管理会社がサイバー攻撃を受けたら、オーナーの個人情報も漏れる｜実例と確認すべき3つの視点

管理を委託しているのだから、入居者対応や空室対策さえ任せておけば安心——そう考えているオーナーに知っておいてほしいのは、管理会社がサイバー攻撃を受けたとき、漏れる可能性があるのは入居者の情報だけではないということです。2024年に実際に起きた賃貸管理会社への攻撃事例を踏まえ、オーナー自身にどこまで影響が及ぶのか、何を確認しておくべきかを整理します。

実際に何が起きているのか｜賃貸管理会社への攻撃事例

以下は2024年に公表された実際の事例です。賃貸管理会社がサイバー攻撃を受ける事態は、架空の想定ではなく既に起きています。

大分県で賃貸管理業などを営む別大興産は、2024年10月24日午前7時40分頃、管理するサーバ等のデータベースが外部からのサイバー攻撃を受け、サーバが使用できない状態になったと公表しました。攻撃者は、データを使用不能にしたこと・個人情報を含むデータを複製したこと・金銭を支払わなければ第三者へ売却すると表示したとされています。同社は、クレジットカード情報は保持していないとした上で、賃貸物件の入居者・契約者（過去の契約者や退去者、連帯保証人や親族を含む）、公営住宅の申込者、賃貸物件のオーナーや不動産取引の顧客、現在・過去の従業員、提携する企業主導型保育所の入所者・保護者まで、漏洩の可能性がある情報の範囲を広く公表しました。原因はログ解析中として公表時点では特定されておらず、後の報道では委託先企業が設置したセキュリティ機器の設定に不備があったと伝えられています。

同じ2024年には、別の賃貸管理会社であるアベニューでもランサムウェアによる不正アクセスが発覚し、委託先の設定ミスが原因と報じられました。同社サーバへの侵入は4月上旬に確認され、個人情報が外部に持ち出された可能性があるとして8月26日に公表されています。いずれの事例にも共通するのは、攻撃の起点が管理会社自身のシステムではなく、業務を委託している外部の委託先・再委託先であったとされている点です。

漏れるのは入居者情報だけではない｜オーナー自身も対象になる

別大興産の事例で見落としてはならないのは、漏洩の可能性がある情報の対象に「賃貸物件のオーナーや不動産取引の顧客」が明記されていたことです。管理会社は、賃料の振込先となるオーナーの金融機関情報、本人確認情報、管理委託契約書など、入居者の情報と同じシステムにオーナー自身の情報も保管していることが少なくありません。つまり、管理を委託しているオーナーは、入居者情報の漏洩の「当事者（間接的な被害者）」であると同時に、自分自身の情報が漏れる「直接の対象」にもなり得ます。管理会社選びやその後の付き合い方を検討する際の視点は、収益物件の管理会社選びと空室対策完全ガイドで整理していますが、従来はキャッシュフローや入居者対応の質が中心で、このようなシステム面のリスクはあまり語られてきませんでした。

個人情報保護法上、誰が「報告する責任」を負うのか

個人情報保護委員会の案内によれば、漏えい等が発生した事業者には、次のいずれかに該当する場合に委員会への報告と本人への通知が義務付けられています（令和4年4月1日から適用）：要配慮個人情報が含まれる事態、財産的被害が生じるおそれがある事態、不正の目的をもって行われた漏えい等が発生した事態、1,000人を超える漏えい等が発生した事態です。報告は「速やか（概ね3〜5日以内）」の速報と、その後の確報の2段階で行われます。

不動産業に委任された報告先と期限

国土交通省の地方整備局の案内では、個人情報保護委員会から国土交通大臣に委任された業種（宅建業者など）については、委員会ではなく地方整備局（関東であれば関東地方整備局）へ報告することとされています。期限は、事案発覚日から3〜5日以内の速報、30日以内（不正な目的で行われたおそれがある場合は60日以内）の確報という2段階です。報告対象となるのは、要配慮個人情報を含む事態・財産的被害のおそれがある事態・不正目的が疑われる事態・1,000人を超える漏えいが生じた事態とされています。ランサムウェアによる漏洩は「不正の目的をもって行われた」事態に該当しやすく、確報の期限は60日以内になる可能性があります。

管理を委託している場合と自主管理の場合の違い

この報告義務を負うのは、個人データを実際に取り扱う事業者です。管理を委託している通常のケースでは、報告義務を負うのは管理会社であり、オーナー自身が委員会や地方整備局への報告義務を負うわけではありません。ただし、自主管理を行っており、オーナー自身（個人または資産管理法人）が入居者データベースを直接運用している場合は、オーナー自身が個人情報取扱事業者として報告義務を負う可能性があります。自主管理か管理委託かという選択は、空室対策やコストだけでなく、この情報管理責任の所在にも関わってくる論点です。

オーナーのキャッシュフローにどこまで影響しうるか

以下は理解しやすくするために単純化した仮想的な整理です。実在する統計や被害額のデータに基づくものではありません。別大興産の事例のように、管理会社のサーバが使用不能になると、賃料の入金確認・オーナーへの送金代行・入居者からの問い合わせ対応といった日常業務が一時的に停止する可能性があります。これは、オーナーにとっては賃料そのものが消えるわけではなく、入金や報告のタイミングが遅れる「時間差のリスク」として現れることが多いと考えられます。

ただし、停止期間がどの程度になるかは事案ごとに大きく異なります。別大興産の事例では、発覚から半年近く経過した2025年4月時点でも、ダークウェブ上での漏えいの事実確認作業が続いていたと報じられています。「平均的には何日で復旧する」といえるデータは確認できないため、一律の日数を前提にキャッシュフロー計算をすることは避けるべきです。むしろ、複数戸・複数棟を所有している場合に賃料収納を一つの管理会社・一つのシステムに集中させているときほど、停止時の影響範囲が広くなりやすいという構造を理解しておくことが重要です。管理委託料の料率だけでなく、委託範囲や体制を比較する視点は、管理委託料2％の差は、金利何％分に相当するのかで検証した考え方と合わせて検討する価値があります。

管理会社を選ぶ・見直すときに確認したい3つの視点

• 委託先・再委託先まで含めた体制を確認する：今回取り上げた事例はいずれも、管理会社自身ではなく業務委託先のセキュリティ機器の設定不備が原因とされています。管理会社に直接確認するだけでなく、システム運用やコールセンター業務をどこまで外部委託しているかも確認材料になります。
• インシデント発生時の連絡・報告フローを事前に確認する：契約書や重要事項説明の中で、システム障害や情報漏洩が発生した場合にオーナーへどのタイミング・方法で連絡が来るかが明記されているかを確認しておくと、実際に起きたときの対応が変わります。
• 自分の情報がどこまで保存されているかを把握する：賃料振込先の金融機関情報や本人確認情報など、オーナー自身がどの範囲の情報を管理会社に預けているかを把握しておくことは、漏洩時に自分が「対象者」になり得るかを判断する材料になります。

管理会社を変更すべきかどうかの判断軸は、契約解除の条件や違約金といった実務面を中心に管理会社を変更すべきタイミングとは？契約解除前に確認しておきたい5つのことで整理しています。セキュリティ体制への不安が理由になる場合も、まずは現在の契約条件を確認してから検討するのが現実的です。

RE-AIの診断は、物件の収益性・価格・融資・リスク・出口を数値で評価する設計であり、管理会社個別のシステム体制やセキュリティ対策の評価そのものは対象にしていません。管理会社選びに関わる収支面（管理委託料や空室対策コストなど）の判断は数値で検証できますが、情報セキュリティについては管理会社への直接確認や、必要に応じて専門家への相談と合わせて進める必要があります。

まとめ

賃貸管理会社がランサムウェアや不正アクセスを受ける事例は、2024年に複数報告されており、架空のリスクではありません。漏洩の対象には入居者だけでなくオーナー自身の情報が含まれることもあり、管理を委託している場合は管理会社が、自主管理の場合はオーナー自身が、個人情報保護法上の報告・通知義務を負う可能性があります。影響の大きさや復旧までの期間は事案によって大きく異なるため、一律の想定を前提にするのではなく、委託先まで含めた体制や連絡フローを事前に確認しておくことが、管理会社との付き合い方を考えるうえで重要です。

本記事は一般的な情報提供を目的としています。個人情報保護法上の報告義務の有無や範囲は、事案の性質・事業者の状況によって結論が異なるため、具体的な対応は弁護士や個人情報保護委員会などの専門機関にご確認ください。

参考資料・出典（情報確認日：2026年10月21日）

• 株式会社別大興産「不正アクセスとランサムウェア攻撃による個人情報漏洩のおそれ」に関する公表内容の報道（発生：2024年10月24日、公表内容の紹介記事を参照）
• 賃貸管理会社アベニューにおけるランサムウェア攻撃に関する報道（侵入確認：2024年4月上旬、公表：2024年8月26日、委託先の設定ミスが原因と報じられている）
• 個人情報保護委員会「漏えい等の対応（令和4年4月1日から適用）」公式ページ（報告・通知義務の対象事案、速報の時期の目安）
• 国土交通省地方整備局「個人データの漏えい等事案が発生した場合の対応について」公式ページ（委任業種の報告先、速報3〜5日以内・確報30日以内／60日以内の期限）