テクノヒル「1FEdu」に不正アクセス、厚労省委託事業の受講者情報

事案の概要データ

図解：この事故の構造

何が起きたのか

テクノヒルは2026年10月22日、学習管理システム「1FEdu」への不正アクセスを公表しました。厚生労働省の委託事業で使用されているシステムです。

漏えいが確認されたのは6名分、漏えいの可能性があるのは最大595名分とされています。不正利用は確認されていません。

「確認6名」と「可能性595名」

この公表は、確認できた範囲と可能性のある範囲を分けて示しています。

6名は、実際に漏えいしたと確認できた人数です。595名は、攻撃者がアクセスできた範囲に含まれていた人数です。

この書き方は親切です。通知を受けた595名のうち、6名は「確実に漏れた」、残りは「可能性がある」と理解できます。対応の緊急度が違います。

一方で、2026年10月の事案では、この2つを混ぜて「最大○○件」とだけ示すケースも多くありました。読む側は、公表文のどこに「確認」と「可能性」の区別があるかを探す必要があります。

国の委託事業という文脈

本件は厚生労働省の委託事業で使われるシステムです。国の事業を受託した民間企業が、受講者の情報を預かる構造です。

2026年10月は、この構造の事案が集中しました。10月16日のトラストバンク（ふるさとチョイス、自治体向け）、10月20日のRyuga（自治体の施設予約システム）、そしてブラストメール（ラクスライトクラウド）経由で数十の自治体・公的機関が影響を受けています。

受託企業が1社侵入されると、そこに情報を預けた国や自治体の事業の利用者全員が影響を受けます。委託する側は、委託先のセキュリティを確認する責任があります。

逆に受託する側は、「国の事業だから情報が多く集まる」ことを意識し、相応の守りを固める必要があります。

時系列で見る経過

• 2026年10月学習管理システム「1FEdu」への不正アクセスを受ける
• 2026年10月22日6名の漏えいを確認、最大595名分に漏えいの可能性があると公表

中小企業が学ぶべきポイント

1. 「確認できた件数」と「可能性のある件数」を分けて示すと、受け取る側が対応の緊急度を判断できる。
2. 国や自治体の委託事業を受託すると、相応の量の個人情報を預かることになる。
3. 委託する側は、委託先のセキュリティ体制を確認する責任がある。
4. 受講者情報には氏名・連絡先・所属が揃う。フィッシングの材料になる。

出典・参考

• 情報漏洩・不正アクセスの企業一覧（随時更新） - SmartScope