本サイトの記事や画像は、AIが公的資料や複数の報道を基に事実関係を整理・再構成し制作したものです。[続きを表示]特定の報道内容や表現を再利用・要約することを目的としたものではありません。ただし、誤りや不確定な情報が含まれる可能性がありますので、参考の一助としてご覧いただき、実際の判断は公的資料や各出典元の原文をご確認ください。[私たちの取り組み]
ラフールは2026年11月9日付の発表で、「ラフールサーベイ」の旧システムから182社・2万4232人分の情報が不正取得されたと明らかにした。個人情報を含むファイルは、新システムへの移行後にも旧環境から取得されていた。対象規模は今後の調査で変わる可能性がある。
移行後も旧環境から取得、健康関連情報も一部対象
取得された情報は、従業員番号、氏名、所属部署、サーベイの回答と結果など。他社経由で提供しているサービスの情報も対象となった。一部の人については、ストレスチェックの結果・回答や、要配慮個人情報に当たる医師による面談・面接指導の記録も含まれる。
不正なファイル取得が確認された期間は7月24日から10月25日で、このうち個人情報を含むファイルが取得されたのは7月24日と8月8日の2回だった。新システムへの移行日は7月30日で、2回目の取得は移行後に起きていた。
同社は11月9日付の発表時点で、住所・電話番号・パスワードの取得や、情報の公開・悪用などの二次被害は確認していないとしている。
アクセスキーの公開が原因と推定、外部調査を予定
ラフールの説明によると、自社エンジニアが旧システムのプログラムにアクセスキーを書き込んでいた。そのキーを含むテスト用実行環境のイメージを、当時の委託先フランジア（現Sun Asterisk）の開発者が2019年に公開し、第三者がキーを入手したと推定している。同社は委託元としての自社の管理も不十分だったとしている。
現行システムについては、旧環境とは別のクラウド管理単位で運用しており、旧キーでは接続できないと説明している。キーをプログラムに直接記載する方式も廃止し、短時間で無効になる一時的な認証情報に変更したという。11月4日に設定とアクセス記録を確認したところ、今回の攻撃元によるアクセスや操作の記録はなかったとしている。
同社は10月27日に不正アクセスの疑いを発見してキーを無効化し、翌28日には不正アクセスに使われた海外IPアドレスからの通信を遮断した。29日の調査で個人情報入りファイルの不正取得が判明し、警察と個人情報保護委員会に報告した。
対象企業にはラフールまたはサービス提供元から順次個別に連絡する。今後は外部調査機関への調査依頼と、その結果を踏まえた再発防止策を予定している。
