株式会社コバヤシのシステムへの不正アクセス（社員・取引先・求人応募者等の個人情報8,149件が漏えい）
公表日
株式会社コバヤシのサーバーに第三者が不正に入り、社員・退職者、求人応募者、取引先など8,149件の個人情報が漏えいしたと確認されました。通常業務への影響はないと発表されています。
対象者は？
求人応募者4,984件、個人事業主（顧問・取引先）91件（うちマイナンバーを含む56件）、社員（派遣社員含む）・退職者3,074件の個人情報が対象です。社員・退職者の情報には口座番号、パスポート番号（2010年時点）、被保険者証番号、基礎年金番号などが含まれます。クレジットカード情報は含まれません。
対象の方には2026年1月21日から、電子メールまたは書面で個別に連絡するとされています。連絡できない方には、公式のお知らせをもって代えるとされています。心当たりがある場合は、お問い合わせフォームの「その他」から問い合わせができます。
いますぐできること
- コバヤシから届いたメールや書面があれば内容を確認し、案内に従う。
- 流出した情報を悪用したメールなどが届く可能性があるため、心当たりのないメールの添付ファイルやリンクは開かない。
- 不安な点は、公式サイトのお問い合わせフォーム（「その他」）から問い合わせる。
何が起きたのか
2025年11月4日、警視庁サイバー犯罪対策課から、コバヤシのサーバーに不正なプログラムが入れられ、情報が盗まれている可能性があると連絡がありました。コバヤシはすぐにこのサーバーをネットワークから切り離し、対策本部を設けて外部の専門機関と調べ始めました。11月6日に最初のお知らせを出し、個人情報保護委員会などにも報告しました。12月17日に調査が終わり、一部の情報が外部のサイトに公開されていることが分かりました。2026年1月21日の最終報で、漏えいした個人情報は8,149件と発表されました。
なぜ起きたのか・なぜ広がったのか
コバヤシは原因を「システムの一部の脆弱性をついた第三者からの不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。」と説明しています。どのシステムのどの製品だったか、いつ侵入されたか、どんな経路だったかは、まだ発表されていません。
いまの状況2026-05-15 時点
最終報の時点で、流出した情報が不正に使われたことは確認されていないとされています。対象のシステムは廃止され、インフラ構成の見直しと監視の強化が行われたと発表されています。お問い合わせ窓口は2026年5月15日に閉鎖され、いまはお問い合わせフォームで受け付けています。侵入日や侵入経路などの詳しい内容は、まだ発表されていません。
企業として考えたいこと
もし自社のサーバーに不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。があったとき、社員・退職者・応募者・取引先の個人情報がどのシステムにどれだけ残っているかを、すぐに説明できるでしょうか。
技術的な要約
株式会社コバヤシのサーバーに第三者が不正アクセスし、情報が窃取されたことを2025年11月4日に確認した。同日、警視庁サイバー犯罪対策課から不正プログラムが組み込まれ情報が窃取されている可能性があるとの連絡を受け、該当サーバーをネットワークから切り離した。2025年12月17日に調査機関の調査が完了し、一部情報が外部サイト上に公開されていることを確認した。2026年1月21日の最終報で、社員・取引先・一部関係者の個人情報8,149件の漏えいが確認されたと公表した（マイナンバー、口座番号、パスポート番号を含む情報あり、クレジットカード情報は含まれない）。原因は「システムの一部の脆弱性をついた」不正アクセスとされ、製品名やCVEは公表されていない。受発注・出荷などの通常業務への影響はなく、情報の不正利用も確認されていない。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明公式発表は原因を「システムの一部の脆弱性をついたことによる第三者からの不正アクセス」とするのみで、対象システムの種別・製品名・侵入経路の詳細は公表されていない。
- 脆弱性
- CVE 非公表公表で確認「システムの一部の脆弱性」とのみ記載。製品名・CVEは公表されていない。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし サーバー内データの暗号化や業務停止に至る被害は確認されておらず、受発注、出荷等の通常業務に影響は出ていない（第1報時点）。該当サーバーはネットワークから切り離され、当該システムは廃止された。
- データ
- 確定上限 8,149確定 8,149件氏名住所生年月日電話メール口座パスポートマイナンバー従業員情報取引先情報その他内訳（最終報）: 求人応募者4,984件（氏名、住所、生年月日、連絡先、応募時提示情報など）、個人事業主（顧問・取引先）35件（マイナンバー含まず）、同56件（マイナンバー含む）、社員（派遣社員含む）・退職者3,074件（口座番号、報酬額、出身校、パスポート番号（2010年時点）、被保険者証番号、家族情報、基礎年金番号など）。合計は4,984+35+56+3,074=8,149件。クレジットカード情報は含まれない。一部情報は外部サイト上に公開されていることを確認。現時点で不正利用は確認されていない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- —
時系列
- 2025-11-04警視庁サイバー犯罪対策課から、サーバーへ不正プログラムが組み込まれ情報が窃取されている可能性があるとの連絡を受け、直ちに該当サーバーをネットワークから切り離すなど初動対策を実施。2
- 2025-11-04サーバーへの第三者による不正アクセスとサーバー内情報の窃取を確認。1
- 2025-11-04対策本部を設置し、外部専門機関と連携して影響範囲の特定と原因調査を開始。2
- 2025-11-06第1報を公表。暗号化や業務停止はなく通常業務に影響なしとし、悪用メール等への注意を呼びかけ。1
- 2025-11-06
- 2025-12-17調査機関による調査が完了し、サーバーから一部情報が不正に取得され外部サイト上に公開されていることを確認。2
- 2026-01-21最終報を公表。個人情報8,149件の漏えいを確認し、原因を「システムの一部の脆弱性をついた」不正アクセスと説明。2
- 2026-01-21対象者への電子メールまたは書面での個別連絡を開始。2
- 2026-05-15
技術解説
公表された経緯 事実
2025年11月4日、警視庁サイバー犯罪対策課から、サーバーへ不正プログラムが組み込まれ情報が窃取されている可能性があるとの連絡を受け、コバヤシは直ちに該当サーバーをネットワークから切り離した。同日、第三者による不正アクセスとサーバー内情報の窃取を確認し、対策本部を設置して外部専門機関と調査を始めた。11月6日に第1報を公表し、個人情報保護委員会へ報告した。12月17日に調査機関の調査が完了し、一部情報が外部サイト上に公開されていることを確認した。2026年1月21日の最終報で、漏えいした個人情報は8,149件と公表された。
漏えいした情報の内訳 事実
最終報によると、対象は求人応募者4,984件、個人事業主（顧問・取引先）のうちマイナンバーを含まない35件と含む56件、社員（派遣社員含む）・退職者3,074件で、合計8,149件である。社員・退職者の情報には口座番号、報酬額、出身校、パスポート番号（2010年時点）、被保険者証番号、家族情報、基礎年金番号などが含まれる。クレジットカード情報は含まれないと明記されている。最終報の時点で、流出した情報が不正に利用された事象は確認されていないとされている。件数は上限ではなく、確認された漏えい件数として公表されている。
原因と対応として公表された内容 事実
原因について、公式発表は「システムの一部の脆弱性をついたことによる第三者からの不正アクセス」と記している。対象システムの種別、製品名、CVE、侵入経路、侵入日は本文に記載がない。第1報では、サーバー内データの暗号化や業務停止に至る被害は確認されておらず、受発注・出荷などの通常業務に影響は出ていないとされた。再発防止策として、当該システムの廃止、インフラ構成の最適化、監視強化を実施済みとしている。対象者へは2026年1月21日から電子メールまたは書面で連絡するとした。
公表内容から読み取れる点と限界 解釈
公表文からは、事案の端緒が警視庁からの連絡であり、組織側の自力検知ではなかったと読める。ただし、それ以前に社内で異常を捉えていたかは書かれておらず、断定はできない。侵入日が非公表のため、攻撃者がどの程度の期間サーバー内にいたかも判断できない。また、パスポート番号が2010年時点の情報であることから、過去に取得した情報が当該サーバーに残っていた可能性がある。ただし保管理由や運用方針は公表されていない。第1報は2日後、最終報は約2か月半後と段階的に公表されており、原因の詳細が少ない点が今後の論点になりうる。
対応
- 封じ込め
- 警視庁からの連絡を受け、該当サーバーを直ちにネットワークから切り離し、対策本部を設置して外部専門機関と調査を開始。再発防止策として、当該システムの廃止、インフラ構成の最適化、監視強化を実施済み。
- 公表の仕方
- 2025年11月6日に第1報、2026年1月21日に最終報を自社サイトで公表。対象者には2026年1月21日から電子メールまたは書面で連絡し、連絡できない者には本公表をもって代えるとした。お問い合わせ窓口は2026年5月15日に閉鎖。
- 当局対応
- 警視庁サイバー犯罪対策課
- 個人情報保護委員会（2025年11月6日に報告）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 外部機関からの通報が検知の端緒になりうるため、自力検知と通報受領の両方を備える必要がある。 | 公開サーバーのEDR導入と、外向き通信・大量ファイル読み出しのログ監視ルールを整備する。警察・JPCERT/CC等からの連絡を受ける窓口と、サーバー隔離の判断権限を事前に決めておく。 |
| 公開されたシステムの脆弱性は、侵入口になりうる。対象製品が公表されていなくても、棚卸しと更新の管理が欠かせない。 | 外部公開資産を定期スキャンして一覧化し、CVE情報と突き合わせる。重大な脆弱性は期限を決めてパッチを適用し、適用できない場合はWAFやアクセス制限で緩和する。 |
| 役目を終えたシステムや古い個人情報が残ると、漏えい時の影響範囲が広がる。 | データ種別ごとに保管期限を定め、期限超過データを自動削除またはアーカイブへ隔離する。マイナンバー、口座、パスポート番号は通常業務のサーバーから分離し、アクセス権を最小化する。 |
| 漏えいした情報が外部サイトに公開された場合に備え、調査と通知の手順を準備しておく。 | ログの保存期間を延ばし、フォレンジック用に取得を自動化する。対象者区分ごとの通知文テンプレートと連絡手段（メール・書面）を用意し、問い合わせ窓口の運用期間も決めておく。 |
| 侵入日や経路が分からないと、影響範囲の説明と再発防止の検証が難しくなる。 | 認証・プロキシ・ファイル操作のログを一元収集し、一定期間保管する。インシデント時に時系列を再構成できるよう、時刻同期と改ざん防止を設定する。 |
自組織などでの確認項目
- 自組織で外部に公開しているサーバーやシステムを、担当者と製品名・バージョンまで一覧にできているか。使われていない公開システムは残っていないか。
- 従業員、退職者、求人応募者、取引先の個人情報を、どのシステムにいつまで保管しているか。マイナンバーや口座番号など機微な情報は、他の業務データと分けて管理されているか。
- 警察や外部機関から「サーバーが侵害されている可能性がある」と連絡を受けたとき、誰が連絡を受け、何分以内に誰の判断でネットワークから切り離せるか。その手順を実際に試したことがあるか。
未解明点
- 侵入が行われた日と、攻撃者がサーバー内にいた期間は公表されていない。
- 対象となった「システムの一部」の種別、製品名、CVE、侵入経路は公表されていない。
- 情報が公開された外部サイトの種類や公開期間、攻撃者の名称や主張は公表されていない。
- 古い情報（2010年時点のパスポート番号など）が当該サーバーに保管されていた理由は公表されていない。
出典
- 1株式会社コバヤシ2025-11-06公式本文確認済
- 2株式会社コバヤシ2026-01-21公式本文確認済