【続報】本記事は2026年4月8日掲載の「賃貸ポータル六社から「240万行」がダークウェブに — 各社公式発表は現時点でゼロ」の続報です。
「各社公式発表ゼロ」から6日——何がわかったか
4月8日の第一報時点では、ダークウェブ上の販売投稿だけが情報源で、対象企業からの公式コメントは存在しなかった。その後、事態は大きく動いた。
まず同日4月8日、不動産業界向け業務支援クラウドを展開する株式会社いえらぶGROUPが、自社クラウドサービスへの不正アクセスとデータ不正取得を公式に発表した。同社によれば、4月6日に不正アクセスの可能性を認識して初動調査を開始し、4月8日から外部サイバーセキュリティ専門機関と連携して本格調査に入った。
続いて4月10日までに、SUUMO（リクルート）、CHINTAI、アットホーム、LIFULL HOME'S、オウチーノ、賃貸EXの各運営企業が相次いで声明を発表。いずれも「自社システムからの漏洩は確認されていない」と表明した。リクルートはINTERNET Watchの取材に対し、「SUUMOへの直接的な攻撃・侵入は確認されていない」としつつ、データ連携先である「いえらぶ社」のシステムで不正アクセスによる情報漏洩があったことを確認していると明らかにした。
いえらぶCLOUDとは何か——SaaS集約構造が生んだ一点突破
いえらぶCLOUDは、全国の不動産仲介業者向けに提供されるSaaS型クラウドサービスだ。その中核機能は、SUUMO・CHINTAI・HOME'S・アットホーム等の複数ポータルサイトからの問い合わせ（反響）情報を一元管理するCRM機能にある。
仲介業者にとっては、複数のポータルからの問い合わせを1つの画面で管理できる便利なツールだ。しかし裏を返せば、複数ポータルの顧客データが1つのSaaS基盤に集約されることを意味する。
この構造が、今回の事案の本質だ。攻撃者はSUUMO・CHINTAI・HOME'S等の各ポータルを個別に攻撃する必要はなかった。データが集約されるいえらぶCLOUDという一点を突破するだけで、複数ポータルにまたがる顧客データを一網打尽にできたのである。
流出データの中身——「住みたい街」から「年収」まで
ダークウェブ上で販売されているデータベースは2.78GB・約240万件（ユニークメールアドレス約97万件）。含まれる情報は以下の通り。
- 氏名、電話番号（携帯・固定）、メールアドレス
- 年齢、性別、職業歴
- 年収、家族構成
- 希望物件の種別・予算・エリア・最寄り駅・床面積
- 現住所、現在の家賃、転居理由
通常の情報漏洩と比較して、このデータセットは極めて危険度が高い。「いつ、どこに、いくらで引っ越したいか」という情報は、ストーキング、詐欺（引越し見積もり偽装等）、空き巣の対象選定に直接利用できる。販売価格は1,000ユーロ（約18万5,000円）。1件あたり約0.077円という安価さは、二次・三次の悪用を容易にする。
SaaSサプライチェーン攻撃の構造的リスク
今回の事案は、不動産業界に限った問題ではない。SaaS型サービスにデータが集約される構造は、あらゆる業界に存在する。
典型的な構造を整理すると以下のようになる。
- フロント：エンドユーザーが接触するポータル（SUUMO等）
- ミドル：仲介業者が利用するSaaS型CRM（いえらぶCLOUD等）
- バック：仲介業者の社内システム・データベース
エンドユーザーはSUUMOに問い合わせたつもりでも、実際のデータはミドル層のSaaSに集約される。この構造において、ポータル側がいくら自社のセキュリティを強化しても、ミドル層が侵害されれば全データが流出する。
Qiitaの技術分析記事は、この構造を「SaaSサプライチェーン攻撃」と呼び、以下の本質的課題を指摘している。
- データ連携先のセキュリティレベルを、ポータル側が十分に評価・監査できていない
- API連携の認可スコープが広すぎ、必要最低限のデータに制限されていない
- SaaS事業者の侵害が、そのSaaSを利用する全企業の顧客データに波及する「一対多」のリスク構造
各社は今何をすべきか
不動産ポータル各社は「自社からの漏洩ではない」と表明しているが、エンドユーザーから見れば「SUUMOに預けた情報が漏れた」事実に変わりはない。データ主体の視点からは、データ連携先の管理責任がポータル側にも問われる。
以下の対策が急務と考えられる。
- データ連携先の定期セキュリティ監査：SOC 2 Type II や ISO 27001 の取得状況だけでなく、実際のアクセスログ・暗号化状態を定期的に検証する
- API認可のスコープ最小化：CRMに連携するデータを必要最低限に制限する。年収・家族構成は仲介初期段階で本当に必要か
- ゼロトラスト設計の適用：連携先を信頼前提とせず、データ転送時の暗号化・アクセス制御を徹底する
- インシデント発生時の連携ポリシー：連携先のインシデントを即時検知し、自社側でのデータ遮断が可能な設計
「うちは安全」では通用しない時代
前報では「各社公式発表ゼロ」だった状況から、1週間で構造が明らかになった。ポータル各社が自社からの漏洩を否定する一方で、データが集約されるSaaS基盤が一点突破され、業界全体に波及した事実が浮き彫りになっている。
この事案は、自社システムのセキュリティだけでは顧客データを守れない時代に入ったことを示している。サプライチェーン全体でのセキュリティ設計——連携先の監査、APIスコープの制限、インシデント時の即時遮断——が、今後のデータ保護の前提条件となるだろう。
