要点
発表された事実
- 戸田建設は2026年10月7日、同社が管理するシステムの一部が外部から不正アクセスを受け、取引先の登録情報と従業員の個人情報の一部が外部に漏洩したと公表した（戸田建設のお知らせ）。
- 10月5日（月）に「お取引先様への支払いを管理するシステム等」への外部からの不正アクセスを検知し、調査したところ、10月1日（木）から10月5日（月）にかけて、そのシステムから情報が漏洩した形跡を確認した（同）。
- 漏洩した情報は、①システムを利用する取引先の担当者のメールアドレス（最大7,200件）と取引データ（最大6,000件）、②従業員4,778人分の氏名・住所・電話番号・メールアドレス・所属部署（同）。TBSは、取引データに取引先の口座情報が含まれると報じている（TBS NEWS DIG）。
- システムなどへの通信を遮断してネットワークから隔離し、10月7日に個人情報保護委員会へ報告した。漏洩した情報の不特定多数への公開や不正利用は確認されていないとしている（戸田建設のお知らせ）。
わかっていないこと
- 侵入経路と原因（脆弱性、認証情報の悪用、委託先経由などのいずれか）
- 「支払いを管理するシステム等」の「等」に何が含まれるか、システムが自社開発か外部の製品・サービスか
- 「取引データ」の具体的な項目（口座情報・請求金額などが含まれるか。公式発表には口座情報の記載がない）
- 従業員情報がどのシステムから漏れたか（支払管理システムに従業員の住所が入っていた理由）
- 10月1日より前に侵入されていたかどうか、10月1日から5日まで検知できなかった理由
- ランサムウェアなどによる暗号化や業務停止の有無、犯行声明の有無
関係しそうな既知の手口
- （考察）取引先の担当者のメールアドレスと取引データがそろうと、実在の取引を装って振込先の変更を求めるビジネスメール詐欺（BEC）に使われやすい。戸田建設が取引先に、同社関係者を名乗る不審なメールやSMSへの注意を呼びかけているのもこの点とみられる。
- （考察）JPCERT/CCは10月8日、9月前後から国内組織で不正アクセスによる情報漏えいが相次いでいるとして、既知の脆弱性の探索、APIの悪用、Webシェルの設置などの類型をまとめた注意喚起を出した。本件がそのいずれかに当たるかは公表されていない。
概要
- ゼネコンの戸田建設で、取引先への支払いを管理するシステムなどに不正アクセスがあり、10月1日から5日までの5日間、情報が外へ持ち出されていた。
- 対象は取引先の担当者のメールアドレス最大7,200件、取引データ最大6,000件、従業員4,778人分の連絡先と所属部署。
- 侵入の方法は調査中。取引先には、戸田建設を名乗る不審なメール・SMSへの注意が呼びかけられている。
この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。
何が起きたか（時系列）
| 時期 | 出来事 |
|---|---|
| 2026-10-01（木） | 支払管理システムなどからの情報漏洩の形跡が確認された期間の始まり（戸田建設のお知らせ） |
| 2026-10-05（月） | 支払管理システムなどへの外部からの不正アクセスを検知。調査で10月1日からの漏洩の形跡を確認し、システムなどをネットワークから隔離（同） |
| 2026-10-07（水） | 個人情報保護委員会に報告し、不正アクセスと情報漏洩を公表（同）。同日、時事通信やTBSなどが報道 |
| 2026-10-08（木） | JPCERT/CCが国内組織で相次ぐ不正アクセスへの注意喚起を公開（本件との関係は示されていない） |
発表内容の整理
事実（10月7日のお知らせ）
| 対象 | 項目 | 件数 |
|---|---|---|
| 該当システムを利用する取引先 | 担当者のメールアドレス | 最大7,200件 |
| 同 | 取引データ | 最大6,000件 |
| 戸田建設の従業員 | 氏名、住所、電話番号、メールアドレス、所属部署 | 4,778人分 |
- 原因：外部からの不正アクセス。侵入経路と原因は、外部の専門機関と連携して調査中。
- 対応：システムなどへの通信の遮断（ネットワークからの隔離）。漏洩が確認された人には順次個別に案内する。
- 取引先へのお願い：戸田建設の関係者を名乗る不審なメールやSMSを受け取ったら、URLのクリック、添付ファイルの開封、情報の入力をせずに削除する。
- 問い合わせ窓口：専用メールアドレス（security_m@toda.co.jp）、お客様センター（0120-805-106）。
事実（報道）
- TBS NEWS DIGは、流出したデータに口座情報を含む取引先のデータ最大6,000件が含まれると報じた。公式発表は「取引データ」とだけ書いており、口座情報には触れていない。
考察
支払いを管理するシステムには、取引先ごとの振込先や請求・支払いの履歴が入っているのが普通で、報道のとおり口座情報が含まれていても不自然ではない。公式発表の「取引データ」の中身が明らかになるまでは、取引先は口座情報も漏れた前提で備えるのが安全だと考える。
漏れた形跡があるのは10月1日から5日の5日間で、検知は5日だった。持ち出しが始まってから検知まで数日かかっており、大量のデータの外部送信をすぐに止める仕組みは働かなかったとみられる。ただし、10月1日より前に侵入されていたかどうかは公表されておらず、侵入から持ち出しまでの期間はわからない。
従業員4,778人分の住所が含まれている点も気になる。支払管理システムに従業員の住所が入っているとは考えにくく、「システム等」の「等」に別のシステムやファイルが含まれている可能性がある。どこまで侵入を許したかは、続報で確認したい。
関係しそうな既知の手口
考察
- 取引データを使ったビジネスメール詐欺：実在の取引先名・担当者・案件・請求金額を添えて「振込先口座を変更した」と連絡する手口は、建設業のように取引先が多く支払いが頻繁な業種で特に効きやすい。戸田建設の従業員の氏名と所属部署も漏れているため、実在の社員になりすました連絡も作りやすくなる。
- 相次ぐ国内の情報漏えい：JPCERT/CCの注意喚起（10月8日公開、9日更新）は、標的ごとにさまざまな既知の脆弱性を探して悪用する攻撃、アプリの管理用APIへの不正なリクエスト、公開Webサーバーから届くアプリケーションサーバーへのWebシェル設置などを挙げている。従業員向けや業務用など、不特定多数のアクセスを想定していないシステムも被害に遭っているとしている。本件の侵入経路は公表されておらず、これらとの関係はわからない。
利用者・運用者がいまできること
事実（発表に基づく）
- 戸田建設の関係者を名乗る不審なメールやSMSを受け取ったら、URLのクリック、添付ファイルの開封、情報の入力をせずに削除する。
- 漏洩が確認された人には個別に案内がある。問い合わせは専用メールアドレスかお客様センターへ。
考察（取引先向け）
- 戸田建設から振込先の変更や支払い方法の変更を求める連絡が来たら、メールに書かれた連絡先ではなく、既に知っている電話番号などで担当者に確認する。
- 自社の口座情報が漏れた前提で、口座情報を添えた詐欺の連絡に注意する。
考察（企業の運用者向け）
- 支払・会計・取引先管理など、外部に公開していないつもりの業務システムでも、インターネットから到達できる経路（管理画面、API、取引先向けポータル）がないかを洗い出す。
- 業務システムからの大量の外部送信を検知・遮断できるかを確認する。今回は持ち出しが始まってから検知まで数日かかっている。
- 振込先の変更は、メール以外の経路での確認を社内ルールにする。取引先にも同じ運用を求める。