セキショウキャリアプラス（国交省委託事業の再委託先）への不正アクセス（最大のべ15,535名分の参加登録情報）
公表日
国土交通省の委託事業の再委託先セキショウキャリアプラスのグループ企業のサーバーに不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。があり、ベトナム・インドの就職支援イベントの参加登録情報が最大のべ15,535名分流出しました。
対象者は？
ベトナム・インドで実施した就職支援イベントの参加者（最大のべ15,535名）、2021年の茨城県「副業・兼業 meet UP in 茨城」参加者（のべ42名）、出展企業担当者（最大のべ252名）。国土交通省主催の合同就職説明会では、ベトナム人参加者最大102名と企業担当者最大20名が含まれる可能性があります。氏名、生年月日、住所、電話番号、メールアドレス、暗号化されたパスワード等が対象です。クレジットカード情報などが含まれるかは、渡された情報には書かれていません。
対象者には個別に連絡が行われたとされています。連絡が届いていない場合は、国土交通省の発表をご確認ください。
いますぐできること
- 該当するイベントに参加登録した覚えがある人は、届いた個別連絡の内容を確認する。
- 同じパスワードを他のサービスでも使っている場合は、変更する。
- 身に覚えのないメールや電話に注意し、安易にリンクを開いたり個人情報を答えたりしない。
何が起きたのか
2025年9月10日、セキショウベトナム（ハノイ）が運用するサーバーで、顧客情報が漏れた懸念が生じました。同社はすぐにこのサーバーを外部から切り離して止め、外部の専門機関と調べました。その結果、第三者による不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。があり、保存されていた個人情報を含むデータが流出したと判断し、2025年10月10日に公表しました。同じ日に、関彰商事と国土交通省も発表しました。
なぜ起きたのか・なぜ広がったのか
不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。の入り口や方法は、まだ発表されていません。国の委託事業で、委託先と再委託先を通じて使われたシステムの情報が対象に含まれていました。
いまの状況2025-10-22 時点続報待ち
2025年10月22日時点で、情報が悪用された事実は確認されていないと発表されています。侵入の時期や方法、流出が確定した件数、補償については、まだ発表されていません。国土交通省は、関係者への丁寧な説明と再発防止策を速やかに行うよう指導しました。
企業として考えたいこと
自社が業務を委託・再委託している場合、お客様の個人情報がどこのサーバーに、いつまで保管されているかを、すぐに説明できますか。
技術的な要約
2025年9月10日、セキショウキャリアプラスのグループ企業セキショウベトナム（ハノイ）が運用するサーバーで顧客情報漏えいの懸念が生じ、同社は当該サーバーを外部から遮断して運用を停止した。外部専門機関とともに調査した結果、第三者による不正アクセスがあり、保存されていた個人情報を含むデータが流出したと判断し、2025年10月10日に公表した。ベトナム・インドで実施した就職支援イベントの参加登録情報（氏名、生年月日、住所、電話番号、メールアドレス、解読されない暗号化されたパスワード等）が最大のべ15,535名分、茨城県のイベント参加者がのべ42名分、出展企業担当者が最大のべ252名分対象となる。国土交通省は同日、委託先PwCコンサルティング合同会社と再委託先セキショウキャリアプラスから報告を受けたと発表し、同省の合同就職説明会関連ではベトナム人参加者最大102名分と企業担当者最大20名分が漏えいした可能性があるとした。いずれの発表でも現時点で悪用は確認されておらず、国土交通省は関係者への丁寧な説明と再発防止策の速やかな実施を指導した。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明公表では「第三者による不正アクセス」とされ、侵入経路・手口は示されていない。対象はグループ企業セキショウベトナム（ハノイ）が運用するサーバー。
- 脆弱性
- CVE 非公表不明悪用された脆弱性の有無・製品名は出典で示されていない。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 懸念が生じた当該サーバーを外部から遮断して運用を停止した。それ以外の業務への影響は出典に記載がない。
- データ
- 確定上限 15,535確定 —人氏名生年月日住所電話メールハッシュ化PWセキショウキャリアプラス公表の内訳（のべ人数）。(1)ベトナム・インドの就職支援イベント参加登録情報：最大のべ15,535名（ベトナム人11,678、インド人3,857）。(2)茨城県「副業・兼業 meet UP in 茨城」（2021年）参加登録情報：日本人のべ42名。(3)出展企業担当者（氏名、メール、解読されない暗号化されたパスワード等）：最大のべ252名（日本人228、ベトナム人24）。各区分を合算した値は出典にない。国土交通省の発表では、同省主催の合同就職説明会（ベトナム・ホーチミン及びハノイ開催）の参加者（ベトナム人）最大102名分（氏名、生年月日、住所、電話番号、メールアドレス、暗号化されたパスワード）と参加企業担当者最大20名分（氏名、メールアドレス）が漏洩した可能性がある。records_maxは(1)の件数。パスワードは「暗号化された」と表記されるためハッシュ化PWに対応づけた。現時点で悪用は確認されていない。
- 波及先
- —
- 国土交通省 令和6年度「建設業界における外国人技術者等の活用に係る支援及び調査業務」の合同就職説明会（委託先PwCコンサルティング合同会社、再委託先セキショウキャリアプラス）
- 金銭影響
- —
- サプライチェーン
- 国土交通省の委託事業で、委託先PwCコンサルティング合同会社の再委託先であるセキショウキャリアプラスのグループ企業（セキショウベトナム）運用サーバーが対象となり、国土交通省が主催した合同就職説明会のシステムに関する情報が漏えいした可能性がある。
時系列
技術解説
公表された事案の経過 事実
2025年9月10日、グループ企業セキショウベトナム（ハノイ）が運用するサーバーで顧客情報漏えいの懸念が生じ、同社は当該サーバーを外部から遮断して運用を停止した。その後、グループ内に対策チームを設置し、外部専門機関とともに調査を進めた。調査の結果、第三者による不正アクセスがあり、保存されていた個人情報を含むデータが流出したと判断した。セキショウキャリアプラスは2025年10月10日にこれを公表し、関彰商事と国土交通省も同日に発表した。対象者には公表に先立って個別連絡が行われたとされる。いずれの発表でも、現時点で漏えいデータの悪用は確認されていないと説明されている。判断に至った具体的な日付は、参照した出典では示されていない。
対象データの範囲と数字の読み方 事実
セキショウキャリアプラスの公表によれば、ベトナム・インドの就職支援イベント参加登録情報が最大のべ15,535名分（ベトナム人のべ11,678名、インド人のべ3,857名）で、茨城県の2021年のイベント参加者が日本人のべ42名分、出展企業担当者が最大のべ252名分（日本人のべ228名、ベトナム人のべ24名）である。氏名、生年月日、住所、電話番号、メールアドレス、解読されない暗号化されたパスワード等が含まれる。国土交通省の発表では、同省主催の合同就職説明会に関して、ベトナム人参加者最大102名分と企業担当者最大20名分（氏名、メールアドレス）が漏えいした可能性があるとされた。これらの数字は「最大」を含む上限であり、流出が確定した件数は示されていない。区分ごとの合算値も出典にはない。
委託の連鎖と海外拠点という構造 解釈
本件は、国土交通省の委託事業に関わる委託先のPwCコンサルティング合同会社、再委託先のセキショウキャリアプラス、そしてグループ企業のセキショウベトナムが運用するサーバーという、複数の主体にまたがる。公表からは、国の事業で使われたシステムの情報が、再委託先グループの海外拠点のサーバーに保管されていたことがうかがえる。解釈として、委託・再委託や海外拠点が絡む場合、個人情報の保管場所や管理責任の所在が外から見えにくくなる可能性がある。ただし侵入経路や管理体制の詳細は公表されておらず、本件の原因がこの構造にあると断定はできない。同様の構成を持つ組織にとって、保管先の棚卸しという観点で参考になる。
公表内容の評価と残る不明点 解釈
初報として、遮断の時期、調査体制、対象者への個別連絡、対象データ項目、人数の内訳が比較的具体的に示された点は評価できる。国土交通省も、委託元として関係者への説明と再発防止を指導する姿勢を公表した。一方で、侵入日、侵入経路、悪用された脆弱性の有無、攻撃者の主張、流出の確定件数、金銭的影響は現時点で示されていない。解釈として、調査中の事案であるため、これらは続報で補われる余地がある。懸念発生から公表まで約1か月が経過しているが、その間に必要だった調査の内容が公表されていない以上、この期間の長短を評価することはできない。
対応
- 封じ込め
- 2025年9月10日、懸念が生じたサーバーを即座に外部から遮断して運用を停止した。グループ内に対策チームを設置し、外部専門機関とともに調査を進めた。対象者には個別連絡を行っている。
- 公表の仕方
- 2025年10月10日にセキショウキャリアプラス、関彰商事、国土交通省がそれぞれ発表した。現時点で漏えいデータの悪用は確認されていないと説明されている。
- 当局対応
- 国土交通省：委託事業者・再委託事業者に対し、関係者への丁寧な説明と速やかな再発防止策の実施を指導し、個人情報等の厳正かつ適正な管理について委託事業者等への指導を徹底するとした。
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 委託・再委託の先にあるグループ会社や海外拠点のサーバーにも個人情報が置かれる場合がある。 | 委託事業ごとに個人情報の保管先（国・事業者・サーバー）を台帳化し、再委託先やグループ会社を含めて年次で棚卸しする。契約に保管場所の変更時の事前通知を盛り込む。 |
| 終了したイベントの参加登録情報が、運用中のサーバーに残っていた可能性がある（2021年のイベントのデータも対象に含まれた）。 | イベント終了後の保持期間を定め、期限が来たら削除またはオフライン退避する。保持期限切れデータを検出するジョブを定期実行する。 |
| 異常の疑いが生じた時点で、サーバーを即座に外部から遮断できたことは被害の拡大を抑える上で有効な手順である。 | サーバー単位で外部通信を遮断するランブックを用意し、海外拠点でも時差を問わず実行できる権限者を決め、年1回は遮断訓練を行う。 |
| 数字は「最大のべ」で示され、確定件数や区分間の重複は読み取れない。 | アカウントID単位で名寄せして実人数を算出する手順を事前に整備する。公表では上限と確定を分けて示す。 |
| パスワードは「解読されない暗号化」と説明されているが、保存方式の詳細は示されていない。 | パスワードはソルト付きの適応型ハッシュ（bcrypt、Argon2等）で保存し、侵害時は該当サービスの強制再設定と他サービスでの使い回し注意喚起を行う。 |
自組織などでの確認項目
- 自組織が受託・再委託している業務で、個人情報の保管先サーバーはどの国・どの事業者にあるか、一覧で説明できますか。
- 終了したイベントやキャンペーンの参加者情報について、保持期間と削除の実施記録を確認できますか。
- 海外拠点やグループ会社のサーバーで異常が疑われたとき、誰が何分以内に遮断を判断し、本社や委託元へどの順で連絡するか決まっていますか。
- 委託元から求められた場合、自組織は個人情報の保存方式（パスワードのハッシュ方式など）を説明できますか。
未解明点
- 不正アクセスはいつ始まり、どの経路（認証情報、脆弱性、設定など）で行われたのか。
- 流出が確定した件数と、のべ人数を名寄せした実人数はどれだけか。
- 国土交通省の委託事業に関する最大102名分と、セキショウキャリアプラスが示した最大のべ15,535名分は、どのような関係にあるのか。
- 暗号化されたパスワードの具体的な保存方式は何か。
- 再発防止策の具体的な内容と、対象者への補償・支援の有無はどうなるのか。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2025-10-15報道本文確認済
- 2ScanNetSecurity2025-10-22報道本文確認済
- 3ScanNetSecurity2025-10-22報道本文確認済
- 4国土交通省 不動産・建設経済局国際市場課2025-10-10公式本文確認済