ニチイ学館、バックアップが認証なしで取得できる状態になっており583名分が流出

事案の概要データ

図解：この事故の構造

何が起きたのか

ニチイ学館は2026年10月2日、バックアップデータが認証なしで取得できる状態になっており、583名分の情報が流出したことを公表しました。設定の不備が原因です。

バックアップは「本体と同じ中身」

バックアップは、万一に備えてデータの写しを取っておく仕組みです。セキュリティ対策として推奨されるものですが、見落とされがちな事実があります。

バックアップの中身は、本体とまったく同じです。本体のデータベースに厳重なアクセス制限をかけていても、そのバックアップファイルが誰でもダウンロードできる場所に置かれていれば、意味がありません。攻撃者は、守りの固い正面玄関ではなく、鍵のかかっていない勝手口から入ります。

この事案では「認証なしで取得可能」とされています。つまりURLを知っていれば、誰でもバックアップファイルをダウンロードできる状態でした。

バックアップ運用で確認すべき3点

1つ目は、保存場所へのアクセス制限です。バックアップを置いているサーバやクラウドストレージに、認証がかかっているかを確認します。

2つ目は、暗号化です。万一取得されても、暗号化されていれば中身は読めません。

3つ目は、ネットワークからの分離です。これはランサムウェア対策としても重要で、2025年のアスクル（バックアップを削除された）や2023年の名古屋港（バックアップから3日で復旧）の事案が示すとおり、バックアップの置き場所が復旧の成否を分けます。

中小企業でも、「バックアップはどこに置いてあるか」「誰がアクセスできるか」を一度確認する価値があります。外付けHDDなら施錠された場所に、クラウドなら認証つきの領域に——それだけでリスクは大きく下がります。

時系列で見る経過

• （時期不明）バックアップデータが認証なしで取得できる状態になる
• 2026年10月設定の不備を確認し、是正
• 2026年10月2日583名分の情報が流出したことを公表

中小企業が学ぶべきポイント

1. バックアップの中身は本体と同じ。本体と同じレベルのアクセス制限をかける。
2. バックアップを暗号化する。取得されても読めなければ被害は小さい。
3. バックアップの置き場所と、アクセスできる人を一度棚卸しする。
4. ランサムウェア対策としても、バックアップはネットワークから切り離す。

出典・参考

• 情報漏洩・不正アクセスの企業一覧（随時更新） - SmartScope