要点
発表された事実
- 国土交通省は2026年10月20日（経済産業省・環境省と同時発表）、「住宅省エネ2024キャンペーン」の事務局である株式会社博報堂が運営するシステムで外部から不正操作があり、登録されている事業者の情報が漏洩した可能性があると発表した（国土交通省、環境省）。
- 住宅省エネ2024キャンペーンは、子育てエコホーム支援事業（国交省）、先進的窓リノベ2024事業（環境省）、給湯省エネ2024事業・賃貸集合給湯省エネ2024事業（経産省）の総称。システムは事業者からの補助金申請を受け付けるためのもので、交付申請は工事を行う事業者などが行う（国土交通省）。
- 漏洩の可能性があるのは23,918名（16,950事業者、速報値）。法人の代表者（氏名・肩書）、個人事業主（氏名・住所）、補助金担当者（氏名・部署・役職・業務で使う住所・電話番号・メールアドレス）。補助金担当者は各社1名の「統括アカウント担当者」（子育てエコホーム支援事業 事務局）。
- 補助金を使った消費者の個人情報、事業者の補助金振込用の口座情報、代表者の電話番号・メールアドレス・住所の漏洩は確認されていない。住宅省エネ2026キャンペーンなど他年度の事業の登録事業者情報の漏洩もないとしている（同）。
- 原因と詳細な被害状況は博報堂が調査中。被害拡大を防ぐため全てのシステム機能を停止しており、点検と再発防止策の後、子育てエコホーム支援事業の完了実績報告の受付などに必要な機能に限って再開する予定（国土交通省）。
わかっていないこと
- 「外部からの不正操作」が具体的に何で、どの機能がどう使われたのか
- 不正操作があった期間と、いつ・どうやって気付いたのか
- 件数の確定値（23,918名は速報値で、重複や担当者変更の追加登録を精査中）
- システム停止の期間と、完了報告の受付再開・不備訂正期限の扱い
- 他年度のキャンペーンのシステムとの関係（同じ基盤かどうか）
関係しそうな既知の手口
- （考察）国の事業でも、申請を受けるシステムは民間の事務局が作り運用している。10月に相次いだ「委託先・運営会社のシステムが入口になる」事例が、行政の補助金にも及んだ形だ。
概要
- 国の省エネ住宅補助金（2024年度分）の申請を受け付けていた博報堂運営のシステムで、外部から不正操作があった。
- 登録事業者の代表者や補助金担当者など23,918名分の連絡先が漏洩した可能性がある。消費者の情報や口座情報の漏洩は確認されていない。
- システムは全機能を止めており、事業者は完了報告の提出や書類のダウンロードができない状態だ。
この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。
何が起きたか（時系列）
| 時期 | 出来事 |
|---|---|
| 令和5〜6年度 | 住宅省エネ2024キャンペーンを実施。事務局は博報堂（国土交通省） |
| （日付非公表） | 事務局のシステムで外部からの不正操作、登録事業者の情報が漏洩した可能性（国土交通省） |
| 2026-10-20（火） | 国交省・経産省・環境省が同時発表。事務局が対象の統括アカウント担当者に「info@jutaku-shoene.jp」からメールで連絡（国土交通省、事務局） |
発表内容の整理
事実（国土交通省・事務局の発表）
| 項目 | 内容 |
|---|---|
| 対象システム | 住宅省エネ2024キャンペーンの事務局（博報堂）が運営する補助金申請受付のシステム（共通ポータル・子育てエコホーム支援事業の専用ポータルを含む） |
| 事象 | 外部からの不正操作 |
| 人数 | 23,918名（16,950事業者）、速報値 |
| 項目 | 法人代表者（氏名、肩書）、個人事業主（氏名、住所）、補助金担当者（氏名、部署、役職、業務用の住所・電話番号・メールアドレス） |
| 漏洩が確認されていないもの | 補助金振込用の口座情報、代表者の電話番号・メールアドレス・住所、一般消費者の個人情報、他年度事業の登録事業者情報 |
| 対応 | 全システム機能を停止。点検と再発防止策の後、必要な機能に限り再開予定。国交省が博報堂に原因調査と再発防止を指示 |
| 相談窓口 | 住宅省エネ2024キャンペーン事務局 0570-062-065（IP電話は050-3524-7232）、9時〜17時（土日祝・年末年始を除く） |
考察
漏洩の可能性があるのは「統括アカウント担当者」の業務用連絡先が中心で、口座情報は対象外とされている。とはいえ、補助金の申請をしている工務店・リフォーム会社の担当者の名前とメールアドレスが、どの補助事業に登録しているかと結びついて出回ると、「事務局」や「国交省」を名乗る精度の高いフィッシングに使いやすい（考察）。事務局自身も、統括アカウント担当者へのスパムやなりすまし、担当者名を使った住宅所有者への不正な営業の可能性を挙げている。
発表が「外部からの不正操作」という言葉を選んでいる点も気になる。サーバへの侵入ではなく、アプリの機能を外部から操作して情報を取り出した、という意味にも読める（考察。具体的な説明はない）。10月の他の事例でも、仕様の不備や管理機能を突いた「正規の機能の悪用」が目立っている。
関係しそうな既知の手口
事実（既知の知見・同種事例）
- ディップのバイトル／バイトルNEXTでは、「仕様の不備」を突いた海外からのアクセスで会員のメールアドレス最大約388万件が漏えいした（バイトルの記事）。
- SpeeCAN RAIDENでは、全国の自治体の防災メールを載せた民間の配信基盤への不正アクセスで、自治体の利用者のメールアドレスなどが漏洩の可能性となった（SpeeCAN RAIDENの記事）。
- JPCERT/CC・国家サイバー統括室・IPAは10月、相次ぐ国内の不正アクセスについて注意喚起を出している（各機関の注意喚起の記事）。
考察
- 終わった事業のシステムも狙われる：対象は令和5〜6年度の事業だが、完了実績報告の受付などのためにシステムは動き続けていた。事業の「後始末」の期間のシステムは、注目も予算も減りがちで、点検が手薄になりやすい（考察）。
- 事業者向けの補助金は、事業者を狙う詐欺の材料になる：担当者名・部署・業務用連絡先がそろうと、取引先や事務局を装った請求書詐欺やマルウェア付きメールに使える（考察）。
利用者・運用者がいまできること
事実（発表に基づく）
- 事務局は、アカウントID・パスワードや口座情報を尋ねることはないとしている。不審なメールは添付ファイルやURLを開かずに削除するよう呼びかけている（事務局、国土交通省）。
- 登録事業者には10月20日に「info@jutaku-shoene.jp」から統括アカウントの登録メールアドレス宛てに連絡している（事務局）。
- 消費者向けの相談窓口として、住まいるダイヤル（03-3556-5147、10時〜17時、土日祝・年末年始を除く）も案内されている（環境省）。
考察（事業者向け）
- 「事務局」「国交省」を名乗り、補助金の再申請や口座の再登録を求めるメールや電話には応じず、公式サイトに書かれた窓口に自分で確かめる。
- 社内の統括アカウント担当者あてのメールに、補助金・助成金を話題にした添付ファイル付きメールが来たら、開く前に社内で確認する流れをつくる。
考察（運用者向け）
- 事業が終わったあとも動かしている申請システムを洗い出し、公開範囲を絞るか、受付期間外は止める。
- 申請者の一覧を表示・出力する機能について、権限と件数の上限、利用の記録を確かめる。