カオナビの子会社ワークスタイルテックは、サービス「WelcomeHR」のクラウドストレージのアクセス権限の誤設定により、お客様がアップロードしたファイルが外部から閲覧・ダウンロードできる状態だったと公表しました。2023年12月28日から29日には、第三者によるダウンロードが行われていました。5月31日の報告で、漏えいした人数は158,929人とされています。
目次
事故の概要
推奨される対応
ワークスタイルテック株式会社からの案内があるときは、そちらを優先してください。そのうえで、この事故で漏えいした情報の種類から、ご自身でできる対応を悪用されやすい順に並べています。
- STEP 1
ワークスタイルテック株式会社からの案内を確かめる
- STEP 2
ご自身でできる対応
- 1
本人確認書類の画像・マイナンバーが漏えいしたため
優先本人確認書類などが悪用され、身に覚えのない契約や口座開設が行われていないかご確認ください。
- 2
電話番号・住所が漏えいしたため
不審な電話や SMS、届いた覚えのない郵便物にご注意ください。
- STEP 3漏えいのお知らせが届いたら？メールや SMS が本物かの見分け方と、漏れた情報ごとの対応をまとめています。
お知らせが届いたら
経緯
- 検知3/22
- 初動対応—
- 公表3/29
- 調査結果5/31
- 再発防止策5/31
検知2024年3月22日
2024年3月22日、セキュリティ調査の過程で、クラウドストレージのアクセス権限の誤設定が発覚しました。同日中に是正しています。
公表2024年3月29日
サーバーのアクセス権限の誤設定により、お客様の個人データが限定された特定の条件下で外部から閲覧可能な状態にあり、実際に第三者によるファイルのダウンロードが行われていたと公表しました。閲覧が可能だった期間は2020年1月5日から2024年3月22日、ダウンロードが確認された期間は2023年12月28日から29日です。
対象は氏名、性別、住所、電話番号と、アップロードされた各種身分証明書（マイナンバーカード、運転免許証、パスポート等）や履歴書等の画像で、対象の本人は162,830人（うちダウンロードが確認されたのは154,650人）としています。直接契約のお客様の環境が対象で、OEM契約等のお客様は対象外です。二次被害は現時点で確認されていないとしています。
調査結果2024年5月31日
調査が完了したとして報告しました。漏えいが確認された個人データは、お客様がアップロードした各種身分証明書等のPDFファイルや画像ファイルで、人数は総数158,929人（うちダウンロード確認150,445人）と、前回公表時の数値から変更しています。このうち個人番号情報を含む人数は46,329人、クレジットカード又はデビットカード情報を含む人数は8,073人、要配慮個人情報を含む人数は2,707人（健康診断情報1,937人、障がい情報798人）です。
3月28日に第三者によるダウンロードの痕跡を確認し、5月24日に個人情報保護委員会へ確報を提出しました。漏えいした個人データの不正利用の事実は現在までに確認されていないとしています。
再発防止策2024年5月31日
再発防止策として、クラウド設定の設計・変更のダブルチェック体制の整備と監視体制の強化、お客様のファイルの保管先の分離とアクセス制限の厳格化を挙げています。4月26日には外部専門機関にクラウドの設定状況の診断を依頼し、情報漏えいに繋がる可能性がある指摘箇所は同日中に是正しました。軽微な指摘箇所は対応計画を立てて順次是正しています。あわせて、外部専門機関と連携した従業者の再教育を実施するとしています。
影響を公表した組織（1）
この事故で影響を受け、自分で公表した組織です。組織ごとの件数や対応は、それぞれのページにあります。
出典
正しい情報については、リンク元の一次情報を必ず参照してください。
誤りや続報のご連絡
掲載内容の誤りや続報の情報は、お問い合わせフォームより受け付けております。内容によっては、回答までにお時間をいただく場合がございます。