不動産会社のセキュリティ対策は、「怪しいメールに気をつける」という呼びかけだけでは機能しなくなりました。生成AIによって攻撃メールの日本語が自然になり、文面のおかしさを手がかりにできなくなったためです。この記事では、被害が起きる前にできることだけに絞って、不動産の現場で狙われる5つの場面と、文面を読まずに止めるための手順、今日中に終わる設定を、公的統計の出典つきで解説します。A4一枚のチェックリストも無料で配布しています。
不動産会社がいま最優先で行うべきセキュリティ対策は、(1) メールと管理画面の2段階認証、(2) 振込先の変更依頼とログイン依頼を「別の経路」で確認する手順の明文化、(3) 退職時に止めるアカウントの一覧化、の3つです。いずれも費用がかからず、今日のうちに着手できます。生成AIによって攻撃メールの日本語が自然になり、「文面のおかしさ」で見分ける方法が通用しなくなったためです。
セキュリティの記事は、被害の大きさを並べて不安をあおる形になりがちです。この記事はそうしません。起きてしまった事案の詳細ではなく、起きる前に自社でできることだけを扱います。特定の会社で起きた事案には触れません。
「日本語が不自然だから怪しい」が通用しなくなった理由。不動産の仕事で狙われやすい5つの場面。文面を読まずに止めるための手順。今日中に終えられる設定。
専任の情報システム担当がいない不動産会社の方。店長・管理職・総務の方。「何から手をつければいいか分からない」状態からの出発を想定しています。
長いあいだ、偽メールの見分け方として「日本語が不自然」「文字化けしている」が共有されてきました。この手がかりが、生成AIの普及によって使えなくなりつつあります。
フィッシング対策協議会のフィッシングレポート 2026は、報告件数が月間20万件を超える水準で推移していることにあわせて、「生成AIを活用した巧妙な攻撃の増加など、脅威の質も変化しています」と記しています。文面の品質はもはや判断材料になりません。
警察庁の年次報告も、2026年3月公表の資料で「AIをめぐる脅威の情勢」を特集の筆頭に据え、生成AIを悪用してフィッシングサイトを作成した被疑者の検挙事例を挙げています。攻撃する側が同じ道具を手にした、という前提に立ち直す時期です。
| かつての見分け方 | いまどうなったか |
|---|---|
| 日本語が不自然 | 自然な敬語で書かれる。使えません |
| 誤字脱字がある | ほぼ無い。使えません |
| 差出人の名前が知らない人 | 取引先の担当者名で届く。使えません |
| ロゴや署名が雑 | 本物を複製できる。使えません |
| リンク先のドメインが違う | いまも有効。ただし人の目で毎回見るのは続きません |
| こちらが元から知っている連絡先で確かめる | いまも有効。この記事はここを手順にします |
文面を読んで判断する方法から、文面を読まずに止める手順へ切り替えるのが、いちばん確実で、いちばん安く済みます。センスのある人だけが見破れる状態をやめて、誰がやっても同じ結果になる手順にします。
ベンダーの調査ではなく、公的機関が出している数字だけを並べます。すべて出典のリンクを付けています。
| IPA「情報セキュリティ10大脅威 2026」組織編 | 順位 |
|---|---|
| ランサム攻撃による被害 | 1位（前年1位） |
| サプライチェーンや委託先を狙った攻撃 | 2位（前年2位） |
| AIの利用をめぐるサイバーリスク | 3位（初選出） |
| システムの脆弱性を悪用した攻撃 | 4位（前年3位） |
| 内部不正による情報漏えい等 | 7位（前年4位） |
| ビジネスメール詐欺 | 10位（前年9位） |
（10項目のうち、この記事に関係する6つを抜粋しています。出典：IPA「情報セキュリティ10大脅威 2026」組織編、2026年1月29日公表）
注目したいのは3位です。IPA（独立行政法人情報処理推進機構）が2026年1月29日に公表したこのランキングで、「AIの利用をめぐるサイバーリスク」が初めて選出され、いきなり3位に入りました。AIが攻撃側の道具になっていることと、AIを使う側のリスクの両方が含まれます。
件数の規模も押さえておきます。警察庁サイバー警察局「令和7年におけるサイバー空間をめぐる脅威の情勢等について」（2026年3月公表）によれば、2025年のフィッシング報告件数は245万4,297件で、右肩上がりの増加が続いています。同年のインターネットバンキングに係る不正送金事犯は4,747件・被害総額約103億9,700万円にのぼり、同資料は「フィッシングがその手口の約9割」と記しています。ランサムウェアの被害報告件数は226件でした。
国家公安委員会・総務大臣・経済産業大臣が公表している「不正アクセス行為の発生状況及びアクセス制御機能に関する技術の研究開発の状況」では、IDを盗む手口の内訳が変わってきました。2025年は「利用権者のパスワードの設定・管理の甘さにつけ込んで入手」が84件（21.1%）、「フィッシングサイトにより入手」が77件（19.3%）で、ほぼ並んでいます。数年前はフィッシング経由が数%にとどまっていたことを考えると、大きな変化です。パスワードの管理が不要になったわけではありませんが、本人が偽サイトに自分で入力してしまえば、どれだけ複雑なパスワードでも防げません。2要素目を置くことが先になります。
不動産は、メールやチャットで金額と口座番号が日常的にやり取りされる仕事です。しかも相手は取引ごとに変わり、初対面の関係者が何人も関わります。ここが狙われます。一般的なセキュリティ記事ではあまり書かれない、業務の形に沿った5つの場面を挙げます。
| 狙われる場面 | 気をつけたい点 |
|---|---|
| 決済直前の「振込先が変わりました」 | いわゆるビジネスメール詐欺（BEC）。金額も日付も正しく、文面も自然。やり取りの途中に割り込む形で届くため、違和感が出にくい |
| ポータル・レインズ・基幹システムのログイン依頼 | 「パスワードの有効期限が切れます」の形。管理画面は物件情報と顧客情報の両方に届く |
| オーナー・管理会社宛の送金案内 | 毎月決まった金額が動くため、1回の差し替えが通りやすい |
| 入居者・問い合わせ客を装った添付ファイル | 申込書・身分証の体裁で届く。開く理由が業務上あるため、添付を開く心理的な壁が低い |
| 退職者が持っているままのアカウント | 攻撃ではなく手続きの漏れ。IPAの10大脅威でも「内部不正による情報漏えい等」が7位に入っている |
5つ並べましたが、防ぎ方は1つで足ります。どれも「金額・口座・ログインが動くとき」に集中しているためです。次章の手順は、この共通点に対して作っています。
担当者の注意深さに頼ると、忙しい日にすり抜けます。「この条件が来たら、内容を読まずにこうする」という形にして、判断を挟まないようにします。
次のどれかに当てはまったら、文面が自然かどうかの判断をやめます。3つに絞るのは、増やすと覚えられないためです。
ここが要です。そのメールに返信したり、メールに書かれた電話番号にかけたりすると、同じ相手につながってしまいます。こちらが元から知っている連絡先に、自分からかけ直します。管理画面も同じで、メールのリンクからではなくブックマークから開きます。
「いくら以上は2人で確認するか」を社内で決めて、紙に書いておきます。金額は自社の取引規模で構いません。決めておかないと、急いでいる日に1人で処理されます。
「当社は、振込先の変更をメールだけでは受け付けません。必ずお電話で確認します」と、先に相手へ伝えておくと効果が上がります。こちらが確認の電話をかけることが失礼にあたらなくなり、相手側が狙われたときにも歯止めになります。契約書の送付状や初回の案内に1行入れておく形で足ります。
ここまでの内容を、印刷してデスクに置ける形にまとめました。自社の金額基準や連絡先を書き込む空欄を設けています。企業名・お名前・メールアドレスのご登録でダウンロードいただけます。
===========================================================
不動産会社のための セキュリティ確認チェックリスト
── 文面で見破るのをやめて、手順で止める ──
===========================================================
【1】発動条件 ── この3つのどれかが来たら、文面を読まない
□ 振込先・口座番号が、前回と違う／変更が告げられている
□ ID・パスワード・認証コードの入力を求められている
□ 「今日中」「至急」など、確認する時間を削る言葉がある
※ 日本語の不自然さ、差出人の表示名、ロゴの有無は判断材料に
しません。いずれも簡単に作れるようになりました。
【2】確認の手順 ── 必ず「別の経路」で
□ そのメールに返信しない。メール内の電話番号にかけない
□ メール内のリンクを踏まない
□ こちらが元から知っている連絡先に、自分からかけ直す
└ 控え先：［ ］
□ 管理画面は、メールからではなくブックマークから開く
□ 口座変更は、担当者1名の判断で実行しない
└ 必ず確認する相手：［ ］
■ 金額の線引き（自社で決める）
［ ］円以上の振込は、必ず2人で確認する
…（以下、【3】今日中に終わる設定 ／【4】人が入る日・辞める日に
やること ／【5】生成AIを使うときに足す1行 ／【6】起きて
しまったときの最初の1時間 ／ 出典、とつづきます）
テキストファイル（.txt）。印刷してもチャットに貼ってもお使いいただけます。
チェックリストのうち、設定作業はその日のうちに終わります。優先順位は次のとおりです。
外からの攻撃だけでなく、手続きの漏れも情報が出ていく経路です。IPAの10大脅威で「内部不正による情報漏えい等」は2026年版で7位と前年の4位から順位を下げましたが、10年以上にわたり選出され続けている項目です。悪意がある場合だけでなく、止め忘れたアカウントが残っていること自体がリスクになります。
対策は難しくありません。退職日に止めるものの一覧を一度作るだけです。一度作れば、次からは同じ紙を使い回せます。不動産会社の場合、メールやグループウェアに加えて、ポータル各社の管理画面とレインズを忘れやすいので、必ず入れてください。社用スマホと共有ドライブも同様です。
権限は、必要になった時点で足すほうが安全です。最初にまとめて全部渡すと、本人が把握していない権限が残り、退職時の棚卸しも抜けやすくなります。
顧客情報が外に出ることは、取引先との関係の問題にとどまりません。宅地建物取引業法は、業務上知り得た秘密を正当な理由なく他に漏らすことを禁じています（第45条）。従業者についても同じ義務が定められており（第75条の3）、いずれも、宅建業を営まなくなった後・従業者でなくなった後も続きます。前章の「退職日に止めるものの一覧」は、この義務を実際に守れる状態にするための作業でもあります。
あわせて、宅建業者は個人情報取扱事業者として、個人情報保護法にもとづく安全管理措置を講じる義務を負います（第23条）。アクセス制御や、不正アクセスの防止は、その具体的な中身として個人情報保護委員会が挙げているものです。つまりこの記事で挙げた2段階認証やアカウントの棚卸しは、「余裕ができたらやること」ではなく、法令上求められている体制の一部です。社内で優先順位を上げる材料になります。
個人データの漏えい等が発生した場合、個人情報保護委員会への報告と本人への通知が必要になることがあります（個人情報保護法第26条）。報告の対象になるのは、要配慮個人情報、財産的被害が生じるおそれがあるもの、不正アクセス等の故意によるもの、1,000人を超えるものの4類型です。不正アクセスによる場合は人数にかかわらず対象になり得る点に注意してください。報告は速報と確報の2段階で、確報には期限（原則30日、故意による場合は60日）があります。該当するかの判断は分かれるため、連絡先を先に控えておくのが現実的です。
IPAが2026年のランキングで「AIの利用をめぐるサイバーリスク」を初めて選出したのは、攻撃側の道具としてだけでなく、使う側のリスクも含んでいるためです。ここは守りの話と地続きなので、あわせて決めておきます。
線引きの具体的な作り方と、A4一枚のひな形は不動産会社のAI利用ルールの作り方にまとめています。入力してよい情報の判断に迷う場合は不動産AI活用の注意点4つ、宅建業法や規約との関係はその不動産AI活用、規約違反かも？もあわせてどうぞ。
備えの記事ですが、最初の1時間に何をするかを先に決めておくこと自体が、備えです。起きてから調べ始めると、取り返せる時間を失います。
パスワードを変え、すべての端末からログアウトさせます。同じパスワードを他のサービスでも使っていた場合は、そちらも変えます。
送金してしまった場合、組戻しができるかは時間との勝負になります。社内で検討する前に、取引銀行へ連絡してください。あわせて、都道府県警察のサイバー犯罪相談窓口へ相談します（窓口が分からない場合は、全国共通の警察相談専用電話「＃9110」から案内を受けられます）。
メールや画面を消したくなりますが、調査の材料になります。そのまま残してください。個人情報の漏えいが疑われる場合は、個人情報保護委員会への報告と本人への通知が必要になることがあります。自社に義務が生じるかを早い段階で確認します。
A. 攻撃は会社を選んで行われるとは限りません。フィッシングは広くばらまく形の攻撃が多く報告されており、規模による線引きはありません。また、IPAの10大脅威で2位に入っている「サプライチェーンや委託先を狙った攻撃」は、取引先に入るための踏み台として規模の小さい会社が狙われる型です。
A. 製品を検討する前に、この記事の範囲（2段階認証、確認の手順、退職時の棚卸し）を終えることをおすすめします。いずれも費用がかからず、効果の出かたが大きいためです。製品はその後で、残っている穴に合わせて選ぶほうが無駄がありません。
A. パスキーや生体認証に対応しているサービスであれば、むしろパスワード入力より速くなります。まずは対応しているサービスから切り替えると、負担感が出にくくなります。
A. 第4章で触れたとおり、先に「当社はこうします」と伝えておくのが解決策です。取引先を疑う行為ではなく、双方を守る手続きとして共有しておけば、確認の電話が自然なやり取りになります。
セキュリティの話は際限なく広がりますが、費用をかけずに今日終えられる範囲だけでも、入り口の大半は塞がります。まずはチェックリストを印刷して、空欄を埋めるところから始めてみてください。
AIの社内ルールと一緒に、確認の手順も決めておきませんか チェックリストの空欄（確認する相手、金額の線引き、止めるアカウントの一覧）は、自社の体制に合わせて決める部分です。当社は不動産会社のAI活用支援を行っており、AI利用ルールを整える流れのなかで、この手順書づくりもあわせてご相談いただけます。個別の法令解釈、セキュリティ製品の選定、被害発生時の法的対応については、所管官庁・顧問弁護士・警察・専門事業者へのご確認をおすすめしています。
入力してよい情報の線引きと、A4一枚のルールのひな形。この記事の第7章を詳しくした内容です。
個人情報の扱い、学習利用の設定、誤情報の確認。AIを使う側のリスクをまとめています。
宅建業法・公正競争規約・各ポータルの規約との関係を、場面別に整理しています。
藤田 遼（株式会社WIG 代表／宅地建物取引士）
不動産業界での実務経験をもとに、現場でそのまま使える生成AIの活用法を研究・発信。「今日からコピペで使える」を合言葉に、不動産特化のAIノウハウを届けています。