コロナ第2報約2万4000人と認証管理の不備を分けて読む

資料で確認できること

8月24日に情報提供で把握、28日初報、10月22日に確認結果を公表

会社は8月24日、外部クラウドサービスについて外部専門家から情報提供を受け、施工案件に関する情報が流出した可能性を把握して調査を始めました。8月28日の初報では、個人情報を含むデータの漏えいの可能性を公表しました。

10月22日の第2報では、インターネット掲載情報と保管ファイルの一致、特定アカウントの認証情報の漏えい、そのアカウントからのデータダウンロードを確認したと説明しました。把握日、初報日、第2報日を分けて確認します。

• 資料 01株式会社コロナ：当社が利用するクラウドサービスへの不正アクセスによる個人情報漏えいの可能性に関するお知らせ お詫び
• 資料 02株式会社コロナ：当社が利用するクラウドサービスへの不正アクセスによる個人情報漏えいの可能性に関するお知らせ お詫び 第2報

資料で確認できること

掲載情報の一致と、特定アカウントからのダウンロードを確認

会社は、インターネット上に掲載されていた情報が、外部クラウドサービスで保管していたファイルと一致したとしています。さらに、特定アカウントの認証情報が漏えいし、そのアカウントの操作履歴にデータのダウンロードがあったことを確認したと説明しています。

初報の「可能性」から、第2報では一部の漏えいとダウンロードを確認した段階へ進んでいます。ただし、すべての対象情報について外部掲載や持ち出しが確認されたという説明ではありません。

• 資料 02株式会社コロナ：当社が利用するクラウドサービスへの不正アクセスによる個人情報漏えいの可能性に関するお知らせ お詫び 第2報

当事者の説明

氏名、住所、電話番号、施工関連資料　対象概数は2万4000人

漏えい、または漏えいした可能性がある情報には、氏名、住所、電話番号、施工関連資料が含まれ、対象となる本人の概数は2万4000人とされています。

「約2万4000件」ではなく、会社は「対象となるご本人の概数は24,000名」と説明しています。個々の対象者に該当する情報項目、施工資料の種類、実際に外部掲載またはダウンロードされた人数は、第2報だけでは確定できません。

• 資料 02株式会社コロナ：当社が利用するクラウドサービスへの不正アクセスによる個人情報漏えいの可能性に関するお知らせ お詫び 第2報

当事者の説明

認証情報の漏えいに加え、多要素認証なし・弱いパスワードを要因と説明

会社は、外部に漏えいした特定アカウントの認証情報が第三者に使われた可能性が高いと評価しています。当該アカウント以外の認証情報の漏えいは確認していないとしています。

同時に、そのアカウントには多要素認証が設定されず、IDとパスワードだけでログインでき、パスワードも十分な強度ではなかったと説明しています。会社は、これらの認証管理上の不備も不正アクセスを防げなかった要因の一つと認識しています。認証情報が漏えいした経緯は調査中です。

• 資料 02株式会社コロナ：当社が利用するクラウドサービスへの不正アクセスによる個人情報漏えいの可能性に関するお知らせ お詫び 第2報

当事者の説明

全アカウントを無効化・再設定し、多要素認証と通知を進める

会社は、対象クラウドサービスの全ユーザーアカウントを無効化して再設定し、不正アクセスを受けたアカウントの停止、パスワード強化、多要素認証の設定を行ったと説明しています。

情報流出の可能性があるデータを精査して対象者を特定し、順次個別に連絡する予定です。監視体制の強化、従業員へのセキュリティ教育も進めるとしています。

• 資料 02株式会社コロナ：当社が利用するクラウドサービスへの不正アクセスによる個人情報漏えいの可能性に関するお知らせ お詫び 第2報

未確認の点

認証情報の漏えい経緯、確定人数、通知完了、二次利用は未確認

10月25日の確認時点で、認証情報が漏えいした経緯、不正アクセスの開始日時、ダウンロードされたファイルの全容、約2万4000人のうち実際に漏えいが確認された人数、個別通知の完了状況は公開資料だけでは確定できません。

会社は情報の不正利用を確認していないとしています。これは第2報時点で把握した状況であり、第三者共有や今後の二次被害がないことを保証するものではありません。

• 資料 02株式会社コロナ：当社が利用するクラウドサービスへの不正アクセスによる個人情報漏えいの可能性に関するお知らせ お詫び 第2報

確認の範囲

このコラムの確認範囲

本稿は2026年10月25日に取得した株式会社コロナの8月28日付初報と10月22日付第2報を照合しました。JBJは会社、施工関係者、対象者、クラウド事業者、外部専門家、関係当局、攻撃者へ直接取材しておらず、クラウドサービス、ログ、掲載情報、漏えいファイル、個別通知を独立に確認していません。掲載画像は確認範囲を整理する説明用イメージで、実際の人物・設備・画面・資料・施工案件・被害記録ではありません。

• 資料 01株式会社コロナ：当社が利用するクラウドサービスへの不正アクセスによる個人情報漏えいの可能性に関するお知らせ お詫び
• 資料 02株式会社コロナ：当社が利用するクラウドサービスへの不正アクセスによる個人情報漏えいの可能性に関するお知らせ お詫び 第2報

JBJの見解

施工情報の漏えいを重く扱い、製品利用者全体へ広げない

氏名、住所、電話番号、施工関連資料を含む情報について、実際のインターネット掲載とデータのダウンロードが確認されたことは重大です。対象者の特定と通知、認証管理の改善、調査結果の更新が必要です。

一方、公式発表は同社の全顧客、全製品、全システムの情報が漏えいしたとは説明していません。施工情報を管理する外部クラウドサービスの事案として、確認された範囲を示す必要があります。

JBJの見解

施工案件、届いた連絡、登録情報、不審な連絡を整理する

対象となる可能性がある人は、同社や施工事業者から届いた連絡、施工時期、登録した連絡先、身に覚えのない郵便・電話・メール、公式窓口へ確認した内容を分けて記録してください。住所や施工資料をSNSへ掲載しないでください。

会社や施工事業者が説明するときは、確定した対象者、可能性のある対象者、該当項目、通知状況を分け、約2万4000人という概数だけで個々の対象を決めつけないことが重要です。

• 資料 02株式会社コロナ：当社が利用するクラウドサービスへの不正アクセスによる個人情報漏えいの可能性に関するお知らせ お詫び 第2報

JBJの見解

認証管理の問題を小さくせず、利用者や施工関係者へ責任を広げない

多要素認証がなく、パスワード強度も不十分だったとの会社説明は、再発防止を検証する上で重要です。会社とサービス提供側には、なぜ管理が改善されなかったのか、対策が有効かを説明する責任があります。

一方、施工を依頼した人や現場関係者に不正アクセスの責任を広げる根拠はありません。確認された管理上の問題と、対象者への攻撃や未確認情報の拡散を分けます。