玄関のチャイムが鳴り、「点検に伺いました」と告げられる。その一言が本物かどうかを見分ける手がかりが、少し減ったかもしれません。株式会社コロナが公表した漏えいの可能性のある情報には、氏名と住所に加えて「施工関連資料」が含まれています。同社は、点検を装う訪問への注意を以前から呼びかけてきた会社でもあります。
株式会社コロナは2026年8月28日、施工情報を管理する外部クラウドサービスが第三者による不正アクセスを受け、同社が保有する情報の一部が漏えいした可能性があると発表した。8月24日に第三者からの情報提供を受けて調査した結果、顧客の個人情報を含むデータが不正に流出した可能性を確認したという。
対象は同社が施工を請け負った顧客の氏名、住所、施工関連資料で、最大で35,000名分。現時点で情報の不正利用は確認されていない。同社は把握後ただちに対象クラウドサービスの全ユーザーアカウントを無効化して再設定し、個人情報保護委員会へ報告した。原因究明、被害範囲の特定、侵入経路の調査は外部の専門家と連携して継続中である。
個人情報相談窓口は8月31日開設予定とし、電話番号0120-560-782を公表した。
From: 
当社が利用するクラウドサービスへの不正アクセスによる個人情報漏えいの可能性に関するお知らせ（お詫び）
【編集部解説】
この公表を時系列に並べ直すと、ひとつの並びが見えてきます。ランサムウェアグループのリークサイトを監視するRansomware.liveが、Metaencryptorによる「Corona Corporation」の掲載を観測したのは、協定世界時の8月23日7時35分、日本時間では同日16時35分でした。コロナが第三者から情報提供を受けたのが翌24日、公表が28日です。ただし、これは監視側が観測した時刻であって攻撃者が投稿した瞬間とは限らず、24日の情報提供がこの掲載を知らせるものだったかも公表されていません。確認できるのは、外部の監視記録と同社への情報提供が、この順に並んでいるところまでです。
それでも、この並びは考える材料になります。自社のシステムの外側にあるサービスで何が起きているかを、自社のログだけで先に掴むのは難しいことです。だから注目したいのは、そこからの速さのほうです。情報提供から公表まで4日。同じ週に公表されたイエローハットの事案では、8月18日朝の検知から28日の公表まで10日でした。相談窓口の番号と開設予定日を最初の一報に書き込んでいる点も、受け取る側にとっては具体的です。
侵害されたのは、コロナの社内システムではなく、施工情報を管理する外部のクラウドサービスでした。サービス名も提供事業者名も、現時点では公表されていません。侵入経路がサービス側にあったのか、コロナが持つアカウントの認証情報だったのかも、調査の途中です。
目を引くのは初動の中身です。同社は把握後ただちに、対象サービスの全ユーザーアカウントを無効化し、再設定しました。パスワードの一括変更ではなく、アカウントそのものを一度落としています。原因が確定する前に、自分たちが握っている入口から手を付けた判断です。全アカウントの無効化・再設定は、利用企業側が実施できる主要な封じ込め策のひとつです。APIキーや外部連携、既存セッションの失効、監査ログの保全といった、封じ込めで併せて論点になる部分がどうなったかは公表されていません。
漏えいの可能性がある情報は、氏名、住所、そして施工関連資料。最大35,000名分です。この件数は調査中の上限であり、35,000名全員のデータが持ち出されたと確認されたという意味ではありません。
読むべきは、項目の数だけではなく組み合わせのほうです。施工関連資料に製品名や施工時期が含まれるかは明らかにされていません。ただ、仮に住所と設置製品を結び付ける情報が含まれていた場合、カード番号のように停止して作り直せる情報ではなくなります。コロナはエコキュートや石油給湯機、石油ファンヒーターを手がける住宅設備・暖房機器のメーカーであり、施工を請け負った案件の記録という性質上、この点は確かめておく価値があります。
というのも、コロナはこの種のリスクを以前から意識してきた会社だからです。同社は「定期点検等を装った訪問販売業者に関するご注意」を掲出し、メーカーから依頼を受けているような言い回しで「ご使用中のエコキュート・電気温水器等を無料点検します」と告げ、戸建住宅やアパート、マンションに戸別訪問する業者の情報が寄せられていると伝えています。長期使用製品安全点検制度のページでは、「弊社のメンテナンス代行店を装い」という手口も具体的に挙げています。
石油給湯機と石油ふろがまは、消費生活用製品安全法の特定保守製品として指定されており、法定点検を受ける時期が定められています。コロナは、点検を実施できる期間を製造年月から9年から11年の間と案内しています。つまり「点検に伺いました」という訪問は、本来まったく正当でありうる。だからこそ偽装が成り立ちます。そこに製品名や設置時期まで言い当てられる材料が加われば、玄関先での見分けは一段と難しくなります。
今日からできることは、訪問や電話をその場で判断しないことです。コロナは、社員や関連会社の社員が事前の連絡なく突然訪問することはないと明言し、不審に思ったら最寄りの支店・営業所へ確認するよう呼びかけています。相手が名乗った番号ではなく、コロナが公表している窓口にかけ直す。本件の個人情報相談窓口は0120-560-782（平日9時〜17時）です。
攻撃者側の動きにも触れておきます。Ransomware.liveは、8月23日にMetaencryptorが「Corona Corporation」を被害組織として掲載したことを記録しました。脅威情報を発信するHackmanacも同じ掲載を取り上げ、工事管理の記録、見積、発注書、作業依頼、完了・検査の報告、現場写真、地図、図面といった品目と、320GBというデータ量が主張されていることを伝えています。
ただし、これらはいずれも攻撃者を名乗る側の主張です。コロナは公表文で、ランサムウェアにも、特定のグループへの帰属にも、暗号化や身代金の要求にも触れていません。掲載されたとされるファイルの真正性を第三者が検証した形跡も、現時点では見当たりません。掲載の観測日が情報提供の前日にあたるという並びは事実として押さえたうえで、両者を同一の事象と断定せずに続報を待つ。それが今の適切な距離感だと考えます。
Ransomware.liveの記録では、8月23日にMetaencryptorの被害組織として観測されたのはコロナだけではなく、同じ日付で7組織が並んでいます。同サイトにおける直前の掲載記録は2025年6月で、記録する被害組織38件のうち、日本の組織はコロナ1件です。ただし、これは同サイトの観測範囲に限った集計であり、グループの活動停止や再開を示すものではありません。
制度の面では、報告の期限がひとつの時間軸になります。個人情報保護委員会は、不正な目的で行われたおそれがある漏えいについて、発覚日から60日以内の確報を求めています。8月24日を発覚日とすれば、60日目は10月23日。これは委員会への報告期限であり、調査の完了日や一般向けの続報の期限を意味するものではありませんが、時間の目盛りにはなります。
そしてもうひとつ、委託されたデータを扱う事業者への規律も、いま見直されています。2026年7月10日に成立し、17日に公布された改正個人情報保護法は、データ処理などを受託する側の適正な取扱いに関する義務を改めるものです。施行は一部を除き、公布から2年以内に政令で定める日とされています。現行法でも委託元には、委託先の選定や契約、取扱状況の把握を通じた必要かつ適切な監督が求められてきました。そのうえで、受託する側への直接の規律が加わっていく。サービスを借りて事業を回すことが当たり前になった実態に、制度の側が寄せられているところです。
コロナは1937年に新潟県三条市で石油コンロの製造から始まり、2017年に創業80年を迎え、いまは90周年に向けた特設サイトを開いています。施工関連資料の具体的な中身は公表されていませんが、施工を請け負った顧客との関係を記録した、事業上重要な情報であることは間違いありません。守るべき情報が増えたというより、事業の価値そのものがデータの形をとるようになった、というほうが実態に近いはずです。
住宅設備がネットワークにつながり、施工から保守までが一本のデータで結ばれていくほど、この記録の価値は上がっていきます。その価値を、事業者の側だけでなく、そこに住んでいる人の側からも守れるようにしていく。今回の公表は、その設計をどう組み直すのかという問いを、業界全体に差し出しているのだと受け止めています。
【関連記事】
【解説】イエローハット180万人漏えい｜4項目で止まった理由
同じ週に公表された国内の漏えい事案。自社検知から公表までにかかった日数と、漏えい項目が4つで止まった理由を掘り下げている。
さくらインターネット136万563の読み方｜確定件数ではない、それでも今日やること
事業者側の基盤が侵害された事案。確定件数ではない数値をどう読むかという論点が、本記事の最大35,000名という数字と重なる。
【解説】ニチレイ、攻撃者が「盗んだ」とするデータ公開─約10日で戻せた業務と、戻らない情報
攻撃者がリークサイトに掲載したデータをめぐる事案。攻撃者の主張と確認済みの事実をどう分けて書くかという扱いが共通している。
【編集部後記】
同じ日に出た二つの文書を並べると、一文だけ違いがあります。適時開示の末尾にある「本件が当社の業績予想に及ぼす影響については現在精査しております」。サイトのお知らせ版に、この行はありません。
宛先が違えば書くことが変わるのは当然です。ただ、影響を金額で測る作業と、自分の住所がどこへ行ったのかを気にする気持ちは、同じ一つの出来事から出ています。確報の期限までに進む調査が、その両方に答えるものであってほしいと思います。
【用語解説】
リークサイト
ランサムウェアグループなどが、侵害したと主張する組織名や窃取したとするデータを公開する専用サイト。多くはTorネットワーク上に置かれる。身代金の支払いを迫る圧力として使われ、被害組織名の掲載が当事者の公表より先に外部へ伝わることがある。
Metaencryptor
2023年ごろから観測記録のあるランサムウェアグループ。データを窃取したうえで公開すると脅す形の恐喝を行う。Ransomware.liveは2026年8月23日、同グループが「Corona Corporation」を被害組織として掲載したと記録している。
確報
個人情報保護法に基づく漏えい等報告のうち、事態の全容を報告する第二段階のもの。速報は概ね3日から5日以内、確報は原則30日以内。不正の目的をもって行われたおそれがある漏えいの場合は、発覚日から60日以内とされる。
特定保守製品と法定点検
消費生活用製品安全法に基づき、経年劣化による重大事故のおそれが高い製品を指定し、所有者に点検を受けてもらう仕組み。2021年8月の政令改正で対象は9品目から2品目に絞られ、現在は石油給湯機と石油ふろがまが指定されている。
APIキー
プログラム同士がサービスへ接続する際に用いる認証情報。人が画面から入力するパスワードとは別の経路で動くため、利用者アカウントを停止しても、APIキーが生きていれば接続が残ることがある。
監査ログ
誰が、いつ、どの操作を行ったかを記録したもの。侵害の範囲や経路を後から特定する材料になるため、侵入が疑われた段階で保全されているかどうかが調査の精度を左右する。
【参考リンク】
株式会社コロナ（外部）
新潟県三条市に本社を置く住宅設備・暖房機器メーカー。1937年創業。エコキュートや石油給湯機、石油ファンヒーターを手がける。
定期点検等を装った訪問販売業者に関するご注意（株式会社コロナ）（外部）
メーカーから依頼を受けたかのように装い、無料点検を名目に戸別訪問する業者への注意を、同社が具体的な文言を挙げて呼びかけているページ。
点検（有償）により安全確保に取り組んでまいります（株式会社コロナ）（外部）
法定点検の受付窓口と、点検を実施できる期間が製造年月から9年から11年の間であることを案内する、同社の長期使用製品安全点検制度のページ。
法定点検に関する法令改正のお知らせ（株式会社コロナ）（外部）
2021年8月の政令改正で、特定保守製品が9品目から2品目に絞られた経緯を、除外された製品名を挙げて同社が説明しているページ。
長期使用製品安全点検・表示制度（経済産業省）（外部）
制度の概要、ガイドライン、周知用パンフレットを掲載する所管省庁のページ。現在の対象は石油給湯機と石油ふろがまの2品目である。
漏えい等の対応とお役立ち資料（個人情報保護委員会）（外部）
漏えい等報告の速報と確報の期限や報告様式を掲載。不正な目的で行われたおそれがある場合は、発覚日から60日以内と明記している。
Ransomware.live（外部）
ランサムウェアグループのリークサイトを監視し、被害組織の掲載を日時とともに記録している追跡サイト。セキュリティ研究者が個人で運営している。
【参考記事】
コロナ、最大3万5000人分の顧客情報が漏洩か 不正アクセスで（外部）
公表当日の報道。漏えいの可能性がある人数を見出しに置いている。有料会員向けのため、全文の閲覧には登録が必要になる点に注意したい。
コロナのクラウド環境に不正アクセス 最大3万5,000名の個人情報漏洩の恐れ、ランサムウェア グループがサイバー攻撃で320GB保有を主張（外部）
公表内容とリークサイト側の主張を分けて整理した記事。320GBという主張がコロナ側で確認されていない点にも明示的に触れている。
Victim: Corona Corporation – metaencryptor（外部）
掲載の観測日時を2026年8月23日7時35分（UTC）と記録する被害者ページ。本記事の時系列は、この記録を根拠にしている。
Group: metaencryptor（外部）
同グループの被害組織一覧。8月23日付で7組織が並び、通算38件のうち日本の組織は1件であることが、この一覧から確認できる。
Metaencryptor Ransomware: Victims and Activity（外部）
別の追跡サービスによる同グループの集計。掲載日や総数がRansomware.liveと異なっており、観測範囲の違いが具体的に見て取れる。
令和8年改正個人情報保護法とは？ポイントを弁護士が解説（外部）
2026年7月に成立した改正法を、委託を受けた事業者の規律の見直しを含めて条文ベースで整理した、弁護士による解説記事である。
