---
title: "福利厚生サービス「ベネワン・プラットフォーム」、2,322社・団体1万3460人分はなぜ他社担当者に見えていたのか。設定不備の経緯を確かめる"
description: "ベネフィット・ワンの9月30日発表。不具合発生は2025年6月、社内認知は同年10月、顧客連絡は2026年7月30日。発生と把握の時期を分けて経緯を確かめる"
url: https://itpostjp.com/security/benefit-one-benewan-platform-data-leak-13460/
category: "セキュリティ"
published_at: 2026-10-02T22:30:00Z
updated_at: 2026-10-03T03:06:42Z
author: "IT Post編集部"
editor: "編集長 千田智也"
publisher: "IT Post by Rice Studio Lab"
language: ja-JP
ai_generated: true
ai_model: claude-sonnet-5
terms: ["アクセス制御", "セキュリティインシデント"]
---

# 福利厚生サービス「ベネワン・プラットフォーム」、2,322社・団体1万3460人分はなぜ他社担当者に見えていたのか。設定不備の経緯を確かめる

IT Post編集部 ＆ 編集長 千田智也

ベネフィット・ワンの9月30日発表。不具合発生は2025年6月、社内認知は同年10月、顧客連絡は2026年7月30日。発生と把握の時期を分けて経緯を確かめる

## 30秒で分かる結論

- 福利厚生サービスを運営する株式会社ベネフィット・ワンは2026年9月30日、「ベネワン・プラットフォーム」の設定不備により、2,322の企業・団体に所属する1万3,460人分の個人情報が、本来アクセス権限のない他社の担当者から閲覧できる状態になっていたと公表しました。
- 不具合は2025年6月のシステム改修で発生し、2025年10月の社内調査で認知していましたが、その後の解消作業が適切に実施されていなかったと説明しています。
- 発覚のきっかけは2026年7月30日、利用企業の担当者1人からの「アンケート結果に他社の従業員情報が含まれている」という連絡で、実際にダウンロードしたのもこの1人のみとしています。

## まず初めに

「2025年10月には気づいていたのに、2026年7月の利用者からの連絡まで解消できていなかった」という時点で、もうこの話のオチは見えている。福利厚生サービスという、従業員のための制度を預かる会社が、肝心の情報管理で足元をすくわれた格好だ。利用企業の担当者からの「これ、見えちゃってますけど」という連絡で今回の漏えい事案が判明したというから、把握した不具合を直す管理には一言言いたくなる。※個人の感想です

## 何が起きているのか

株式会社ベネフィット・ワンは、企業・団体向けに福利厚生サービスを提供する会社で、「ベネワン・プラットフォーム」は、利用企業の担当者が従業員向けアンケートの実施・集計などに使うシステムです。同社の発表によると、このプラットフォーム上でアンケート結果をダウンロードする機能に設定不備があり、担当者が自社のアンケート結果をダウンロードする際、本来アクセスできないはずの他社・他団体の従業員情報まで一緒に表示・ダウンロードできる状態になっていました。

![グラフを描いた挿絵](/images/articles/benefit-one-benewan-platform-data-leak-13460-inline-1.webp)

対象となったのは、2,322の企業・団体に所属する合計1万3,460人分の個人情報です。具体的には、社員・職員番号、氏名、性別、生年月日、所属する企業・団体名、部署・役職などの所属情報、入社・退社に関する情報が対象に含まれています。

対象情報を整理すると、次のようになります。

| 項目 | 内容 |
| --- | --- |
| 対象企業・団体数 | 2,322社・団体 |
| 対象人数 | 1万3,460人 |
| 漏えいした情報 | 社員・職員番号、氏名、性別、生年月日、所属企業・団体名、部署・役職、入退社情報 |
| 対象外の情報 | クレジットカード情報、口座情報などの金融関係情報 |
| 実際のダウンロード | 利用企業担当者1人のみ |

同社の公式発表にある経緯は、次の4段階です。不具合の発生時期と、社内で認知した時期を区別する必要があります。

| 時期 | 公式発表の内容 |
| --- | --- |
| 2025年6月 | システム改修による条件設定不備の発生 |
| 2025年10月 | 社内調査で本不具合を認知。その後の解消作業が適切に実施されず |
| 2026年7月30日 | 利用企業・団体の担当者1社1名からの連絡で本件が判明 |
| 2026年9月30日 | 個人情報漏えいに関するお知らせを公表 |

同社は、2025年6月の改修以降に当該機能を利用してデータをダウンロードしたのは、今回連絡した1社1名のみと説明しています。

## なぜ重要なのか

公式発表では、不具合の発生は2025年6月、社内での認知は2025年10月です。その後の解消作業が適切に実施されず、2026年7月30日の顧客からの連絡で本件が判明しました。「発生からの期間」を「把握後の期間」と読み替えることはできません。IT Postでは、不具合を認知した後に解消作業を完了させる品質管理・進捗確認の仕組みを検証すべき事案だと考えます。

また、対象になったのが2,322という多数の企業・団体にまたがる点も見逃せません。1つのプラットフォームの設定不備が、直接の契約関係にない多くの企業の従業員情報にまで影響を及ぼした格好で、福利厚生サービスのように複数の企業がデータを持ち寄って使う共同型のシステムでは、1か所の不備が広範囲に波及しやすいという構造的なリスクを示す事例でもあります。

## 私たちへの影響

今回対象になったのは、ベネフィット・ワンの福利厚生サービスを導入している企業・団体に所属し、対象のアンケートに関する情報を登録していた人です。漏えいした情報には社員番号・氏名・生年月日・所属情報などが含まれますが、同社はクレジットカード情報や口座情報などの金融関係情報は対象に含まれていないとしています。実際にダウンロードしたのは1担当者のみとされているため、不特定多数への拡散リスクは相対的に低いと考えられますが、勤務先・氏名・生年月日の組み合わせは、なりすましや標的型のフィッシング詐欺に悪用される可能性があるため、心当たりのない連絡には注意してください。

自分の勤務先がベネフィット・ワンの福利厚生サービスを利用しているかどうかは、社内の人事・総務部門への確認で把握できる場合があります。対象に含まれているかどうかの個別の通知方法については、今回参照した情報源の範囲では明らかになっていません。

## 初心者が知っておくべきこと

「設定不備」とは、システムの権限管理の設定が意図した通りに機能しておらず、本来見えてはいけない情報が見えてしまう状態を指します。今回の原因について同社は、2025年6月のシステム改修で生じたプログラムの条件設定不備と説明しています。2025年10月に不具合を認知した後も、解消作業が適切に実施されていなかったとしています。

複数の企業がクラウド上の1つのシステムを共同で利用する「マルチテナント」型のサービスでは、顧客ごとにデータを区切る権限管理の仕組みが適切に機能しているかどうかが、情報漏えいを防ぐ上で特に重要になります。

## IT Postの見方

IT Postでは、今回の事案は「不具合を把握していたのに修正し切れなかった」という、再発防止の観点から最も重く受け止めるべきパターンだと考えます。新たに発見された脆弱性への対応と異なり、既知の問題を放置した結果の漏えいは、技術的な難しさよりも社内の優先順位付けや進捗管理の問題である可能性が高いためです。福利厚生サービスは多くの企業が外部委託する業務であり、委託先選定の段階で、発見した不具合をどれだけ確実に是正する体制を持っているかを確認することの重要性を、あらためて示す事例だというのがIT Postの見方です。※個人の感想です

## 今後どうなりそうか

同社は9月30日の公式発表で、原因究明、情報セキュリティ体制・個人情報保護に関する管理体制の強化、外部専門家による評価・助言に基づく対策を進め、再発防止に努めるとしています。対象企業・団体への個別説明や再発防止策の追加公表の予定は、この発表には記載されていません。IT Postでは、対応状況の追加発表があれば公式情報を確認します。

## 訂正履歴

- 2026-10-03T03:06:42Z: 「不具合を1年以上前から把握」「把握から1年以上」とした説明を訂正しました。公式発表の不具合発生2025年6月、社内認知同年10月、顧客連絡2026年7月30日、公表同年9月30日を区別し、発生からの期間を認知後の期間として扱っていたdescription・冒頭の論評・重要性の説明を修正しました。初心者向け説明の「気づかれないまま長期間放置」も認知後の解消作業に関する公式説明へ修正し、公式発表にない個別説明・追加公表の予測を削除しました。通知完了や修正完了の日付は推測していません。

## 情報源

- [2026年9月30日 株式会社ベネフィット・ワン 当社システムにおける個人情報漏えいに関するお知らせとお詫び](https://corp.benefit-one.co.jp/company/news/news/2026/20260930/20260930.pdf) — ベネフィット・ワン公式（一次情報）
- [アンケート結果をダウンロードしたら他社の従業員情報が…… ベネフィット・ワン、1万3460人分漏えい - ITmedia NEWS](https://www.itmedia.co.jp/news/article/2609/30/2000001908/) — ITmedia NEWS
- [ベネフィット・ワン、13,460名の個人情報が他社担当者に表示-2025年に把握したシステム不具合を解消できず - セキュリティ対策Lab](https://rocket-boys.co.jp/security-measures-lab/benefit-one-benewan-platform-data-leak-13460/) — セキュリティ対策Lab

## この記事に出てくるIT用語

- [アクセス制御](https://itpostjp.com/terms/access-control/): 誰が、どの情報や機能にアクセスできるかを、権限に応じて制限する仕組みです。
- [セキュリティインシデント](https://itpostjp.com/terms/security-incident/): 不正アクセスや情報漏えい、マルウェア感染など、情報セキュリティ上の脅威となる事象全般を指す言葉です。

---

この記事は、公開情報と出典URLの検証、文章作成の一部に生成AIを使用しています。内容の責任はIT Post by Rice Studio Labが負います。

出典表記: IT Post by Rice Studio Lab — https://itpostjp.com/security/benefit-one-benewan-platform-data-leak-13460/