Tier表ラフールサーベイ旧システムへの不正アクセス事案の概要と評価
ラフールサーベイの旧システムから、利用企業182社の従業員2万4232人分の個人情報が不正取得されました。一部にはストレスチェックの結果・回答や医師の面談・面接指導の記録が含まれます。
- 発生日
- 2026/07/24〜2026/10/25
- 公表日
- （報道日）
- 個人情報を取得された対象
- 利用企業182社の従業員2万4232人
- 流出確認
- 流出のおそれ
事案の概要
- 企業・サービス
- ラフールサーベイ旧システムへの不正アクセス
- 確認状況
- 個人情報を含むファイルの取得が確認されています。住所、電話番号、パスワードの漏えいは現時点で確認されていません。
- 発生日
- 2026/07/24〜2026/10/25旧システムのファイル保管領域から不正にファイルが取得された期間です。個人情報を含むファイルは7月24日と8月8日に取得されました。 根拠資料
- 公表日
- （報道日）
報道の掲載日です。 - 公表された原因
- ITmedia NEWSによると、プログラムに書き込まれたアクセスキーを含むテスト用実行環境イメージが公開されていました。ラフールは、第三者がキーを入手したことが原因と推定しています。
経緯
ITmedia NEWSの報道によると、ラフールは2026年11月9日、組織改善ツール「ラフールサーベイ」の旧システムが不正アクセスを受け、利用企業182社の従業員2万4232人分の個人情報を第三者に取得されたと発表しました。
攻撃者は7月24日から10月25日までに旧システムのファイル保管領域からファイルを取得し、うち7月24日と8月8日に個人情報を含むファイルを取得しました。7月30日に新システムへ移行した後も、旧システムからの不正取得は続いていました。
同社は10月27日にログから不正アクセスの疑いを発見し、同日中に不正使用されたアクセスキーを無効化しました。28日に攻撃に使われた海外のIPアドレスからの通信を遮断し、29日にファイルの不正取得が発覚しました。
現行システムは旧システムと別のクラウド上の管理単位で運用され、今回不正使用されたキーでは接続できません。11月4日の設定とアクセス記録の確認では、攻撃元による現行システムへのアクセスや操作の記録は見つかりませんでした。
流出した情報と流出していない情報
報道によると、取得された主な項目は従業員番号、氏名、所属部署、サーベイの回答と結果です。一部の人については、ストレスチェックの結果・回答や、医師による面談・面接指導の記録も含まれます。
住所、電話番号、パスワードの漏えいは現時点で確認されていません。
原因
報道によると、ラフールのエンジニアがアクセスキーをプログラムに書き込み、2019年に当時の開発委託先フランジア（現Sun Asterisk）の開発者が、そのプログラムを含むテスト用実行環境イメージをインターネット上で公開していました。ラフールは、第三者がキーを入手したことが不正アクセスの原因と推定し、委託元である自社の管理も十分ではなかったと述べています。
現行システムではアクセスキーのプログラムへの直接記載を廃止し、短時間で自動的に無効になる一時的な認証情報を使用しています。同社は外部調査機関に調査を依頼し、その結果を踏まえて再発防止策を講じるとしています。
対象情報
- ID・識別子流出確認
取得された主な項目に従業員番号が含まれます。
- 氏名流出確認
取得された主な項目に氏名が含まれます。
- 健康・医療情報流出確認
対象者の一部について、ストレスチェックの結果・回答や医師による面談・面接指導の記録が取得された情報に含まれます。
- 認証トークン等流出のおそれ
旧システムのアクセスキーが不正使用されました。第三者が公開されたイメージからキーを入手したことはラフールの推定です。キーは10月27日に無効化されました。
Sとした理由
取得された情報には、一部の人のストレスチェック結果や医師による面談・面接指導の記録が含まれます。また、不正使用されたアクセスキーによる旧システムへの侵入とファイル取得が確認されています。
評価基準 v4.1 ・ 評価日 2026-11-10
Sの評価基準深い私的情報・本人確認書類画像・有効な認証情報の侵害、それと同等の管理機能・アカウント支配、大規模な連絡先流出、又は主要な提供機能の停止。