本日のインシデント（4/14〜16公表）
secure2026年4月16日（木）速報
不動産業向けSaaS「いえらぶCLOUD」への不正アクセスで6ポータル経由の最大240万件の個人情報がダークウェブで売買。メディカ出版のランサムウェア攻撃で合計77.2万件漏えいの恐れ。山形のSIer・YCC情報システムは第四報で取引先情報の漏えいの恐れが否定できないとした。
いえらぶGROUP：不動産SaaS「いえらぶCLOUD」に不正アクセス、240万件流出の恐れ
不動産業向けCRM「いえらぶCLOUD」への不正アクセスで、SUUMO・CHINTAI・HOME'S・アットホーム等6ポータルの問い合わせを一元管理するSaaSが侵入元に。ダークウェブで約240万件・2.78GBのデータが1,000ユーロで売買されていたとの指摘。メールアドレス97万件超、氏名・電話番号・年収・家族構成・希望物件情報等が対象。
中小企業への影響
SaaS集約はコスト削減に合理的だが、ベンダー1社への不正アクセスが委託元数万社の顧客情報を一気に露出させるリスクを抱える。
推奨対応
- 利用中SaaSの一覧を棚卸しし第三者認証（ISMS・SOC2）の有無と直近のインシデント履歴を確認する
- 委託契約に「インシデント発生時の通知期限」「影響範囲の開示義務」を明記する
- 顧客情報の不要データはSaaS側でも削除する
メディカ出版：ランサムウェアで合計77.2万件の個人情報漏えいの恐れ
医師・看護師向け書籍等を手がけるメディカ出版は3月13日のランサムウェア攻撃で合計77.2万件の個人情報漏えいの恐れを公表。メディカID登録者の氏名・メールアドレス・住所、日本呼吸療法医学会会員情報、専門医情報等が対象。商品の受注・発送業務が現在も停止中。
中小企業への影響
学会事務局等の受託業務では預かり情報が自社顧客情報を超える規模に膨らみやすい。業務停止は取引先の信頼も失う。
推奨対応
- 預かり情報と自社情報をネットワーク/権限で分離する
- バックアップはオフライン方式で月1回以上の復旧テストを実施する
- 受託業務ごとにインシデント対応手順書を整備し委託元への連絡経路を事前合意する
YCC情報システム：ランサムウェア第四報、取引先情報の漏えいの恐れが否定できず
山形市のSIer・YCC情報システムは4月14日に第四報を公表。4月2日のランサムウェア攻撃で取引先から受託・保管していた情報の一部について漏えいの恐れが否定できないとした。関連して顧客の山形新聞社が購読者の氏名・住所・クレジットカード決済情報の流出可能性を公表。ランサムウェア種類・侵入経路は調査継続中。
中小企業への影響
SIerやシステム開発会社への委託では、委託先が被害を受けると自社の顧客情報・業務データが同時に揺らぐ。
推奨対応
- ITシステム委託先にランサムウェア対策の実施状況を四半期ごとに確認する
- 委託先が攻撃を受けた場合の通知期限（検知から72時間以内）と代替運用手段を契約に反映する
- 自社でも重要データはオンプレとクラウド両方でバックアップを保有する
編集部まとめ
今週の3事案に共通するのは「SaaS・受託先・業務委託先」というサプライチェーン上の点が突かれている点だ。委託契約の見直しと、預けている情報の棚卸しを進めたい。
