事案の概要データ
| 公表日 | 2026年10月27日 |
|---|---|
| 対象となる人 | 2021年10月〜2026年10月の間に在籍実績のある現在の従業員および退職者 |
| 全員分の項目 | 氏名、生年月日、性別、電話番号、賃金履歴、勤怠実績 |
| 一部の対象者のみの項目 | 入社日・退社日、退職理由、社会保険加入履歴 |
| 件数 | 公式のお知らせに記載なし |
| 顧客情報 | 対象として記載されていない |
| 原因 | サーバーの管理・運用を委託している株式会社カホエンタープライズにおいて、同サーバーの一部設定に不備があった |
| 実施した対策 | 判明後、速やかに外部からの閲覧を不可とする設定変更を実施 |
| 二次被害 | 2026年10月27日時点で不正利用や二次被害は確認されていない |
| 報告先 | 個人情報保護委員会へ報告済み |
| 対象者への連絡 | 順次連絡。連絡先が不明な方には公表をもって案内とする |
| 問い合わせ窓口 | 従業員・退職者専用ご相談窓口 0120-475-788（平日9:00〜17:00）、customer@sukesan.co.jp |
図解：この事故の構造
何が起きたのか
「資さんうどん」を運営する株式会社資さんは2026年10月27日、委託先サーバーの設定不備により、従業員と退職者の個人情報が外部から閲覧できる状態になっていた可能性があると公表しました。
原因は、サーバーの管理・運用を委託している株式会社カホエンタープライズにおいて、同サーバーの一部設定に不備があったことです。攻撃を受けたわけではありません。
対象は、2021年10月から2026年10月の間に在籍実績のある、現在の従業員および退職者です。5年分にあたります。件数は公式のお知らせに記載されていません。
判明後、速やかに外部からの閲覧を不可とする設定変更が行われ、個人情報保護委員会へ報告済みとされています。
漏れたのは顧客ではなく「従業員」の情報
この事案の特徴は、対象が顧客ではなく従業員と退職者であることです。
全員分の項目は、氏名、生年月日、性別、電話番号、そして賃金履歴と勤怠実績です。さらに一部の対象者については、入社日・退社日、退職理由、社会保険加入履歴が含まれます。
この中身は重いです。
賃金履歴は、その人がいくらもらっていたかの記録です。同僚にも、家族にも知られたくない人がいます。
勤怠実績は、いつ働き、いつ休んだかの記録です。体調や事情が読み取れることがあります。
そして退職理由。自己都合か会社都合か、どういう事情で辞めたか。これが外部に出ることは、本人の転職にも影響しかねません。
顧客情報の漏えいは「お客様に迷惑をかけた」という話になります。従業員情報の漏えいは「雇っていた人に迷惑をかけた」という話です。会社への信頼という意味では、こちらのほうが深刻かもしれません。
人事データは「顧客データより守られていない」ことが多い
多くの中小企業で、セキュリティの話題は顧客データに集中します。顧客名簿、注文履歴、カード情報。これらは売上に直結するため、関心が向きます。
一方で、人事データはどうでしょうか。
給与計算のExcelが、総務のパソコンのデスクトップに置かれていませんか。共有フォルダの「総務」に、誰でも開ける状態で入っていませんか。年末調整の書類が、事務所の棚に積まれていませんか。
人事データのほうが、実際には機微な情報です。給与、評価、health（健康診断の結果）、家族構成、退職理由。本人が最も知られたくない種類の情報が集まっています。
そして、個人情報保護法では、健康診断の結果や病歴は「要配慮個人情報」として、より厳重な扱いが求められます。これが漏えいすれば、件数に関わらず個人情報保護委員会への報告義務が生じます。
今週すぐできることが3つあります。1. 給与・人事のファイルがどこにあるか、一覧にする。 2. 誰が開けるかを確認し、必要な人だけに絞る。 3. 退職者のファイルの保存期間を決める。
「設定の不備」は攻撃より多い
本件は攻撃を受けたのではなく、設定ミスです。この速報で扱う事案の分類でも、「設定・運用ミス」は件数として非常に多い部類に入ります。
よくある設定ミスは、こうしたものです。本来は社内からしか見られないはずのフォルダが、インターネットからも見える設定になっていた。クラウドストレージの共有リンクが「リンクを知っている全員」になっていた。テスト用に作った管理画面に、パスワードをかけ忘れていた。
攻撃と違い、設定ミスは誰にも気づかれないまま何年も続きます。本件も、対象期間は5年分です。
そして、設定を触るのは委託先であることが多いです。自社では見られません。
委託先に確認すべきことは2つです。1. 外部から見える状態になっていないか、定期的に確認していますか。 2. 設定を変更したとき、その内容を記録して共有してくれますか。
この2つを契約や運用の取り決めに入れてください。「お任せしています」が、最も危ない状態です。
時系列で見る経過
- 2021年10月〜2026年10月この期間に在籍実績のある従業員・退職者の情報が対象
- （判明日は非公表）委託先サーバーの一部設定の不備により、外部から閲覧できる状態だったことが判明
- （判明後すぐ）外部からの閲覧を不可とする設定変更を実施
- 2026年10月27日公表。個人情報保護委員会へ報告済み。対象の従業員・退職者へ順次連絡
中小企業が学ぶべきポイント
- 賃金履歴・勤怠実績・退職理由は、本人が最も知られたくない情報。顧客情報より機微なことがある。
- 人事データは顧客データより守られていないことが多い。給与ファイルの置き場所と閲覧権限を確認する。
- 退職者のファイルにも保存期間を決める。本件は5年分が対象になった。
- 設定ミスは攻撃と違い、誰にも気づかれないまま何年も続く。
- 設定を触るのは委託先であることが多い。「外部から見える状態になっていないか定期的に確認しているか」を聞く。
- 委託先が設定を変更したとき、内容を記録して共有してもらう取り決めを作る。
- 電話番号が漏えいしているため、会社や関係機関を装った不審な電話・SMSに注意が必要になる。
出典・参考
本記事は、各組織の公表資料および報道をもとに、要点をわかりやすく整理したものです。 被害件数は「漏えいした可能性のある最大件数」として公表されている場合があり、実際に漏えいが確定した件数とは異なることがあります。 また、調査の進展により内容が変わる場合があります。正確な情報は必ず出典元の公式発表をご確認ください。