事案の概要データ
| 公表日 | 2026年11月2日（サントリーホールディングス／サントリービバレッジ&フードの連名） |
|---|---|
| 原因 | グループが利用する外部クラウドサービスへの第三者による不正アクセス |
| 漏えいの経緯 | 攻撃者にダウンロードされたファイルの一部に個人情報が含まれていた |
| 件数 | 計約106,000名 |
| 内訳（従業員） | グループおよびパートナー企業の従業員 約90,000名 |
| 内訳（新卒採用応募者） | 7,173名 |
| 内訳（顧客） | 7,323名 |
| 漏えいした情報 | 氏名、メールアドレス等 |
| 状態 | 調査中 |
図解：この事故の構造
- グループ・パートナー企業の従業員 約9万名
- 新卒採用応募者 7,173名
- 顧客 7,323名
何が起きたのか
サントリーホールディングスとサントリービバレッジ&フードは2026年11月2日、グループが利用する外部クラウドサービスが第三者による不正アクセスを受け、ダウンロードされたファイルの一部に個人情報が含まれていたと公表しました。
対象は、グループとパートナー企業の従業員 約9万名、新卒採用応募者 7,173名、顧客 7,323名など計約10万6千名。項目は氏名、メールアドレス等です。
この事案の特徴は、内訳の順番です。いちばん多いのは顧客ではなく、従業員（約9万名）です。顧客は7,323名にとどまります。
漏れたのは「社内の資料」だった
多くの情報漏えい事故は、顧客データベースが抜かれる形です。本件は違います。クラウドに置いていたファイルがダウンロードされ、その中に個人情報が入っていたという形です。
ここが、中小企業にとって最も現実的な話になります。
考えてみてください。自社のクラウドストレージ（Google ドライブ、OneDrive、Box、Dropboxなど）や、社内の共有フォルダに、こういうファイルが入っていませんか。
・従業員名簿（住所・生年月日・家族構成つき）
・新卒採用の応募者一覧（大学名・連絡先つき）
・取引先担当者の連絡先リスト
・忘年会の出欠表、健康診断の受診者一覧、緊急連絡網
これらは「個人情報データベース」として管理されていません。誰かが業務のために作ったExcelやPDFです。だから、アクセス権限の見直しの対象から漏れます。
本件で従業員が約9万名と最多になったのは、まさにこの構造です。人事・採用の資料は、顧客データベースより無防備な場所に置かれやすい。
やることは、派手ではありませんが効果があります。
1. 共有フォルダを検索する。 ファイル名に「名簿」「一覧」「リスト」「連絡先」「応募者」を含むファイルを探してください。思っているより出てきます。
2. 「全員が見られる」になっているフォルダを確認する。 共有リンクが発行されたままになっているファイルも見てください。
3. 古い名簿を消す。 3年前の採用応募者一覧を持っている理由はありません。
4. 人事関係のフォルダは、人事だけが見られるようにする。 これだけで、事故のときに流出する「人」の件数が大きく減ります。
採用応募者の情報を、なぜ持ち続けてしまうのか
本件では新卒採用応募者7,173名が対象になりました。本サイトでは同じ時期、採用サービスApplyNowの事案（39万6,920人、契約終了後もデータが残存）も扱っています。採用データは、2026年11月の事故で繰り返し現れています。
採用応募者の情報は、残りやすい性質を持っています。
①選考が終わっても「次の年の参考に」と残す。 ②複数の部署に配られる。 面接官、人事、役員にファイルが渡り、それぞれの手元に残ります。③採用管理システムと、Excelの両方にある。
対策は保存期間を決めることですが、決めるだけでは消えません。実際に消す仕組みが必要です。
おすすめは、採用の年度ごとにフォルダを分けることです。「2026年卒採用」「2027年卒採用」。そして、選考終了から1年たった年度フォルダを、毎年同じ月にまとめて削除する。
年度でまとまっていれば、削除は1回の操作で終わります。ファイルが散らばっていると、永遠に手がつきません。
なお、応募者への対応として、募集時の案内に「ご提出いただいた情報は選考終了後○か月で削除します」と書いておくと、応募者の信頼にもつながります。中小企業が採用で選ばれるための、小さな差別化にもなります。
時系列で見る経過
- （時期は未公表）グループが利用する外部クラウドサービスが第三者による不正アクセスを受ける
- （同）攻撃者によってファイルがダウンロードされ、その一部に個人情報が含まれていた
- 2026年11月2日サントリーホールディングスとサントリービバレッジ&フードが連名で公表。計約10万6千名
- （調査中）影響範囲の調査が継続
中小企業が学ぶべきポイント
- 漏れたのは顧客データベースではなく、クラウドに置いていたファイル。中にあった個人情報が流出した。
- 最多は顧客ではなく従業員 約9万名。人事・採用の資料は顧客データベースより無防備な場所に置かれやすい。
- 共有フォルダを「名簿」「一覧」「リスト」「連絡先」「応募者」で検索する。思っているより出てくる。
- 「全員が見られる」設定のフォルダと、発行したままの共有リンクを確認する。
- 人事関係のフォルダは人事だけが見られるようにする。それだけで流出する人数が大きく減る。
- 採用応募者の情報は、年度ごとにフォルダを分け、毎年同じ月にまとめて削除する。散らばると手がつかない。
- 募集時の案内に「選考終了後○か月で削除します」と書くと、応募者の信頼につながる。
出典・参考
本記事は、各組織の公表資料および報道をもとに、要点をわかりやすく整理したものです。 被害件数は「漏えいした可能性のある最大件数」として公表されている場合があり、実際に漏えいが確定した件数とは異なることがあります。 また、調査の進展により内容が変わる場合があります。正確な情報は必ず出典元の公式発表をご確認ください。