L-ポケット情報漏えい3379人と社内基幹システムの非該当を分ける

資料で確認できること

10月13日に不正アクセスを検知し、外部アクセスを遮断

LIXILは10月13日、リフォーム事業者向けの『L-ポケット』『L-ポケットLite版』のシステムで第三者による不正アクセスを検知したと公表しました。検知後、外部からのアクセスを遮断しています。

会社は『L-ポケット』のサービスとアプリ運用、アプリストアでの公開を一時停止しました。安全に利用できる環境を再構築・確認した上で、再開時期を検討すると説明しています。

• 資料 01株式会社LIXIL：LIXILが提供する業務支援アプリケーション『L-ポケット』における不正アクセスに伴う登録会員情報漏えいについてのお詫びとご報告

当事者の説明

登録会員など3379人の情報漏えいを確認

会社は、両サービスの登録会員と、LIXILおよびグループ会社の従業員・退職者を合わせた3379人の情報が漏えいしたと説明しています。このうち従業員・退職者は375人です。

対象項目は、氏名、フリガナ、メールアドレス、生年月日、性別、会員番号または登録コード、会社名・住所・電話番号・部署名・業種分類などの事業者情報です。個人ごとに漏えいした項目がすべて同一かどうかは、この発表だけでは分かりません。

• 資料 01株式会社LIXIL：LIXILが提供する業務支援アプリケーション『L-ポケット』における不正アクセスに伴う登録会員情報漏えいについてのお詫びとご報告

当事者の説明

決済情報への影響はなく、社内基幹システムへの侵入は確認されていない

公式発表は、クレジットカードや銀行口座などの決済情報への影響はないとしています。また、社内基幹システムや社内ネットワークへの侵入・不正アクセスは確認されていないと説明しました。

『確認されていない』は、発表時点の調査結果を示す表現です。対象サービスで漏えいが確認された事実と、別のシステムで侵入が確認されていないことを、どちらも条件を落とさず伝える必要があります。

• 資料 01株式会社LIXIL：LIXILが提供する業務支援アプリケーション『L-ポケット』における不正アクセスに伴う登録会員情報漏えいについてのお詫びとご報告

当事者の説明

対象者への個別通知を10月19日から開始

LIXILは10月19日から、対象者へ順次メールで謝罪と事実関係を案内するとしています。個人情報保護委員会などの関係機関にも報告したと説明しました。

会社は、発表時点で本件に起因する個人情報の不正利用などの二次被害を確認していないとしています。同時に、漏えい情報を悪用した不審なメールやSMSが発生する可能性を挙げ、リンクや添付を開かないよう注意を呼びかけています。

• 資料 01株式会社LIXIL：LIXILが提供する業務支援アプリケーション『L-ポケット』における不正アクセスに伴う登録会員情報漏えいについてのお詫びとご報告

未確認の点

侵入経路、漏えいした項目の個人別範囲、再開時期は未確認

10月20日の確認時点で、不正アクセスの詳しい侵入経路、アクセスが可能だった期間、個人ごとに漏えいした具体的な項目、第三者による利用の有無、再発防止策の詳細、サービス再開時期は確定していません。

既存データの改ざん・破壊は確認されていないとの説明はありますが、将来を含む安全や二次被害ゼロを保証するものではありません。反対に、発表にない不正契約や金銭被害を今回の結果と断定する根拠もありません。

• 資料 01株式会社LIXIL：LIXILが提供する業務支援アプリケーション『L-ポケット』における不正アクセスに伴う登録会員情報漏えいについてのお詫びとご報告

確認の範囲

このコラムの確認範囲

本稿は2026年10月20日に取得した株式会社LIXILの10月19日付公表を確認したものです。JBJは会社、登録会員、従業員・退職者、関係機関、外部調査会社、攻撃者への直接取材や、システム・ログ・漏えいデータの独立調査を行っていません。掲載画像は対象サービスと別システムの範囲を照合する説明用イメージで、LIXILの実際の職員・会員・設備・画面・資料・被害記録ではありません。

• 資料 01株式会社LIXIL：LIXILが提供する業務支援アプリケーション『L-ポケット』における不正アクセスに伴う登録会員情報漏えいについてのお詫びとご報告

JBJの見解

サービス単位の漏えいを、会社全体の侵入と同一視しない

企業が提供する一つのサービスで情報漏えいが確認されると、会社のあらゆるサービスや社内ネットワークが侵入されたかのような表現が広がることがあります。今回の公式発表は、対象サービスと社内基幹システムを分けています。

ただし、範囲が限定されていることは、確認された3379人の漏えいを小さく扱う理由にはなりません。対象者の通知、二次被害の防止、原因と再開条件の説明を、サービス単位の正確な範囲で確認する必要があります。

JBJの見解

利用サービス、登録情報、個別通知、不審な連絡を整理する

登録会員、従業員、退職者は、自分が利用・登録したサービス、登録時期、登録した情報の種類、会社から届いた個別通知、公式発表のURLと確認日、不審なメール・SMSを分けて保存してください。

届いたメールだけで正規性を判断せず、会社の公式発表と公式窓口から照合してください。パスワードや認証コード、個人情報を公開投稿へ添付する必要はありません。

• 資料 01株式会社LIXIL：LIXILが提供する業務支援アプリケーション『L-ポケット』における不正アクセスに伴う登録会員情報漏えいについてのお詫びとご報告

JBJの見解

確認された責任を明確にし、無関係な範囲へ攻撃を広げない

登録会員情報の漏えいが確認された以上、会社には、原因、個別の対象、通知の到達、再発防止、安全な再開条件を説明する責任があります。対象者や取引先が具体的な説明と改善を求めることは正当です。

その検証を進めるためにも、対象サービスの事案を、影響が確認されていない別システムや無関係な従業員の責任へ広げるべきではありません。JBJはLIXILを批判から免れさせるのではなく、確認された漏えいと、確認されていない範囲を同時に正確に示します。