戸田建設株式会社は2026年10月7日、取引先への支払いを管理するシステム等への不正アクセスにより、取引先および自社従業員の情報が外部へ流出したと公表しました。流出対象には取引先担当者のメールアドレス最大7,200件に加え、口座情報を含む取引データ最大6,000件が含まれています。
支払い管理システム不正アクセスの経緯と被害規模
戸田建設が公表した内容によると、不正アクセスを受けたのは協力会社などへの出納・支払いを統括するWeb系基幹システムです。同社はインシデント検知直後に該当システムの通信を遮断し、個人情報保護委員会への報告を完了した上で、外部専門機関と連携したフォレンジック調査を進めています。
侵入検知から公表までのタイムライン
不正アクセスは2026年10月初旬に発生し、検知当日に出来高請求システムなどの協力会社向けサービスが停止しました。
| 年月日 | 事象および対応内容 |
|---|---|
| 2026年10月1日〜10月5日 | 支払い管理システム等から外部への不正通信・情報漏えいが発生 |
| 2026年10月5日 | 不正アクセスを検知。通信遮断（ネットワーク隔離）措置を実施し、出来高請求システムや協力会社ユーザー管理システムで障害発生 |
| 2026年10月7日 | 個人情報保護委員会への報告を完了し、公式サイトにて「個人情報漏洩に関するお知らせとお詫び」を公表 |
流出した情報の詳細と対象者
流出が確認された情報は、サプライチェーン上の協力会社に関する決済情報と、自社従業員の個人情報に分かれています。
| 区分 | 対象者・組織 | 漏えい項目 | 最大件数 |
|---|---|---|---|
| 取引先情報 | 支払いシステムを利用する取引先企業 | 担当者メールアドレス | 最大7,200件 |
| 取引データ | 支払いシステムを利用する取引先企業 | 取引先データ（振込口座情報等を含む） | 最大6,000件 |
| 従業員情報 | 戸田建設の従業員 | 氏名、住所、電話番号、メールアドレス、所属部署 | 4,778名分 |
戸田建設は、現時点で流出情報が不特定多数に公開された事実や不正利用された形跡は確認されていないとしつつ、関係者を騙る不審なメールやSMSへの警戒を呼びかけています。
建設業界を標的とするサイバー攻撃の背景
警察庁サイバー警察局が公表した「令和6年上半期におけるサイバー空間をめぐる脅威の情勢等について」によると、ランサムウェア被害の業種別件数において建設業は製造業・サービス業・卸売小売業に次ぐ第4位に位置しています。
建設業界における侵入経路は、感染経路が判明した事案の半数近くがVPN（仮想プライベートネットワーク）機器の脆弱性を突かれたものです。協力会社との施工図面共有や電子請求、出来高確認のために社外開放されたネットワーク境界の管理が、侵入の足がかりとなっています。
参考記事: 政府重要インフラ指針案、150項目提示で閉域網過信を否定し設備BCP変革へ
サプライチェーン各層に及ぶ実務への影響
支払い管理システムの停止と取引先データの流出は、元請けゼネコンだけでなく、連鎖する専門工事業者の資金繰りや連絡体制にも波及しています。
ゼネコン（元請け）：基幹業務停止に伴う月次決済オペレーションの遅延
ゼネコンにとって、出来高請求システムや支払い管理システムのネットワーク隔離は、月末・月初に集中する下請代金の支払業務に直結します。通信遮断により自動振込や電子照合が停止した場合、手作業による帳票確認やファクス・電話を用いた二重確認が必要となり、経理調達部門の業務負荷が急増します。
また、2022年4月に全面施行された改正個人情報保護法に基づき、一定規模以上の漏えいや取引・決済情報の流出は個人情報保護委員会への報告義務および本人通知義務が課されます。戸田建設のような準大手ゼネコンがシステム復旧とフォレンジック調査、数千社に及ぶ取引先への個別通知を並行して進める過程では、巨額の事故対応コストと工数が生じます。
サブコン・専門工事業者：振込先詐欺と二次被害への防衛対応
流出対象に「担当者メールアドレス最大7,200件」および「口座情報を含む取引データ最大6,000件」が含まれている点は、下請負企業にとって実被害のリスクを伴います。漏えいした過去の発注金額や口座番号、担当者氏名を悪用し、実在の元請け担当者を装って「振込先口座の変更」や「追加請求の支払い」を求めるビジネスメール詐欺（BEC）の標的となる危険性があるためです。
一次・二次下請のサブコン各社は、元請けから送られてくる請求関連の電子メールに対して無条件の信用を置く運用を即刻停止しなければなりません。請求額や口座変更に関する通知を受信した際は、メール記載の連絡先ではなく、あらかじめ取り交わした現場代理人や工事事務所の固定電話に直接連絡し、事実関係を照合する手順が求められます。
参考記事: 重層下請構造とは？ピラミッド型組織の仕組み・背景と現場リスクを徹底解説
ConShiftの視点：決済基盤の電子化がもたらすサプライチェーン脆弱性の構造転換
受発注や出来高査定、請求書の電子発行といった建設DXが進展した結果、元請けの支払い基盤は「重層下請網の結節点」としてサイバー攻撃者の標的となりやすくなっています。従来、紙の請求書や手形で行われていた商取引がWebポータルに集約されたことで、元請けの特定サーバー1台への侵入が、数千社におよぶ協力会社の機密情報へ到達する近道となったためです。
一般社団法人日本建設業連合会（日建連）は「元請会社における情報セキュリティガイドライン」や「協力会社における情報セキュリティ対策について」を策定し、境界防御にとどまらない対策を求めています。しかし、出来高請求ポータルへのログイン認証がID・パスワードのみに依存していたり、VPN機器のパッチ適用が遅れていたりする運用が残存していれば、サプライチェーン全体が危機に晒されます。
戸田建設のインシデントは、電子調達・決済システムを外部公開する際、多要素認証（MFA）の義務化と、決済データベースへのアクセスログ常時監視が欠かせないことを示しています。協力会社側も「元請けのシステムだから安全」という前提を捨て、送受信される決済連絡を常に検証するゼロトラストの運用規程を自社内に設ける段階に来ています。
支払い・受発注データの漏えいを防ぐための必須アクション
戸田建設の不正アクセス事案を踏まえ、元請け・下請け双方が直ちに着手すべき実務対策を整理します。
- 取引先・元請けからの振込先変更依頼に対する「電話確認ルール」の徹底
出来高請求や支払通知に関連するメールを受信した際、添付ファイル（PDFやZIP）の安易な開封を禁止するとともに、口座変更や振込期日変更の連絡については、過去の契約書に記載された正規の担当部署へ電話で直接照合する二重確認フローを義務付けます。
- 取引先向けポータルおよび社内基幹システムにおける多要素認証（MFA）の導入
IDとパスワードのみでログイン可能な外向けシステムを排除し、スマートフォンアプリやハードウェアトークンを用いた多要素認証を必須化することで、万一認証情報が流出した際の不正ログインを防ぎます。
- VPN機器およびネットワーク境界機器のファームウェア緊急点検
警察庁の統計で最多の侵入経路となっているVPN機器について、サポート終了（EOL）モデルの使用停止、既知の脆弱性に対するセキュリティパッチの即時適用、および管理画面へのアクセス制限を再点検します。
- サプライチェーン全体を対象としたサイバー事故発生時の連絡網整備
協力会社向けのWebシステムが遮断された場合に備え、請求・支払業務の代替運用手順（オフライン照合マニュアル）を定めるとともに、インシデント検知時に一次・二次の協力会社へ速やかに注意喚起を発信できるエスカレーション経路を確立します。
出典: ScanNetSecurity
出典: 戸田建設株式会社
出典: livedoor News
出典: ASCII.jp
