見つけたのは攻撃者ではなく、システムを預かっていた委託先でした。うどんチェーン「資さんうどん」を運営する資さんの勤怠管理システムで、設定の不備から、従業員と退職者の個人情報が外から見える状態になっていた可能性があります。システムの構築と運用を受託するカホエンタープライズが自主点検で気づき、資さんと、カホエンタープライズの親会社の嘉穂無線ホールディングスが10月27日に公表しました。
外に出たと確認された情報は、今のところありません。ただ、誰かがアクセスしたかどうかを後から確認できないため、漏えいの可能性は否定できない、と委託先の側は説明しています。
委託先の自主点検で、10月9日に見つかった
嘉穂無線ホールディングスによると、カホエンタープライズは、昨今の情報セキュリティの状況を踏まえて自主点検をしたところ、10月9日に設定の不備を確認しました。資さんに報告し、必要な措置を取ったとしています。資さんは、外から閲覧できないように設定を変え、個人情報保護委員会にも報告しました。
嘉穂無線ホールディングスのお知らせ。委託先の自主点検で10月9日に設定の不備を確認した出典: 嘉穂無線ホールディングス「カホエンタープライズ受託システムにおける個人情報漏えいのおそれに関するお知らせとお詫び」(引用)
公表は10月27日。見つかってから18日後です。どの設定が、いつから不備だったのか。どの画面や経路から見えたのか。どちらの発表にも書かれていません。対象者の人数も公表されていません。
見えた可能性があるのは、5年間に在籍した人の情報
対象は、2021年10月から2026年10月までに資さんに在籍したことのある人です。今働いている従業員と、すでに辞めた人の両方が入ります。
| 発表での扱い |
項目 |
| 「一部の対象者のみ」の印がない項目 |
氏名、生年月日、性別、電話番号、賃金履歴、勤怠実績 |
| 一部の対象者のみに含まれる項目 |
入社日・退社日、退職理由、社会保険加入履歴 |
勤怠のシステムに、賃金の履歴や退職の理由まで入っていたことになります。退職理由には、本人が人に知られたくない事情が書かれていることもあるはずです。打刻を管理するための仕組みでも、使ううちに人事の情報が集まってくる。人事や勤怠のシステムを持つ会社なら、思い当たる話ではないでしょうか。
発表の項目に、銀行口座やマイナンバーは挙がっていません。
連絡がつかない退職者には、公表が案内の代わりになる
資さんは、対象の従業員と退職者に順に連絡するとしています。ただ、連絡先が分からない退職者などには、今回の公表をもって案内に代えるとしました。在籍の期間が5年に及ぶため、引っ越しや電話番号の変更で連絡がつかない人も出てくるのでしょう。
資さんのお知らせ。対象者と対象の情報、連絡がつかない人への案内出典: 資さん「委託先サーバーの設定不備による個人情報漏洩の可能性に関するお詫びとご報告」(引用)
対象の項目に電話番号が含まれるため、資さんは、自社や関係機関を名乗る不審な電話やSMSに注意するよう呼びかけています。再発防止として、資さんは委託先のセキュリティの設定の確認と、データの扱いの管理と監督を徹底するとしました。カホエンタープライズは、アクセス制御、認証の履歴の管理、監視の体制を見直すとしています。
関係するのは、元従業員と、人事のデータを外に預ける会社
- 関係する: 2021年10月から2026年10月に資さんに在籍した人です。社内に、前に資さんで働いていた社員がいれば、不審な電話やSMSに気をつけるよう伝えてかまいません。
- 関係する: 勤怠・人事・給与のシステムを、構築から運用まで外の会社に任せている会社です。サーバーや設定を委託先が持っていると、何が外に開いているかは、自社からは見えにくくなります。
- 関係する: 勤怠や人事のクラウドサービスを使う会社です。サービスの土台は提供元の受け持ちでも、共有のリンク、外部への公開、APIの連携など、自社で触れる設定は自社で見る必要があります。
- 関係しない: 資さんと取引があるだけの会社です。発表の対象は従業員と退職者の情報で、取引先の情報は挙がっていません。
委託先に聞くことと、社員への案内の段取り
- 人事・勤怠・給与のデータを預けている委託先とクラウドサービスを、台帳から洗い出します。サーバーや設定を誰が管理しているかも、あわせて書きます。
- 委託先に、外から届く画面やファイルの置き場所の公開の設定を、最近点検したかを聞きます。点検していなければ、日付を決めて頼みます。今回、不備に気づいたのは委託先の自主点検でした。
- アクセスログをどれだけの期間残しているかも聞きます。設定の不備が見つかったとき、誰かが見たかどうかを後から確認できるかは、このログしだいです。
- 退職者のデータをいつまで持つかを、人事と決めます。法令で残す期間と業務で要る期間を過ぎたものは、消すか、ふだんの画面から切り離します。退職理由のように、勤怠の仕組みに置かなくてよい項目がないかも見ます。
- 万一のとき、退職者へどう連絡するかを決めておきます。連絡先が古いままだと、資さんのように公表が通知の代わりになります。
- 社員向けに、会社や関係機関を名乗る電話やSMSへの注意の文を用意しておきます。委託先の件でも、問い合わせが来るのは自社の人事と情シスです。
従業員の情報をめぐる公表は、10月に入って続いています。人事システムへの不正アクセスは第一ライフグループの人事システムに不正アクセス、約12万人の情報流出のおそれ、社員による持ち出しはパナソニック子会社、禁止の生成AIに従業員ら33万人分の情報で整理しています。
