事案の概要データ
| 公表日 | 2026年11月6日 |
|---|---|
| 不正ログインの日 | 2026年10月27日 |
| 侵入の経路 | ソフトウェア開発用サーバーに第三者が不正ログイン → そこに保管されていた認証情報を使ってクラウド環境からデータを取得 |
| 件数 | 28,824件 |
| 対象 | TeamSpirit契約企業の担当者・利用者、および自社従業員 |
| 流出した情報 | 氏名、メールアドレスなど |
| 要配慮個人情報 | 35件が含まれる |
| 状態 | 調査中 |
図解：この事故の構造
何が起きたのか
株式会社チームスピリットは2026年11月6日、2026年10月27日に第三者がソフトウェア開発用サーバーに不正ログインし、そこに保管されていた認証情報を使ってクラウド環境からデータを取得したと公表しました。
流出したのは、勤怠・工数管理サービス「TeamSpirit」の契約企業の担当者・利用者や、同社の従業員の氏名・メールアドレスなど28,824件。このうち35件は要配慮個人情報とされています。
入口が「開発用サーバー」であることが、この事案の要点です。
開発用サーバーに、本番の鍵が置かれていた
経路をもう一度、順に追ってください。
①開発用サーバーに不正ログインされた。
②そのサーバーに保管されていた認証情報が使われた。
③その認証情報で、クラウド環境からデータが取得された。
つまり、開発用のサーバーに、本番環境に入れる鍵が置いてあったということです。
これは、ソフトウェアを作っている現場では、とてもよくある状態です。理由があります。開発中は、本番と同じ設定でないと動作確認ができないからです。接続先のID・パスワード・APIキーを設定ファイルに書き、そのまま置いてしまいます。
そして、開発用サーバーは本番より守りが緩い。 「社内だけだから」「テスト用だから」という理由で、多要素認証が入っていなかったり、アクセス制限が甘かったりします。
守りの緩い場所に、強い権限の鍵が置かれている。 これが、本件の構造です。
システムを外注している中小企業でも、これは他人事ではありません。制作会社に聞くべき質問は2つです。
①開発・テスト環境に、本番につながるIDやパスワードが置かれていませんか。
②開発環境にログインできる人は誰で、多要素認証はかかっていますか。
そして、自社でも同じことが起きていないかを確認してください。たとえば、共有フォルダのExcelに、社内システムのIDとパスワードの一覧がありませんか。「パスワード管理表.xlsx」という名前で。これは、開発用サーバーに鍵を置くのと同じことです。
「要配慮個人情報35件」が重い理由
28,824件のうち、35件が要配慮個人情報とされています。件数は少ないのですが、意味は重いです。
要配慮個人情報とは、個人情報保護法で特に慎重な取扱いが求められるもので、病歴、障害、健康診断の結果、犯罪の経歴、人種、信条などが該当します。
勤怠管理サービスで、なぜこれが出てくるのか。考えられるのは、休暇の理由です。病気休暇、通院、障害に関する配慮、労災。休みの申請欄や備考欄に書かれた一文が、要配慮個人情報になります。
ここが実務のポイントです。要配慮個人情報は、専用の欄になくても、自由記述の中に入り込みます。
中小企業で確認すべき場所を挙げます。
・勤怠システムの休暇申請の備考欄
・日報や業務報告の自由記述
・人事評価のコメント欄
・社内チャットのやりとり（「○○さんが入院のため」など）
・健康診断の結果（これは明確に要配慮個人情報です）
要配慮個人情報は、本人の同意なく取得すること自体が原則として禁止されています。そして漏えいした場合、件数にかかわらず個人情報保護委員会への報告が必要です（1件でも対象になります）。
やるべきことは2つです。①休暇理由の記入欄を「私傷病」「家族の事情」などの選択式にして、自由記述で病名を書かせない。②健康診断の結果は、人事の限られた担当者だけが見られる場所に置く。
書かせなければ、漏れません。 これは、どんな技術的対策より確実です。
時系列で見る経過
- 2026年10月27日第三者がソフトウェア開発用サーバーに不正ログイン。保管されていた認証情報でクラウド環境からデータを取得
- 2026年11月6日公表。28,824件が流出、うち要配慮個人情報35件
- （調査中）影響範囲の特定が継続
中小企業が学ぶべきポイント
- 開発用サーバーに、本番環境に入れる認証情報が置かれていた。守りの緩い場所に強い鍵がある状態。
- 開発環境は「社内だけ」「テスト用」という理由で多要素認証やアクセス制限が甘くなりやすい。
- システムを外注している場合、「開発環境に本番のIDやパスワードが置かれていないか」を制作会社に聞く。
- 共有フォルダの「パスワード管理表.xlsx」は、開発用サーバーに鍵を置くのと同じこと。
- 要配慮個人情報35件が含まれた。勤怠システムでは、休暇申請の備考欄から入り込むことがある。
- 要配慮個人情報は専用の欄になくても、自由記述の中に入り込む。日報・評価コメント・社内チャットも同じ。
- 要配慮個人情報は漏えいすると、件数にかかわらず個人情報保護委員会への報告が必要。
- 休暇理由は「私傷病」「家族の事情」などの選択式にし、自由記述で病名を書かせない。書かせなければ漏れない。
出典・参考
本記事は、各組織の公表資料および報道をもとに、要点をわかりやすく整理したものです。 被害件数は「漏えいした可能性のある最大件数」として公表されている場合があり、実際に漏えいが確定した件数とは異なることがあります。 また、調査の進展により内容が変わる場合があります。正確な情報は必ず出典元の公式発表をご確認ください。