東京都「TOKYO特定技能Jobマッチング支援事業」委託先パソナ従業員PCへの不正アクセス（最大800名の個人情報漏えいのおそれ）
公表日
東京都の委託事業者パソナの従業員のパソコンが詐欺サイトを経由して外部からアクセスされ、事業にエントリーした最大800名の個人情報が漏えいした可能性があります（漏えいが確認されたとは発表されていません）。
対象者は？
東京都産業労働局の「TOKYO特定技能Jobマッチング支援事業」にエントリーした800名の方。漏えいの可能性があるのは、氏名、生年月日、住所、電話番号、メールアドレス、出身国、在留資格、日本語能力のレベル、合格した特定技能試験の分野、紹介先企業です。公表された情報の一覧には、これら以外は含まれていません。
東京都は、漏えいの可能性がある800名にメールと電話で連絡し、説明と謝罪を行い、被害の有無を確認しています。連絡内容や詳細は、下の公式のお知らせで確認できます。
いますぐできること
- 対象の可能性がある方は、東京都から届いたメールや電話の内容を確認する。
- 身に覚えのない電話・メール・SMSには、すぐに応じず、公式のお知らせで内容を確かめる。
- パソコンに「ロックされた」「サポートに電話を」といった画面が出たら、表示された番号には電話せず、周囲や管理者に相談する。
何が起きたのか
2025年9月16日の夕方、東京都の委託事業者であるパソナの従業員が、仕事とは関係のない目的でパソコンを使っているときに詐欺サイトにつながりました。その後、遠隔操作ができるサービスによる接続が始まり、外部からパソコンにアクセスされました。パソコンがロックされたため、従業員は画面に出た番号に電話し、指示に従って操作しました。従業員は上司に報告し、パソコンは社内のネットワークから切り離されました。9月19日に東京都が発表し、国の個人情報保護委員会にも速報として報告しました。
なぜ起きたのか・なぜ広がったのか
パソコンが詐欺サイトにつながり、外部からのアクセスを受けたことが発端と公表されています。800名分の情報が影響を受けるおそれがあった理由や、パソコンにどのように情報が置かれていたかは、まだ発表されていません。データファイルの外部送信は確認されていませんが、画面の閲覧などによる漏えいの可能性は否定できないとされています。
いまの状況2026-04-23 時点続報待ち
東京都は、発表の時点で二次被害は確認されていないとしています。都は委託事業者に厳重注意を行い、社員教育の徹底や事故発生時の迅速な対応などを指導し、再発防止を図るとしています。また、報道では、本件をきっかけに東京都の委託事業の複数の労働者が3月31日で雇止めになったと伝えられ、見出しは100人以上としています。調査の最終結果や雇止めに関する公式の説明は、まだ発表されていません。
企業として考えたいこと
自社の委託先の担当者が、業務とは関係のない画面操作などで詐欺に遭ったとき、私たちのお客様の情報への影響を、どれだけ早く把握し、お知らせできるでしょうか。
技術的な要約
2025年9月16日、東京都産業労働局が実施する「TOKYO特定技能Jobマッチング支援事業」の委託事業者である株式会社パソナの従業員が、業務目的外でパソコンを利用中に詐欺サイトに接続し、外部からパソコンにアクセスされた。事業にエントリーした800名の氏名・生年月日・住所・電話番号・メールアドレス・出身国・在留資格などが漏えいした可能性がある。9月18日の調査ではデータファイル等の外部送信は確認されなかったが、外部第三者によるファイル表示画面の閲覧等による漏えいの可能性は否定できないとされた。東京都は9月19日に公表し、同日に個人情報保護委員会へ速報として報告した。現時点で二次被害は確認されていないとされ、報道では本件をきっかけに100人以上が雇止めになったと伝えられている。
攻撃の分類
- 侵入口
- フィッシング公表で確認委託事業者の従業員が業務目的外でパソコンを利用中に詐欺サイトに接続され、その後、詐欺目的の偽サイトである可能性が高いリモートアクセスサービスによるサポート接続が開始された。パソコンがロックされたため従業員は画面表示の番号に電話し、指示に従い画面入力やアイコンのクリックを行った。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 事業自体の停止は公表されていない。報道（ABEMA TIMES）は、東京都がパソナに委託した事業で複数の労働者が3月31日で雇止めとなり、そのきっかけが詐欺サイトへの接続だったと伝え、見出しでは100人以上が雇止めになったとしている。
- データ
- おそれ上限 800確定 —人氏名生年月日住所電話メールその他事業にエントリーした800名分。「その他」は出身国、在留資格、日本語能力のレベル、合格した特定技能試験の分野、紹介先企業。データファイル等の外部送信は確認されず、外部第三者によるファイル表示画面の閲覧等による漏えいの可能性が否定できないとされた。二次被害は確認されていない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 東京都産業労働局の委託事業者である株式会社パソナの従業員のパソコンが不正アクセスを受け、都の委託事業にエントリーした者の個人情報が漏えいした可能性が生じた。
時系列
- 2025-09-16 16:17
- 2025-09-16 16:30
- 2025-09-16 16:40
- 2025-09-16 16:41
- 2025-09-18 17:00
- 2025-09-18 18:45
- 2025-09-19
- 2025-09-19
- 2025-09-22パソナ名義の「不正アクセスによる事故のお知らせ」が掲載された（出典の日付）。3
- 2025-10-02ScanNetSecurityが、委託事業者パソナの従業員が業務目的外でパソコンを利用中に詐欺サイトに接続した件を報じた。1
- 2026-04-23ABEMA TIMESが、本件のきっかけで東京都の委託事業の複数の労働者が3月31日で雇止めとなったと報じた（見出しは100人以上）。2
技術解説
公表された侵入の経緯 事実
2025年9月16日16時17分、委託事業者パソナの従業員が業務目的外でパソコンを利用中に詐欺サイトへ接続された。その後、詐欺目的の偽サイトである可能性が高いリモートアクセスサービスによるサポート接続が開始された。16時30分頃に外部からパソコンにアクセスされたとされる。16時40分にパソコンがロックされ、従業員は画面に表示された番号へ電話し、電話の指示に従って画面入力やアイコンのクリックを行った。16時41分に上司へ報告し、上司の指示でパソコンを社内Wi-Fiから切断し切電した。その後、情報セキュリティ統括室が被害状況を調査した。
漏えいのおそれがある情報と確度 事実
漏えいの可能性があるのは、事業にエントリーした800名分の氏名、生年月日、住所、電話番号、メールアドレス、出身国、在留資格、日本語能力のレベル、合格した特定技能試験の分野、紹介先企業である。9月18日17時頃の調査では、データファイル等の外部送信は確認できなかった。一方で、外部第三者によるファイル表示画面の閲覧等による個人情報の漏えいの可能性は否定できないとされた。800名は漏えいの可能性がある対象者の人数であり、漏えいが確定した件数として示されたものではない。現時点で二次被害は確認されていないとされている。
公表と当局・関係者への対応 事実
委託事業者から東京都担当者へは9月18日18時45分に報告があり、東京都産業労働局は9月19日に本件を発表した。同日、個人情報保護法施行規則第43条3号及び4号に該当するとして、同法第68条第1項により個人情報保護委員会へ速報として報告した。9月19日からは漏えいの可能性がある800名にメール及び電話で経緯説明と謝罪を行い、被害の有無等を確認している。都は委託事業者に厳重注意を行い、社員教育の徹底や事故発生時の迅速な対応などについて指導し、再発防止を図るとしている。
雇止めに関する報道 事実
ABEMA TIMESは、東京都がパソナに委託した事業で複数の労働者が3月31日で雇止めとなったと報じた。雇止めのきっかけは、別の部署で起きた詐欺サイトへの接続だったと報じられている。記事の見出しは、関係のない不正アクセス事案により100人以上が雇止めになったと伝えている。この人数は報道の見出しにある数字であり、東京都やパソナが示した確定値としては、渡された情報の中に見当たらない。本件と雇止めの関係についての当事者側の説明も、同じく含まれていない。
委託先端末を起点とする構図の読み方 解釈
本件は、委託先の従業員一人の端末が起点となり、発注元である都の事業の参加者情報に影響が及ぶおそれが生じた構図と読める。画面のロックや電話番号の表示で利用者に操作を促す手口は、本人が自ら操作することで外部接続を許してしまいやすい点に特徴があると考えられる。ただし、発表には端末内に参加者データがどのような形で保存されていたか、閲覧にどの権限が使われたかは示されていない。上司への報告から切断までが1分で行われた点は、初動の速さとして評価できる可能性がある。一方、公表内容だけで対策全体の十分性を判断することはできない。
対応
- 封じ込め
- 従業員の上司の指示により、パソコンを社内Wi-Fiから切断し切電した。その後、情報セキュリティ統括室が被害状況を調査した。
- 公表の仕方
- 2025年9月19日に東京都産業労働局が発表。漏えいの可能性がある800名にはメール及び電話で経緯説明と謝罪を行い、被害の有無等を確認している。都は委託事業者に厳重注意を行い、社員教育の徹底や事故発生時の迅速な対応などについて指導し、再発防止を図るとした。
- 当局対応
- 個人情報保護委員会（個人情報保護法施行規則第43条3号及び4号に該当、同法第68条第1項により2025年9月19日に速報報告）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 業務目的外の利用中の接続でも、業務端末であれば個人情報の漏えいリスクに直結する。 | 業務端末にWebフィルタ（カテゴリ制限・悪性サイトのブロック）をEDRやプロキシで適用し、私的閲覧が可能な場合も個人情報を扱う端末とは分離する。 |
| 遠隔操作ツールを使ったサポート詐欺では、利用者が電話の指示に従って操作してしまう。 | 許可していないリモートアクセスツールの実行をアプリケーション制御（許可リスト）で禁止し、導入・起動を検知したらアラートを上げる。 |
| 本件では上司への報告後すぐにネットワークから切断されており、迅速な報告が初動を支えた。 | 「画面ロック・不審な電話番号表示・遠隔操作の兆候があれば直ちに報告し、LANを抜く」という手順を1枚にまとめ、年1回以上の訓練で報告経路を確認する。 |
| 端末上のファイルが画面越しに閲覧されたかどうかは、外部送信の有無だけでは判断しにくい。 | 端末のリモート接続ログ、EDRのプロセス・画面共有記録を保全し、データ流出の有無とは別に閲覧の可能性を評価する手順を調査フローに入れる。 |
| 委託事業では、発注元は委託先の端末環境まで把握しにくい。 | 委託契約で、個人情報を扱う端末の保管場所・権限・インシデント報告時限を定め、発注元が定期的に実態を確認できる監査条項を設ける。 |
自組織などでの確認項目
- 自組織の業務端末で、許可していないリモートアクセスツールの導入や実行を検知・ブロックできるか。
- 従業員が詐欺サイトの表示や画面ロックに遭遇したとき、誰にどの手段で報告し、何分以内に切断するかを全員が答えられるか。
- 委託先や自組織の端末に、参加者・顧客の個人情報ファイルが常時置かれていないか。必要最小限の保管と権限になっているか。
未解明点
- 端末内に保存されていた参加者データの範囲と、外部第三者が実際にどのファイルを閲覧したかは、渡された情報では示されていない。
- 雇止めの人数・経緯と本件の関係について、東京都やパソナからの公式な説明は、渡された情報には含まれていない。
- 再発防止策の具体的な内容や、調査の最終結果の公表予定は示されていない。
出典
- 1ScanNetSecurity2025-10-02報道本文確認済
- 2ABEMA TIMES2026-04-23報道本文確認済
- 3株式会社パソナ2025-09-22公式未確認
- 4東京都産業労働局2025-09-19公式本文確認済
- 5東京都産業労働局2025-09-19公式本文確認済