アルビオン利用の外部システムサービス提供委託先への不正アクセス（勤務経験者5,613件の漏えいのおそれ）
公表日
化粧品メーカーのアルビオンが社内で使っていた外部システムの委託先で不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。があり、勤務経験者最大5,613件の情報が漏えいした可能性があると発表した。外部への流出の事実は確認されていない。
対象者は？
アルビオンで勤務経験のある方（社員、社員退職者、派遣社員、派遣社員退職者、業務委託者、業務委託離任者）の最大5,613件。対象は社員番号、氏名、氏名カナ、会社メールアドレス（退職者を除く）、WindowsアカウントID（退職者を除く）、入社日、退社日。お客様情報、住所・個人の私用連絡先、クレジットカード、マイナンバーは含まれない。
本人への個別連絡の方法は、確認できた報道には記載がなく、まだ発表されていません。勤務経験のある方は、アルビオンからの案内を確認してください。
いますぐできること
- 会社メールアドレスやアカウントIDが含まれるため、なりすましメール実在の会社や取引先、知人を名乗って送られる偽のメールです。本物のアカウントが乗っ取られ、そこから送られてくる場合もあり、送信者名だけでは見分けがつきません。や不審な連絡に注意する。
- 心当たりのないメールや連絡のリンクや添付ファイルは開かず、確認が必要なときは公式の窓口に問い合わせる。
何が起きたのか
2025年10月9日13時15分、アルビオンが社内で使っていた外部システムを提供する委託先で、不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。がありました。13時28分に、そのシステムはネットワークから切り離され、追加のセキュリティ対策がとられました。アルビオンも同じ日のうちにそのシステムの利用をやめ、中のデータをすべて削除しました。10月24日、アルビオンは、そのシステムに登録されていた勤務経験者の情報が漏えいした可能性があると発表しました。
なぜ起きたのか・なぜ広がったのか
原因は、まだ発表されていません。わかっているのは、アルビオン自身ではなく、同社が利用する外部システムの提供元である委託先で不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。があったことです。侵入の方法や、攻撃した相手も公表されていません。そのシステムに勤務経験者の情報が登録されていたため、漏えいの可能性がある範囲が最大5,613件になりました。
いまの状況2025-11-12 時点続報待ち
2025-11-12時点の報道では、個人情報の外部流出の事実は確認されていません。ただし漏えいの可能性があるとして公表されています。原因の詳細、再発防止策、調査の続報はまだ発表されていません。
企業として考えたいこと
自社が外部サービスに預けている従業員や退職者の情報には、どんな項目が何件あり、その委託先で問題が起きたとき、何時間以内に知らせてもらえるでしょうか。
技術的な要約
アルビオンは2025年10月24日、社内で利用していた外部システムサービスへの不正アクセスにより、登録されていた勤務経験者の個人情報が漏えいした可能性があると発表した。不正アクセスは外部システムを提供する委託先で2025年10月9日13時15分に発生し、13時28分に当該システムをネットワークから遮断して追加のセキュリティ制御を実施した。アルビオンは同日中に利用を中止し、システム内の全データを削除した。漏えいが懸念されるのは社員・退職者・派遣社員・業務委託者など合計5,613件で、社員番号、氏名、氏名カナ、会社メールアドレス、WindowsアカウントID、入社日・退社日が含まれる。現時点で外部流出の事実は確認されておらず、お客様情報、住所・私用連絡先、クレジットカード、マイナンバーは含まれないとしている。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 委託先経由報道・研究者外部システムを提供する委託先で2025年10月9日13時15分に不正アクセスが発生した。侵入手口は報道に記載がない。
- 脆弱性
- CVE 非公表不明脆弱性・製品名は報道内容から確認できない。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 当該システムの利用を中止しデータを削除したが、業務への影響は報道に記載がない。
- データ
- おそれ上限 5,613確定 —件従業員情報氏名メールその他内訳は社員3,085件、社員退職者2,155件、派遣社員96件、派遣社員退職者159件、業務委託者80件、業務委託離任者38件の合計5,613件。対象情報は社員番号、社員氏名、氏名カナ、会社メールアドレス（退職者を除く）、WindowsアカウントID（退職者を除く）、入社日、退社日。外部流出の事実は確認されていない。お客様情報、住所・私用連絡先、クレジットカード、マイナンバーは含まれない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- アルビオンが社内で利用するシステムサービスを提供する外部の委託先が不正アクセスを受け、登録されていた同社の勤務経験者の情報に漏えいの可能性が生じた。
時系列
- 2025-10-09 13:15
- 2025-10-09 13:28当該システムをネットワークから遮断し、追加のセキュリティ制御を実施。1
- 2025-10-09アルビオンが同日中に当該システムの利用を中止し、システム内の全データを削除。1
- 2025-10-24
- 2025-10-24漏えいが懸念される情報は合計5,613件、外部流出の事実は未確認、お客様情報やクレジットカード、マイナンバーは含まれないと公表。1
- 2025-10-24会社メールアドレスやアカウントIDが含まれるため、なりすましメールや不審連絡への注意を呼びかけ。1
- 2025-10-27セキュリティ対策Labがアルビオンの発表を報道。1
- 2025-11-12ScanNetSecurityが、勤務経験者5,613件の漏えいの可能性として報道。2
技術解説
公表された経緯と初動 事実
アルビオンは2025年10月24日、社内で利用していた外部システムサービスへの不正アクセスが確認され、同システムに登録されていた勤務経験者の個人情報が漏えいした可能性が判明したと発表した。報道によると、不正アクセスは外部システムを提供する委託先で2025年10月9日13時15分に発生した。13時28分に当該システムをネットワークから遮断し、追加のセキュリティ制御を実施した。アルビオンは同日中に当該システムの利用を中止し、システム内の全データを削除した。侵入から遮断までの時間は報道に記された時刻の範囲で13分である。
漏えいのおそれがある情報の範囲 事実
漏えいが懸念されるのは勤務経験者の情報で、合計5,613件。内訳は社員3,085件、社員退職者2,155件、派遣社員96件、派遣社員退職者159件、業務委託者80件、業務委託離任者38件である。対象は社員番号、社員氏名、氏名カナ、会社メールアドレス（退職者を除く）、WindowsアカウントID（退職者を除く）、入社日、退社日。お客様情報や住所・個人の私用連絡先、クレジットカード、マイナンバーは含まれない。現時点で外部流出の事実は確認されていないが、漏えいの可能性があるとして公表に至った。会社メールアドレスやアカウントIDが含まれるため、なりすましメールや不審連絡への注意が必要だとしている。
委託先経由という構造（解釈） 解釈
本件は、アルビオン自身の環境ではなく、同社が利用する外部システムを提供する委託先で不正アクセスが起きた点に特徴がある。今回確認できた報道では、侵入手口、脆弱性、委託先名、攻撃者は示されておらず、委託先側の環境がどこまで影響を受けたかも分からない。そのため、ここでの整理には推測を含む。サプライチェーン型の事案として見ると、利用企業は委託先の内部の管理状況を直接確認しにくく、預けたデータの種類と量が被害範囲を左右する。本件では、そのサービスに勤務経験者の情報が登録されていたことが、対象の広さにつながったと考えられる。
公表内容と対応の見方（解釈） 解釈
外部流出が未確認の段階で、件数の内訳、対象項目、含まれない情報まで示された点は、影響を受けうる人が自分の状況を判断する助けになると読める。件数は流出の上限であり、確定した件数ではない。一方で、検知の経緯、委託先との管理の取り決め、当局への届出、本人への通知方法は今回の出典から確認できず、評価は限定的である。遮断から全データ削除までを同日中に行った対応は、被害拡大の抑制には有効だった可能性がある。ただし、削除後に調査へ使える記録がどこまで残ったかは不明で、これも推測にとどまる。
対応
- 封じ込め
- 2025年10月9日13時28分に当該システムをネットワークから遮断し、追加のセキュリティ制御を実施。同日中に利用を中止し、システム内の全データを削除した。
- 公表の仕方
- 2025年10月24日に、外部流出の事実は未確認だが漏えいの可能性があるとして公表。なりすましメールや不審連絡への注意を呼びかけた。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 委託先に預ける個人情報の種類と件数を把握していないと、事案時に影響範囲を素早く示せない。 | 外部サービスごとに、保存項目・対象者区分・件数を台帳化し、四半期ごとに更新する。契約時に項目の最小化を確認し、退職者データの保持期間を決めて自動削除を設定する。 |
| 委託先で起きた侵害を、利用企業が早く知れる仕組みが必要になる。 | 契約に、インシデント発生時の通知期限（例：検知から24時間以内の一報）と連絡窓口を明記する。連絡経路の疎通訓練を年1回行う。 |
| 退職者や契約終了者の情報が外部システムに残ると、対象が広がる。 | 退職・契約終了のワークフローに、外部サービス上のアカウントとデータの削除または匿名化を組み込み、実施ログを残す。保持が必要な項目は業務上の根拠を記録する。 |
| 会社メールアドレスやアカウントIDの漏えいのおそれは、なりすましメールなどの二次被害に備える必要がある。 | SPF・DKIM・DMARCを設定してレポートを監視する。多要素認証を全アカウントに適用し、ID一覧が外部に出た場合に備えて、該当アカウントのサインイン異常検知ルールを用意する。 |
| 被害サービスの即時遮断と全データ削除は拡大防止になる一方、調査用の証跡との両立を考える必要がある。 | 遮断・削除の手順書に、削除前のログ・スナップショット保全の要否判断、委託先へのログ提出依頼、保全記録の作成を入れる。 |
自組織などでの確認項目
- 自組織が外部サービスに預けている従業員・退職者情報には、どの項目がどれだけ含まれているか、一覧で説明できるか。
- 委託先で不正アクセスが起きた場合、自組織は何時間以内にその事実を知れる契約・連絡体制になっているか。
- 退職者や契約終了者のデータが、委託先のシステムに残っていないか。削除の実施を確認する手順があるか。
- 会社メールアドレスとアカウントIDの一覧が外部に出たと仮定して、なりすましメールを従業員が見分け、報告できる状態になっているか。
未解明点
- アルビオン自身の公式発表の全文（対応の詳細、問い合わせ先、通知方法）は、今回の出典では確認できていない。
- 委託先の名称、侵入手口、悪用された脆弱性の有無、攻撃者は公表されていない。
- 委託先での不正アクセスをどのように検知したのか、公表されていない。
- 個人情報保護委員会など当局への届出の有無は、公表内容から確認できない。
- 今後、外部流出の有無の調査結果と再発防止策がどのように示されるかは、まだ発表されていない。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2025-10-27報道本文確認済
- 2ScanNetSecurity2025-11-12報道本文確認済