事案の概要データ
| 公表日 | 2026年11月5日（FOOD & LIFE COMPANIES） |
|---|---|
| 対象 | あきんどスシローのアルバイト・パート従業員向けポータルサイト |
| 件数 | 1,117件（退職者を含む従業員番号） |
| 原因 | 管理画面のパスワードが推測され、不正ログインされたこと |
| 流出した情報 | 従業員番号 |
| 状態 | 調査中 |
図解：この事故の構造
何が起きたのか
FOOD & LIFE COMPANIESは2026年11月5日、グループ会社である株式会社あきんどスシローのアルバイト・パート従業員向けポータルサイトに第三者による不正アクセスがあり、退職者を含む従業員番号1,117件が外部に流出したと公表しました。
原因は、管理画面のパスワードが推測され、不正ログインされたこととされています。
件数は1,117件で、本サイトが扱う事案としては小さい部類です。それでも取り上げるのは、原因が、中小企業にそのまま当てはまるからです。
「パスワードが推測された」——最も多く、最も防ぎやすい原因
2026年10月から11月にかけて、本サイトには高度な攻撃が並びました。脆弱性の悪用、認証情報の横展開、APIの権限不備。
そのなかで本件は、いちばん素朴な原因です。パスワードを当てられた。
どう当てるのか。難しいことはしていません。
①よく使われるパスワードを順に試す。 「password」「admin123」「社名+2024」「sushiro」など。
②会社名・サービス名から類推する。
③他のサイトから漏れたパスワードを試す。
これは自動化されていて、1秒に何十回も試されます。 人が手で打つ速度を想像してはいけません。
中小企業が今日できることを、具体的に挙げます。
1. 管理画面のパスワードを、今すぐ長くする。 推測されにくさは「複雑さ」より「長さ」で決まります。記号を混ぜた8文字より、覚えやすい単語を4つつないだ20文字のほうが、はるかに強いです（例：「あおぞら-みかん-7階-えんぴつ」のような形）。
2. 管理画面に多要素認証をかける。 スマホのアプリやSMSで追加の確認をする仕組みです。多くのサービスに標準でついていて、使っていないだけのことがよくあります。
3. ログインの試行回数に制限をかける。 「5回間違えたら15分ロック」。設定項目があるか、制作会社に聞いてください。
4. 管理画面のURLを、推測しにくいものにする。 「/admin」「/login」は真っ先に試されます。
5. 管理画面を、社内のネットワークからだけ開けるようにする。 これができるなら、いちばん確実です。
どれも、費用はほとんどかかりません。
「従業員番号だけ」でも公表した意味と、退職者の話
流出したのは従業員番号です。氏名も住所もありません。「それなら公表しなくてもよいのでは」と思うかもしれません。
それでも公表した判断は、正しいと考えます。理由は2つあります。
①従業員番号は、社内システムのIDとして使われていることが多い。 給与明細の閲覧、シフト確認、勤怠打刻。番号が分かれば、あとはパスワードだけです。
②対象者が自分で備えられる。 「自分の番号が漏れたかもしれない」と知れば、パスワードを変えられます。
そして、ここでも退職者が含まれています。アルバイト・パートは入れ替わりが多く、辞めた人のアカウントと番号が残り続けます。
中小企業で、人の出入りがある職場なら、必ず確認してください。
1. 退職した人のアカウントを止めていますか。 「いつか戻ってくるかもしれないから」で残していませんか。
2. 退職手続きのチェックリストに「アカウント停止」が入っていますか。 制服の返却、鍵の返却と並べて、「システムのアカウント停止」を1行足してください。
3. 共有アカウントを使っていませんか。 「店舗用」「バイト共通」のIDは、誰が辞めてもパスワードが変わりません。1人ずつのアカウントにするのが原則です。
辞めた人のアカウントは、本人も気にしません。だから、いつまでも残ります。
時系列で見る経過
- （時期は未公表）アルバイト・パート従業員向けポータルサイトの管理画面のパスワードが推測され、不正ログインされる
- 2026年11月5日FOOD & LIFE COMPANIESが公表。退職者を含む従業員番号1,117件が流出
中小企業が学ぶべきポイント
- 原因は「管理画面のパスワードが推測された」こと。最も素朴で、最も防ぎやすい原因。
- パスワードの推測は自動化されていて、1秒に何十回も試される。
- 推測されにくさは複雑さより長さで決まる。記号混じりの8文字より、単語4つをつないだ20文字のほうが強い。
- 管理画面に多要素認証をかける。多くのサービスに標準でついていて、使っていないだけのことが多い。
- ログイン試行回数の制限（5回で15分ロック）を設定できるか、制作会社に聞く。
- 管理画面のURLに「/admin」「/login」を使わない。真っ先に試される。
- 管理画面を社内ネットワークからだけ開けるようにできれば、いちばん確実。
- 従業員番号は社内システムのIDとして使われることが多い。番号が分かれば、あとはパスワードだけ。
- 退職手続きのチェックリストに「システムのアカウント停止」を1行足す。制服や鍵の返却と並べて書く。
- 「店舗用」「バイト共通」の共有アカウントは、誰が辞めてもパスワードが変わらない。1人ずつにする。
出典・参考
本記事は、各組織の公表資料および報道をもとに、要点をわかりやすく整理したものです。 被害件数は「漏えいした可能性のある最大件数」として公表されている場合があり、実際に漏えいが確定した件数とは異なることがあります。 また、調査の進展により内容が変わる場合があります。正確な情報は必ず出典元の公式発表をご確認ください。