回答: 2026年11月6日、国土交通省からの周知依頼を受けて、全宅連が内閣官房国家サイバー統括室（NCO）の注意喚起「不正アクセスによる漏えい等の事案を踏まえた対応について」を会員向けに掲載しました。法改正ではなく、行政からの注意喚起です。 義務の条文が増えたわけではありません。
この文書では、自社のシステムに加えて、委託先を含むサプライチェーン全体の対策も求めています。3本の柱のうち1本がまるごと「サプライチェーンを通じた侵害への対策」に充てられ、委託先の対策状況の把握、委託契約での報告義務、提供する情報の最小化、業務終了後のデータ削除が並んでいます。
当てはまるのは、反響メール・顧客データ・物件情報を、自社以外の場所（ポータル、反響取込の仕組み、CRM、メール転送、チャット、入力代行）にも置いている会社です。反響をポータル経由で受けている会社の多くが当てはまります。紙とローカルPCを中心に運用している会社も、保守業者や外注先、業務用のクラウドが情報やシステムに関わっていないかは確認してください。外部との関わり方によって、確認すべき項目は変わります。
「これをやれば漏えいを防げる」という話ではありません。 文書が求めているのは、守る範囲を把握することと、起きたときに気づいて報告できる状態にしておくことです。
この記事でわかること
- 何が、どの経路で、いつ宅建業界に届いたのか
- これが法改正ではないこと、そのうえで文書が求めていること
- 仲介業で「委託先」に当たるのはどこまでか
- 今日見る3点（データの通り道／アカウントと転送設定／委託契約）
- 添付された支援メニューのうち、宅建業者が使える可能性があるのはどれか
- この記事で扱っていないこと
何が、どの経路で届いたのか
答え: 内閣官房国家サイバー統括室（NCO）が2026年10月9日付でまとめた注意喚起が、国土交通省の周知依頼を経て、2026年11月6日に全宅連の会員向けページに掲載されました。
NCOの文書は、冒頭で次のように状況を説明しています。
> 国家サイバー統括室では、ウェブシステムに係る脆弱性の悪用、サプライチェーンを通じた侵害、堅牢さを欠くデータ管理などにより、大量の個人情報を取り扱う事業者等の情報システムが不正アクセスにより侵入され、個人情報を含むデータが窃取される事案を複数確認しております。
そのうえで、「特に、大量の個人情報を取り扱う事業者や機微な情報を取り扱う事業者等」に対して、示された対策のポイントを参照し、対策の徹底を速やかに検討するよう求めています。宅建業者が一律に名指しされているわけではありません。ただし、国交省が所管業界へ周知を依頼し、全宅連が会員向けに掲載したという事実が、この文書が宅建業界にも届いた経路です。
全宅連の掲載文では、国交省からの留意事項として3点が挙げられています。
- 注意喚起には実務層だけでなく経営層へのメッセージも含まれているため、経営層にも伝えること
- サイバー攻撃の被害に遭った際は、被害の拡大を防ぐため、攻撃に関する情報を国土交通省等へ速やかに共有すること
- 政府が実施している事業者向けの支援メニューの資料も添付されていること（一部、対象分野が限定されているものもある）
その後、2026年11月5日に、NCOはこの10月9日の注意喚起に一連の攻撃の手口などを反映して内容を拡充し、個人情報を取り扱っている事業者等に向けて新たな注意喚起「個人情報の漏えい等につながる不正アクセスへの対策について」（副題「ウェブサイトやモバイルアプリに関する基本的な対策の徹底」）を公表しました。全宅連も11月9日に会員向けページへ掲載しています。拡充版では、原因とみられるものとして、モバイルアプリ開発時のセキュリティ対策の不足、ウェブサイト等の設定不備、サポートが終了しているソフトウェアや既知の脆弱性が未対策のソフトウェアの継続使用を挙げ、事業規模の大小を問わず、幅広い事業者が攻撃対象となっていると考えられるとしています。この記事は10月9日版を中心に整理しています。委託先まで含めて対策を求めている点は拡充版も同じで、1章を「サプライチェーンを通じた侵害への対策」に充てています（後述）。
- 【国土交通省】不正アクセスによる漏えい等の事案を踏まえた対応について（全宅連・2026年11月6日掲載）
- 不正アクセスによる漏えい等の事案を踏まえた対応について（NCO・2026年10月9日／国土交通省掲載PDF）
- 【国土交通省】国家サイバー室による個人情報の漏えい等につながる不正アクセスへの対策に係る注意喚起の公表について（全宅連・2026年11月9日掲載）
- 個人情報の漏えい等につながる不正アクセスへの対策について（注意喚起）（NCO・2026年11月5日／全宅連掲載PDF）
法改正ではない。では何を求めているのか
答え: 文書は注意喚起であり、新しい義務を課すものではありません。示されているのは「主な対策のポイント」で、1 ウェブシステム等の適切な管理、2 サプライチェーンを通じた侵害への対策、3 データの適切な管理、の3本柱です。
| 柱 | 中身 |
|---|---|
| 1 ウェブシステム等の適切な管理 | （1）脆弱性の適切な管理（2）アカウント管理・認証（3）レジリエンスの向上 |
| 2 サプライチェーンを通じた侵害への対策 | （1）委託先企業等のセキュリティ対策状況の把握（2）委託契約におけるセキュリティ要件の明確化（3）情報共有範囲の適正化（4）サプライチェーン全体のリスクマネジメント |
| 3 データの適切な管理 | （1）保有する情報資産の適切な管理（2）保有情報の最小化（3）適切なアカウント管理・アクセス制御（4）データ保護の徹底（5）ログ取得・監視・分析の強化 |
1と3は、個人情報保護委員会の注意喚起（2026年10月7日）でも扱われている範囲と重なります。そちらは別の記事で扱いました（個人情報保護委員会の注意喚起｜不動産会社が今日見る3点）。
この文書で特徴的なのは2です。 本文にはこう書かれています。
> サイバー攻撃への対策は、自社システムのみを対象として考えるのではなく、個人情報や業務情報を預ける委託先企業等を含むサプライチェーン全体で安全性を確保する観点で取り組むことが重要です。攻撃者は、比較的防御が弱い委託先企業等を足掛かりとして侵入し、その後、標的となる企業へアクセスを拡大する手口を用いることがあります。
つまり、自社のパソコンとネットワークだけを見ても足りない、という前提に立っています。
仲介業で「委託先」に当たるのはどこまでか
答え: まず、顧客情報や反響情報が通る先・残る先をすべて洗い出します。そのうえで、契約内容と情報の取扱いの実態に応じて、それぞれが委託先に当たるか、何を確認するかを整理します。ポータルやクラウドが委託先に当たるかは、利用の形によって変わります。
文書は業種ごとの例示をしていないため、ここからは不動産仲介の業務に当てはめた整理です（仮の整理であり、文書に書かれている分類ではありません）。
| 区分 | 具体例 | 預けている情報 |
|---|---|---|
| 反響の入口 | ポータルサイト、自社サイトのフォーム、一括査定 | 氏名・連絡先・希望条件 |
| 反響の通り道 | メール転送の設定、反響取込の仕組み、チャット通知 | 反響メールの中身そのまま |
| 顧客情報の置き場所 | CRM、SFA、グループウェア、表計算の共有ファイル | 顧客台帳・商談履歴 |
| 作業の委託 | 入力代行、資料作成の外注、コールセンター | 顧客情報の一部または全部 |
| その先 | 委託先がさらに使っているクラウド・再委託先 | 把握していないことが多い |
文書は（1）で「再委託先を含む管理状況を把握する」「契約締結時だけでなく、継続的に確認を行う」としています。契約時に一度確認して終わりにしない、という書き方です。
（3）の情報共有範囲の適正化には、「業務終了後の委託先でのデータ削除を徹底する」という項目があります。終わった案件の資料や、過去に渡した名簿が相手側に残っていないか、という論点です。これは自社の中を探しても見つかりません。
11月5日の拡充版でも、委託先からの接続経路（VPN・リモートデスクトップ・保守用回線など）の保護や、発注仕様書・業務委託契約書にインシデント発生時の通知義務・連絡先、契約終了時のデータ消去などの要件を盛り込むことが対策例として挙がっています。
今日見る3点
答え: 全部を一度にやる必要はありません。仲介業の実務で手を付けやすい順に3つ挙げます。
1. 反響と顧客データの通り道を書き出す
反響メールがどこに届き、どこを経由して、最終的にどこに残っているか。入口から保管場所まで、経路として書き出します。1か所でも「誰がいつ設定したか分からない転送」が見つかれば、それが今日の収穫です。
手順は別の記事に書きました（反響メールの転送先を棚卸しする方法｜4層に分けて書き出す）。
2. 退職者・異動者のアカウントと、その人に向いた転送設定
文書の1（2）には「退職者、異動者や利用されていないもの等の不要なアカウントを速やかに無効化する」とあります。アカウントを止めても、その人宛ての転送設定やチャット通知が生きていることがあります。アカウントと設定は別に確認します。
認証そのものの話は別の記事で扱っています（不動産業務システムのログイン｜MFA・パスキーの現在地と3つの確認）。
3. 委託契約に、漏えい時の報告義務が書いてあるか
文書の2（2）は「不正アクセスや漏えいが発生した場合の報告義務を規定する」「インシデント発生時の委託先との連携体制を整備する」としています。委託先で起きたことを自社が知る手段が契約にあるか、という確認です。規定が無い場合は、まず現行の連絡窓口と報告の手順を委託先と確認したうえで、扱っている情報やリスクに応じて、覚書の締結か契約改定の時期を検討します。
3点とも、道具を買う前にできることです。 確認の結果、置き場所を減らす・権限を分けるといった話が出てきたときに、初めて仕組みの検討になります。
添付の支援メニューは、宅建業者が使えるのか
答え: 添付された別添2「主なサイバーセキュリティ対策支援等メニュー例」には6つの支援が載っていますが、対象が「国土交通省が所管する全ての事業者」と書かれているものと、「重要インフラ事業者」に限定されているものがあります。
| 支援 | 資料に書かれた対象 |
|---|---|
| 情報セキュリティ対策の自己点検チェックリスト | 国土交通省が所管する全ての事業者 |
| 駆けつけ支援（被害発生時の職員派遣） | 国土交通省が所管する全ての事業者 |
| 相談窓口 | 国土交通省が所管する重要インフラ事業者 |
| ASM（攻撃されやすさの評価レポート） | 同上 |
| SNSモニタリング | 同上 |
| 重要インフラ統一基準・分野別安全ガイドライン | 重要インフラ分野 |
資料の注記では、重要インフラ事業者は航空、空港、鉄道、水道、物流、港湾の6分野とされています。宅建業はここに含まれないため、相談窓口・ASM・SNSモニタリングは対象外と読めます。
対象が「全ての事業者」と書かれている2つについては、資料の記載と掲載先の記載が一致していません。 資料はチェックリストの掲載先として国土交通省の情報セキュリティのページを案内していますが、そのページで公開されているのは「【共通】国土交通省所管インフラ分野向け情報セキュリティ対策チェックリスト（令和7年5月 第1版）」という名称のものです。駆けつけ支援についても、申し込み方法はこの資料に書かれていません。
宅建業者が実際にこの2つを使えるかどうかは、この資料だけでは確定できません。 使いたい場合は、国土交通省または所属する業界団体に対象かどうかを確認してください。全宅連の案内文にも「一部、対象分野が限定されているものもございます」と書かれています。
なお、別添2の最後には他省庁の関連情報として、中小企業向けの「サイバーセキュリティお助け隊サービス制度」（経済産業省・IPA）も挙げられています。こちらは国交省の所管に関係なく、中小企業が対象の制度です。
この記事で扱っていないこと
- 具体的な製品・設定の手順。文書は対策のポイントを示したもので、どの製品をどう設定するかは書かれていません。
- 自社が「大量の個人情報を取り扱う事業者」に当たるかどうかの判断。文書はその線引きを数値で示していません。
- 被害が起きたあとの対応手順。文書は国交省等への速やかな情報共有を求めていますが、報告の様式・期限は示されていません。個人情報保護法上の報告義務は別の制度です。
- 委託先の選び方。この記事は、いま預けている先を把握するところまでです。
よくある質問
これは法改正ですか
いいえ。内閣官房国家サイバー統括室による注意喚起で、国土交通省が所管業界へ周知を依頼したものです。新しい義務の条文が加わったわけではありません。ただし、個人情報保護法上の安全管理措置の義務は従来どおり存在します。
宅建業者は対象に含まれますか
10月9日版が名指ししているのは「大量の個人情報を取り扱う事業者や機微な情報を取り扱う事業者等」です。11月5日の拡充版は「事業者向け」とされ、特に、ウェブサイトやモバイルアプリを使用した事業を運用し、個人情報を取り扱っている事業者等に対策の確認を求めています。どちらの版にも、宅建業者が一律に該当するとは書かれていません。一方で、国交省が宅建業界へ周知を依頼し、全宅連が会員向けに掲載したという経緯があります。該当するかどうかにかかわらず、示された対策のポイント自体は規模を問わず参照できる内容です。
委託先が多すぎて、全部は確認できません
文書の2（4）には「重要な取引先や委託先を洗い出す」とあります。ここからは実務上の提案ですが、預ける情報の機微性と量、相手に渡しているアクセス権限で優先順位を付け、確認の担当者と期限を決める進め方が考えられます。文書が他の確認を後回しにしてよいと述べているわけではありません。
経営層に何を伝えればよいですか
文書の末尾に、経営層向けのメッセージがあります。不正アクセスで個人情報や業務情報が流出した場合、事業停止や顧客対応など多方面にわたる経営リスクへ発展する可能性があるとして、サイバーセキュリティ対策を経営課題と位置づけ、必要な投資や人的体制整備を含む対策の強化を求めています。この一文と、自社が外部に預けている情報の一覧を合わせて出すと、判断の材料になります。
まとめ
- 2026年11月6日、国交省の周知依頼で全宅連がNCOの注意喚起を掲載した。法改正ではなく注意喚起
- 3本柱のうち1本がサプライチェーンに充てられており、見る範囲が自社の外に広がっている
- 仲介業の「委託先」は、ポータル・反響取込・CRM・メール転送・チャット・入力代行とその再委託先まで広がる
- 今日できるのは3つ。データの通り道を書き出す／退職者・異動者のアカウントと転送設定を確認する／委託契約に報告義務があるか見る
- 添付の支援メニューは対象が分野で限定されているものがある。宅建業者が使えるかは窓口への確認が要る
まず、反響メールと顧客データがいま通っている経路を1枚に書き出すところから始めてください。
—
この記事を書いた会社
7plus株式会社 不動産会社向けの営業DX支援を行うITソリューションプロバイダーです。反響対応を即時化する「Mail2Link」「Mail2Link×AI」、ノーコード業務アプリ「BizBlock」の開発・提供に加え、Salesforce認定パートナーとして不動産特化型Salesforceパッケージの導入・定着コンサルティングも行っています。
詳しくはこちら → https://7plus.jp/
