福利厚生サービス「ベネワン・プラットフォーム」、2,322社・団体1万3460人分はなぜ他社担当者に見えていたのか。設定不備の経緯を確かめる

まず初めに

「2025年10月には気づいていたのに、2026年7月の利用者からの連絡まで解消できていなかった」という時点で、もうこの話のオチは見えている。福利厚生サービスという、従業員のための制度を預かる会社が、肝心の情報管理で足元をすくわれた格好だ。利用企業の担当者からの「これ、見えちゃってますけど」という連絡で今回の漏えい事案が判明したというから、把握した不具合を直す管理には一言言いたくなる。※個人の感想です

何が起きているのか

株式会社ベネフィット・ワンは、企業・団体向けに福利厚生サービスを提供する会社で、「ベネワン・プラットフォーム」は、利用企業の担当者が従業員向けアンケートの実施・集計などに使うシステムです。同社の発表によると、このプラットフォーム上でアンケート結果をダウンロードする機能に設定不備があり、担当者が自社のアンケート結果をダウンロードする際、本来アクセスできないはずの他社・他団体の従業員情報まで一緒に表示・ダウンロードできる状態になっていました。

対象となったのは、2,322の企業・団体に所属する合計1万3,460人分の個人情報です。具体的には、社員・職員番号、氏名、性別、生年月日、所属する企業・団体名、部署・役職などの所属情報、入社・退社に関する情報が対象に含まれています。

対象情報を整理すると、次のようになります。

項目	内容
対象企業・団体数	2,322社・団体
対象人数	1万3,460人
漏えいした情報	社員・職員番号、氏名、性別、生年月日、所属企業・団体名、部署・役職、入退社情報
対象外の情報	クレジットカード情報、口座情報などの金融関係情報
実際のダウンロード	利用企業担当者1人のみ

同社の公式発表にある経緯は、次の4段階です。不具合の発生時期と、社内で認知した時期を区別する必要があります。

時期	公式発表の内容
2025年6月	システム改修による条件設定不備の発生
2025年10月	社内調査で本不具合を認知。その後の解消作業が適切に実施されず
2026年7月30日	利用企業・団体の担当者1社1名からの連絡で本件が判明
2026年9月30日	個人情報漏えいに関するお知らせを公表

同社は、2025年6月の改修以降に当該機能を利用してデータをダウンロードしたのは、今回連絡した1社1名のみと説明しています。

なぜ重要なのか

公式発表では、不具合の発生は2025年6月、社内での認知は2025年10月です。その後の解消作業が適切に実施されず、2026年7月30日の顧客からの連絡で本件が判明しました。「発生からの期間」を「把握後の期間」と読み替えることはできません。IT Postでは、不具合を認知した後に解消作業を完了させる品質管理・進捗確認の仕組みを検証すべき事案だと考えます。

また、対象になったのが2,322という多数の企業・団体にまたがる点も見逃せません。1つのプラットフォームの設定不備が、直接の契約関係にない多くの企業の従業員情報にまで影響を及ぼした格好で、福利厚生サービスのように複数の企業がデータを持ち寄って使う共同型のシステムでは、1か所の不備が広範囲に波及しやすいという構造的なリスクを示す事例でもあります。

私たちへの影響

今回対象になったのは、ベネフィット・ワンの福利厚生サービスを導入している企業・団体に所属し、対象のアンケートに関する情報を登録していた人です。漏えいした情報には社員番号・氏名・生年月日・所属情報などが含まれますが、同社はクレジットカード情報や口座情報などの金融関係情報は対象に含まれていないとしています。実際にダウンロードしたのは1担当者のみとされているため、不特定多数への拡散リスクは相対的に低いと考えられますが、勤務先・氏名・生年月日の組み合わせは、なりすましや標的型のフィッシング詐欺に悪用される可能性があるため、心当たりのない連絡には注意してください。

自分の勤務先がベネフィット・ワンの福利厚生サービスを利用しているかどうかは、社内の人事・総務部門への確認で把握できる場合があります。対象に含まれているかどうかの個別の通知方法については、今回参照した情報源の範囲では明らかになっていません。

初心者が知っておくべきこと

「設定不備」とは、システムの権限管理の設定が意図した通りに機能しておらず、本来見えてはいけない情報が見えてしまう状態を指します。今回の原因について同社は、2025年6月のシステム改修で生じたプログラムの条件設定不備と説明しています。2025年10月に不具合を認知した後も、解消作業が適切に実施されていなかったとしています。

複数の企業がクラウド上の1つのシステムを共同で利用する「マルチテナント」型のサービスでは、顧客ごとにデータを区切る権限管理の仕組みが適切に機能しているかどうかが、情報漏えいを防ぐ上で特に重要になります。

IT Postの見方

IT Postでは、今回の事案は「不具合を把握していたのに修正し切れなかった」という、再発防止の観点から最も重く受け止めるべきパターンだと考えます。新たに発見された脆弱性への対応と異なり、既知の問題を放置した結果の漏えいは、技術的な難しさよりも社内の優先順位付けや進捗管理の問題である可能性が高いためです。福利厚生サービスは多くの企業が外部委託する業務であり、委託先選定の段階で、発見した不具合をどれだけ確実に是正する体制を持っているかを確認することの重要性を、あらためて示す事例だというのがIT Postの見方です。※個人の感想です

今後どうなりそうか

同社は9月30日の公式発表で、原因究明、情報セキュリティ体制・個人情報保護に関する管理体制の強化、外部専門家による評価・助言に基づく対策を進め、再発防止に努めるとしています。対象企業・団体への個別説明や再発防止策の追加公表の予定は、この発表には記載されていません。IT Postでは、対応状況の追加発表があれば公式情報を確認します。