補助金事務局から1万6,950事業者の情報漏洩。2026年10月、工務店が今週やる7項目

2026年10月、何が起きたのか

4つの事案が1週間に重なりました。いずれも工務店の日常業務に直接つながります。

日付	事案	規模	工務店への影響	出典
10月20日	住宅省エネ2024キャンペーン事務局（運営：博報堂）の申請システムへの不正アクセス	登録事業者16,950事業者・23,918名（速報値）。代表者氏名・役職、個人事業主の氏名・住所、担当者の氏名・部署・電話・メール	事務局や取引先を騙るメール・電話の標的に。消費者情報の漏洩は確認されていない	国土交通省
10月21日 23:00	PHPの重大脆弱性2件の公開（CVSS 4.0 9.2、サーバー乗っ取りの恐れ）	修正版 8.5.12／8.4.27／8.3.36／8.2.35	WordPressのホームページ・LP・問い合わせフォームが対象。レンタルサーバー各社が管理画面などを一時停止	GIGAZINE／エックスサーバー
10月20日〜	お名前.com デスクトップクラウド（GMO）への不正アクセス	26,739台のサーバーを停止、再開未定。FX口座の不正取引の報告	クラウド上のPC環境を使う会社は業務停止。パスワード変更・2段階認証の指示	Impress Watch
10月21日〜	メール配信サービス（ブラストメール）の不正侵入による配信停止と、全契約者の契約情報の漏えい	再開未定	メルマガ・見学会案内が送れない。契約者の会社名・連絡先も漏えい（配信リストは一部の契約）。Make Houseでも配信が止まった	ブラストメール

背景にある数字も確認しておきます。東京商工リサーチによると、上場企業の100万件以上の情報漏洩は2026年10月5日までに10件で、2025年の年間6件をすでに上回り過去最悪のペースです。東京商工会議所の2026年調査（1,381社）では、サイバー攻撃の被害が「ない」と答えた会社は約6割に減り、「取引先や委託先が攻撃を受けて自社の業務に影響した」が約2割に増えました。自社が攻撃されなくても、事務局や配信サービスが止まれば工務店の業務は止まります。

なぜ工務店が狙われるのか

理由は3つ。補助金で事業者登録をしている、施主の資産情報を預かっている、ホームページの保守が外注任せになっている、からです。 住宅省エネキャンペーンの登録事業者は、補助金を使う工務店のほぼ全てです。漏れた情報は「どの工務店の、誰が、どのメールアドレスで補助金を扱っているか」であり、事務局を名乗って「交付申請に不備があります」「完了報告の書類を添付で送ってください」と送れば、開封率は高くなります。工務店は施主の年収・借入・土地・図面を預かっており、1件の侵入で複数世帯の情報が流出します。10月の面談でも、設計・申請の外注先が分散し、窓口が複数ある工務店（静岡・年間15棟、公共工事中心の工務店）があり、外注先の数だけデータの出入口が増えています。

今週やる7項目

項目1：事務局・取引先を騙るメールを「開かない」運用にする

国交省の注意喚起は「不審なメールは添付を開かず、リンクを押さず、削除」です。 事務局からの連絡は、公式サイトに掲載された連絡先（住宅省エネキャンペーン事務局 0570-062-065）に電話で確認してから対応する、と社内で決めます。補助金・銀行・設備メーカーを名乗るメールは、11月中は全て「電話で裏取り」にします。

項目2：ホームページ・LP・問い合わせフォームのPHPを更新する

WordPressのサイトは、PHPが修正版（8.3系なら8.3.36以降）に更新されたかを、今週中に保守会社へ確認します。 エックスサーバーなど主要なレンタルサーバーは10月21〜22日に対応を進めましたが、サーバー側の対応と、サイト側のPHPバージョン設定は別です。Make Houseのホームページも10月22日にテスト環境で動作確認をしたうえで本番を更新しました。「保守会社に聞いても分からない」サイトは、それ自体が保守の空白です。

項目3：パスワードと2段階認証を、業務で使う全アカウントに

Googleアカウント、Instagram、LINE公式、顧客管理（CRM）、銀行、補助金ポータルの6系統を、2段階認証ありにします。 VPSの事案では、パスワード変更・2段階認証・セッション終了が利用者への指示でした。工務店の集客はInstagramとLINEに寄っており、乗っ取られれば施主に直接偽メッセージが届きます。

項目4：施主情報の保管ルールを1枚にする

「どこに・誰が・いつまで」を1枚にします。 資金計画書・源泉徴収票・図面・ローン事前審査の控えは、共有ドライブの権限を案件ごとに分け、引き渡し後は保管期限を決めて削除します。紙の持ち出しと、個人のスマートフォンでの写真保存は禁止にします。

項目5：バックアップを「戻せるか」で確認する

ホームページ・顧客データ・図面の3つを、月1回「実際に復元できるか」まで確認します。 バックアップがあっても戻せなければ意味がありません。VPSの事案では、サーバーが止まったまま再開未定の状態が続いています。自社の業務が何日止まったら受注に響くかを、先に決めておきます。

項目6：取引先経由のリスクを一覧にする

プレカット、設備、設計・申請の外注先、メール配信、ポータルサイト。自社のデータが流れる先を一覧にし、連絡窓口を1つに絞ります。 東商調査で増えたのは「取引先が攻撃されて自社に影響」の2割です。外注先が増えるほど、窓口と権限の整理が対策になります。

項目7：施主とOBに先に告知する

漏れたのが事業者情報である以上、工務店の名前で施主に偽メールが届く可能性があります。先に告知した工務店が信頼を守ります。 テンプレートは次の通りです。

よくある質問

まとめ

• 10月20日の事務局漏洩（16,950事業者・23,918名）、21日のPHP重大脆弱性、20日からのVPS不正アクセスが同じ週に重なった。工務店は「事業者として狙われる側」になった。
• 消費者情報は漏れていないが、工務店の名前で施主に偽メールが届く前提で、先に告知する。
• 7項目（偽メール運用／PHP更新／2段階認証／保管ルール／復元確認／取引先一覧／告知）は今週中に終わる。費用がかかるのは2つだけ。

経営の課題解決ページを見る

出典

• 国土交通省 「住宅省エネ2024キャンペーン」の事務局における登録事業者情報の漏洩の可能性について（10/20）
• 熊本日日新聞（共同通信） 国住宅事業で情報漏えいか 事業者2万3千人超（10/20）
• GIGAZINE PHPの重大な脆弱性公開を前に国内サービスが一斉メンテナンス（10/21）
• エックスサーバー 予防的な安全対策に伴う公式サイト・管理画面等の一時停止のお知らせ（10/21）
• Impress Watch お名前.com デスクトップクラウド 不正アクセス 26,739台（10/23）
• お名前.com 不正アクセスに関するお知らせ
• ブラストメール 緊急停止および個人情報漏えいに関するお詫びとご報告（10/27更新）
• ScanNetSecurity 東京商工リサーチ 上場企業の個人情報漏えい 100万件以上が10件（10/21）
• ScanNetSecurity 東京商工会議所2026年アンケート サイバー攻撃「被害経験なし」約6割へ減少（9/8）
• IPA 中小企業の情報セキュリティ対策ガイドライン