絡するとしています。

賃貸の取引は、賃料や保険料の振込を伴います。同社は第3報と最終報で、電子メールや電話だけで振込先の変更、金銭の支払い、ID・パスワード・暗証番号・口座番号の入力を求めることは一切ないと明記しました。振込先の変更を装う詐欺は、取引の相手と金額を知っている者ほど本物らしく装えます。持ち出された業務文書は、その材料になりえます。

不動産業では、2026年9月1日に三井不動産も、利用するシステムの資格情報が不正に使われ、役職員と社外関係者の情報最大5.5万件が閲覧された可能性を公表しています（No.0103）。手口は異なりますが、取引先や関係者の情報を広く持つ業種である点は共通しています。

9ランサムウェアの被害は過去最多に

警察庁によると、令和8年上半期（2026年1〜6月）のランサムウェアの被害報告件数は123件でした。統計を取り始めた令和2年下半期以降、半期の件数として最も多くなっています。

同じ資料は、被害を受けた企業の約6割が中小企業で、業種では製造業が約3割を占め、卸売・小売業、情報通信業、不動産業・物品賃貸業が上位に入るとしています。手口の面では、ランサムウェアの開発・運営を行うグループが攻撃の実行者に道具やリークサイトを提供するRaaS（Ransomware as a Service）が広がり、高度な技術を持たない者でも攻撃を実行できるようになっていると指摘しています。

KEYRINGの記録でも、2026年8月以降、ランサムウェアによる被害の公表が続いています。原因の種類ごとの一覧はランサムウェアのページにまとめています。

10規制とガイドライン

個人情報保護委員会への報告

個人情報保護法は、要配慮個人情報が含まれる漏えい等、不正に利用されると財産的被害が生じるおそれがある漏えい等、不正の目的をもって行われたおそれがある行為による漏えい等、本人の数が1,000人を超える漏えい等のいずれかが起きたとき、事業者に個人情報保護委員会への報告と本人への通知を義務づけています。報告は、発覚から速やかに（個人情報保護委員会の案内では3〜5日以内）出す速報と、30日以内（不正の目的のおそれがある場合は60日以内）の確報の2段階です。

同社が個人情報保護委員会への報告を公表したのは、漏えいを確認した8月28日の第3報です。第3報は「個人情報の漏えい等が発生したおそれがあることから」報告したと書いています。報告の義務は、漏えいが確定したときだけでなく、そのおそれがある段階で生じます。

同社が委員会への速報・確報をいつ提出したかは公表されていません。委員会への報告は、証券取引所を通じた適時開示の「最終報」とは別の手続きです。

公的機関が示す対策

ランサムウェアへの備えは、国家サイバー統括室（NCO）の特設ページ「STOP! RANSOMWARE」に、関係機関の資料がまとめられています。警察庁は、特に被害が増えている中小企業を主な対象に、VPN機器などの脆弱性対策、認証情報の適切な管理、バックアップとログの適切な取得、サイバー攻撃を想定した業務継続計画（BCP）の策定、被害が起きたときの速やかな警察への通報・相談を呼びかけています（令和8年上半期の情勢）。手口と対策の詳細は、警察庁の「ランサムウェア被害防止対策」のページにまとめられています。情報処理推進機構（IPA）の「情報セキュリティ10大脅威 2026」でも、組織向けの1位は「ランサム攻撃による被害」で、11年連続の選出です。

上場企業にとっては、証券取引所の適時開示も情報を出す経路になります。同社は第1報から最終報までを適時開示として公表し、業績への影響が判明した場合は別途知らせるとしてきました。投資家に向けた開示と、入居者や保険契約者に向けた通知は、相手も必要な情報も違います。最終報は、問い合わせ窓口として、個人情報保護管理の専用の電話番号を設けています。

11影響が広がった4つの条件

条件の整理は、公開された情報をもとにKEYRING編集部が行ったものです。条件1は最終報の推定です。条件2と条件4、および条件3の一部は、公表された事実と再発防止策の記述から編集部が読み取ったもので、同社が原因として認めたものではありません。

12利用者と企業が取るべき対応

同社が求めている対応と、公的機関の資料をもとに、入居者・オーナー・保険契約者が確かめることを並べます。

仲介会社の担当者の氏名や業務用のメールアドレスも、賃貸借契約の書類に含まれていました。取引先の企業は、アンビションDXの担当者を装ったメールが自社の社員に届くことを想定し、振込や契約の変更の依頼を、電話など別の経路で確かめる手順を社内で共有しておくと安全です。

企業が自社で確かめること

13提言

今回の事案では、外とつながる機器という一つの入口から、グループの保険・仲介・管理の書類までが持ち出しの範囲に入りました。業務は翌日に戻せても、漏れた情報は戻せません。この調査から、KEYRINGは次の4つを提言します。

提言は、公開された情報をもとにKEYRING編集部が考えたものです。

用語集

ランサムウェア

データを暗号化して使えなくし、元に戻すことと引き換えに金銭を要求する不正なプログラム。近年は、盗んだデータを公開すると脅す手口と組み合わせる

RaaS

Ransomware as a Service。ランサムウェアの開発・運営者が、攻撃の実行者に道具や環境を提供し、身代金の一部を受け取る仕組み

VPN機器

社外から社内のネットワークに安全に接続するための機器。脆弱性や認証情報の漏えいを突かれると、侵入の入口になる

フォレンジック調査

機器やログを調べ、何が起きたか、何が持ち出されたかを明らかにする調査

EDR

パソコンやサーバーの動きを記録・監視し、不審な動きを見つけて止める仕組み

セグメンテーション

ネットワークを部門や用途ごとに区切り、一か所への侵入が全体に広がらないようにすること

少額短期保険

保険金額が少額で、保険期間が短い保険だけを引き受ける保険業

適時開示

上場企業が、投資判断に影響する重要な情報を、証券取引所を通じて速やかに公表すること

参考文献

• アンビションDXホールディングス「当社サーバーへの不正アクセスの発生について（第1報）」2026.08.06
• アンビションDXホールディングス「当社サーバーへの不正アクセスに関する調査状況について（第2報）」2026.08.07
• アンビションDXホールディングス「当社サーバーへの不正アクセスによる情報漏えいの確認および調査状況について（第3報）」2026.08.28
• アンビションDXホールディングス「当社サーバーへの不正アクセスによる情報漏えいに関する調査結果および今後の対応について（最終報）」2026.10.20
• アンビションDXホールディングス「特別損失の計上並びに（訂正）2026年６月期通期連結業績予想と実績値との差異に関するお知らせ…の一部訂正について」2026.09.01
• アンビションDXホールディングス「事業計画及び成長可能性に関する説明資料」2026.09.30
• アンビションDXホールディングス「【賃貸DX】プロパティマネジメント事業『COURT 月白』新築物件募集開始のお知らせ」（会社概要の記載）2026.10.13
• 警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」2026.09.09
• 警察庁「ランサムウェア被害防止対策」2026.10.26 閲覧
• 国家サイバー統括室「STOP! RANSOMWARE ランサムウェア特設ページ」2026.10.26 閲覧
• JPCERT/CC「侵入型ランサムウェア攻撃を受けたら読むFAQ」2026.10.26 閲覧
• 情報処理推進機構「情報セキュリティ10大脅威 2026」2026.10.26 閲覧
• 個人情報保護委員会「漏えい等の対応とお役立ち資料」2026.10.26 閲覧
• ScanNetSecurity「アンビションDXホールディングスに不正アクセス、ログの消失を確認」（エキサイトニュース配信）2026.08.31
• 日本経済新聞 適時開示の写し（最終報のPDF）2026.10.20

このレポートは2026年10月26日時点の公開情報にもとづきます。同社は最終報で調査結果の公表を終えるとしていますが、二次被害の兆候など公表すべき事実が判明した場合は改めて知らせるとしています。新しい情報があれば更新します。最終閲覧日はいずれも2026年10月26日です。