結論から言うと、問い合わせた1社の中では止まりません。物件情報サイトのフォームに入れた氏名・電話番号・希望条件は、その会社が日々の営業で使う業務システムまで届きます。2026年4月に破られたのは、そのシステムのほうでした。
ただし「SUUMO（スーモ）から漏れた」という説明は正確ではありません。SUUMOもアットホームも、自社のシステムが不正アクセスを受けた事実は確認されていないと発表しています。
この記事でわかること
- ✓ 破られたのは物件情報サイトではなく、不動産会社が使う業務システム「いえらぶCLOUD（いえらぶクラウド）」
- ✓ 流出した可能性があるのは氏名・メールアドレス・電話番号・住所・希望物件条件・やり取り履歴の一部（いえらぶGROUP（いえらぶグループ）第二報・4月30日）
- ✓ 「約240万件」はダークウェブで販売を持ちかけた人物の主張で、いえらぶGROUPの公表文に件数の記載は無い
破られたのは物件情報サイトではなく、不動産会社の業務システム
いえらぶGROUPは2026年4月8日、同社のクラウドサービスへの不正アクセスを公表しました。対象は不動産事業者向けクラウド「いえらぶCLOUD」です。不動産会社が物件を登録し、問い合わせを受け、顧客とのやり取りを記録するための道具で、消費者が直接ログインする画面ではありません。
| 日付 | 公表者 | 内容 |
|---|---|---|
| 4月6日 | いえらぶGROUP | 不正アクセスの可能性を認識し、初動調査を開始 |
| 4月8日 | いえらぶGROUP | 本格調査を開始。「不正なアクセスが行われ、データが不正に取得されたことが判明」と公表 |
| 4月30日 | いえらぶGROUP | 第二報。流出した可能性のある項目と、攻撃の入り口を公表 |
| 5月1日 | アットホーム | 「弊社のシステムが不正アクセスを受けた事実は確認されておりません」と公表 |
読者
私はSUUMOに問い合わせただけです。それでも関係あるんですか。
おかあさんあります。物件情報サイトに入れた問い合わせは、掲載している不動産会社の手元に届いて初めて返事が来ます。その受け取り先が、今回のシステムでした。
アットホームのお知らせには、データ連携先であるいえらぶGROUPのクラウドサービスを通じて、連携各社へ問い合わせた一部の顧客情報が漏えいした可能性がある、と書かれています。問い合わせた窓口の名前と、情報が置かれた場所の名前は別だということです。
流出した可能性がある項目は、住まい探しそのもの
いえらぶGROUPの第二報は、流出した可能性のある情報をこう書いています。「氏名、メールアドレス、電話番号、住所、その他希望物件条件など、物件探しをされた個人様と法人様とのやり取り履歴の一部」。
並べ直すと6つになります。
- 氏名
- メールアドレス
- 電話番号
- 住所
- 希望物件条件
- やり取り履歴の一部
問い合わせフォームに入れた項目が、ほぼそのまま並びます。今どこに住んでいて、次にどこへ移りたくて、いくらまで出せるのか。住まい探しの中身は、それ自体が「この人はいま引っ越す」という予定表になります。
一方で、同じ第二報は「クレジットカード情報や、要配慮個人情報、マイナンバー情報などの流出事実は確認されておりません」とも書いています。金銭を直接抜かれる種類の情報とは、切り分けて読む必要があります。
「約240万件」という数字はどこから出たのか
この件を伝える記事の多くが「約240万件」「ユニークメールアドレス約97万件」という数字を使っています。ところが、いえらぶGROUPの第一報にも第二報にも、件数は書かれていません。
240万件は、ダークウェブで住宅検討者のデータの販売を持ちかけた人物が主張した数字です。売り手の言い値であって、調査で確認された件数ではありません。
数字を読むときは、①企業が公表した数字 ②攻撃者が主張した数字 ③報道が推定した数字 の3つを分けて見てください。この件で①に当たるものは、いまのところ件数を含んでいません。
起点は、不動産会社側のアカウント情報だった
第二報は原因を「悪意ある第三者によるシステムへの不正アクセスおよびシステムにおける脆弱性が発端」とし、続けてこう書いています。「攻撃者はインフォスティーラー等を用い、当社クライアントのアカウント情報を窃取していた可能性が高い」。
インフォスティーラーは、感染した端末から保存済みのIDとパスワードを抜き出すマルウェアです。ここで言う「クライアント」はいえらぶCLOUDを使う不動産会社を指します。つまり入り口として疑われているのは、システム会社でも物件情報サイトでもなく、日々そのシステムにログインしている不動産会社側の端末です。
背景として、狙う側の材料は増え続けています。米国の脆弱性データベースNVD（エヌブイディー）に登録された件数を同じ四半期どうしで並べると、2022年1〜3月が6,286件、2024年同期が8,867件、2025年同期が12,208件、2026年同期が16,210件で、4年で2.58倍になりました。守る側が人手で追い切れる量ではなくなっています。
自分の情報が入っているかを確かめる4つの手順
ここからが、いま読者ができることです。
1. 心当たりのある問い合わせを書き出す
2026年4月より前に、物件情報サイトや不動産会社のサイトから資料請求・内見予約・空室確認をしたことがあるかを思い出してください。メールソフトで「お問い合わせありがとうございます」を検索すると、いつどこへ送ったかが残っています。
2. いえらぶGROUPの問い合わせ窓口に確認する
いえらぶGROUPは第一報の時点で、臨時の問い合わせ専用窓口（フォームと電話）を設置しています。自分の情報が対象に含まれるかは、この窓口が起点になります。
3. 不審な電話・メールを疑う土台を作っておく
漏れた可能性のある項目には、氏名・電話番号・希望条件が含まれます。「以前お問い合わせいただいた条件で、いい物件が出ました」と名乗る電話は、条件を知っていること自体が本人確認になりません。会社名を聞き、いったん切って、公式サイトに載っている代表番号にかけ直してください。
4. 開示と利用停止を請求できることを知っておく
個人情報保護法では、本人が事業者に対して保有個人データの開示を求めることができ、目的外に使われているなどの事情があれば利用停止も請求できます。また、漏えい等が起きたときに個人情報保護委員会へ報告し、本人へ通知する義務は事業者側にあります。連絡が来ないこと自体が、問い合わせをためらう理由にはなりません。
＼住所だけ・1分。問い合わせなくても相場は出せます／
氏名も電話番号も入れずに、全国1,525市区町村の実際の取引価格を見られます
私はこう見ています
この件でいちばん抜けているのは、件数でも犯人でもなく、「渡した情報がどこまで運ばれるか」を誰も先に説明していないことだと考えます。
物件情報サイトの問い合わせフォームには、個人情報の取り扱いへの同意欄があります。読めば「掲載企業へ提供します」とは書いてあります。ただ、その掲載企業がどんな業務システムに情報を入れ、そのシステムが何社に共通で使われているのかまでは、消費者側からは見えません。今回いえらぶCLOUDという名前を初めて知った人が大半でしょう。
私は、これを個々の会社の不注意の話としてではなく、問い合わせ1件が業界共通の基盤に集まる構造の話として読むべきだと見ています。集まっているからこそ、1か所が破られたときの範囲が広くなります。だから消費者側の実務的な自衛は、パスワードを強くすることではなく、問い合わせなくても分かることは問い合わせずに調べる、という順番の作り方になります。
不動産会社の側でどんな取り扱いミスが起きているかは、実務者向けにまとめた記事があります。あわせて読むと、渡す側と受け取る側の両方から同じ問題が見えます。
出典
- 株式会社いえらぶGROUP「当社のクラウドサービスへの不正アクセスに関するお知らせ」（2026年4月8日）
- 株式会社いえらぶGROUP「【第二報】当社のクラウドサービスへの不正アクセスに関する調査状況および今後の対応について」（2026年4月30日）
- アットホーム株式会社「他社サービスにおける個人情報の漏えいと弊社サービスへの影響について」（2026年5月1日）
- Internet Watch「いえらぶGROUP、クラウドサービスへの不正アクセスと情報の不正読み出しを確認」（2026年4月8日）
- 脆弱性の登録件数は米国国立標準技術研究所（NIST）のNVD API 2.0から、各年1月1日〜3月31日公開分を集計（2026年9月8日取得）
本文中の日付・引用は、2026年9月8日時点で各社が公開しているお知らせの原文によります。調査の進行に応じて内容が更新される可能性があります。
Googleで「おかあさんのおうち」の新着を優先表示する
災害・道路・住まいの新しい記事がGoogleのトップニュースに出やすくなります。ボタン1回で登録できます。
コメント