パーソル総合研究所の委託先利用ツール（Jijilla）への不正アクセス（アンケートデータ51件流出のおそれ）
公表日
パーソル総合研究所がデータ入力を任せていた委託先で不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。があり、研修満足度アンケートのデータ最大51件（流出が確認された件数は未公表）が流出したおそれがあると公表しました。
対象者は？
研修終了時の満足度アンケートに回答した方のデータ最大51件が対象のおそれがあります。含まれる可能性があるのは氏名、受講満足度、研修内容への意見です。マイナンバーカード情報、クレジットカード情報、生年月日、住所、電話番号、パスワードなどは含まれないと説明されています。
公式発表では、対象となる取引先へ一次報告を済ませたと説明されています。個人への通知方法はまだ発表されていないため、公式発表をご確認ください。
いますぐできること
- 公式発表を読み、対象となる情報の範囲を確認する。
- 研修を受けた覚えがある場合は、研修を依頼した所属先からの案内がないか確認する。
何が起きたのか
2025年9月25日、パーソル総合研究所の委託先である日本アスペクトコア社がデータ入力に使っていた入力補助ツール「Jijilla」に、身代金を要求する不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。がありました。パーソル総合研究所は10月10日に報告を受け、10月15日に、個人情報を含むデータが流出した可能性を示す痕跡を確認しました。取引先への個別の連絡を優先したうえで、11月14日に公表しました。
なぜ起きたのか・なぜ広がったのか
委託先が使っていた外部ツールが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受けたことが発端です。侵入の方法や原因の詳しい内容は、まだ発表されていません。報道によると、同じツールの不正アクセスについて、ほかの金融機関や大学も情報流出の可能性を発表しています。
いまの状況2025-12-08 時点続報待ち
2025年11月14日の公表時点で、不正利用などの二次被害は確認されていないと同社は説明しています。対象の取引先には一次報告を済ませており、再発防止策の徹底と情報管理体制の強化に取り組むとしています。補償についてはまだ発表されていません。
企業として考えたいこと
自社の仕事を任せている委託先は、どんな外部ツールを使っているでしょうか。そこで事故が起きたとき、自社にいつ連絡が来るのかを説明できますか。
技術的な要約
パーソル総合研究所は2025年11月14日、取引先から受注した業務のデータ入力を委託していた日本アスペクトコア社（NAC）で、不正アクセスによるデータ流出が確認されたと公表した。発端はNACが使用していたローレルバンクマシン社（LBM）の入力補助ツール「Jijilla」への、9月25日の身代金要求を伴う不正アクセスである。同社は10月10日に報告を受け、10月15日に個人情報を含むデータが流出した可能性を示す痕跡を確認した。流出のおそれがあるのは研修終了時の満足度アンケートを電子化したデータ51件で、氏名、受講満足度、研修内容への意見が含まれる。マイナンバーカード情報やクレジットカード情報などは含まれず、二次被害は確認されていない。対象取引先には一次報告済みで、同社は再発防止と情報管理体制の強化に取り組むとしている。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 委託先経由公表で確認公式発表によると、委託先NACがデータ入力で使用していたLBM提供の入力補助ツール「Jijilla」において、9月25日に身代金要求を伴う不正アクセスの被害があった。侵入経路の詳細は公表されていない。
- 脆弱性
- CVE 非公表不明Jijilla（ローレルバンクマシン社提供の入力補助ツール）脆弱性の有無やCVEは参照した出典に記載がない。ツールへの不正アクセスと身代金要求があったとのみ公表されている。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし パーソル総合研究所の業務停止は公表されていない。報道では委託先でのデータ入力業務に影響が及んだとされる。
- データ
- おそれ上限 51確定 —件氏名その他流出のおそれがあるのは研修終了時の満足度アンケートを電子化したデータ51件。項目はアンケート用紙記載の氏名、受講満足度、研修内容への意見。マイナンバーカード情報、クレジットカード情報、生年月日、住所、電話番号、パスワードなどは含まれない。流出確定件数は公表されていない。
- 波及先
- —
- 第一フロンティア生命
- みずほ証券
- 丸三証券
- 東洋証券
- 広島銀行
- 慶應義塾大・通信教育部
- 金銭影響
- —
- サプライチェーン
- 発注元のパーソル総合研究所、データ入力を受託した日本アスペクトコア、同社が利用したローレルバンクマシンのJijillaの三層構造で発生。同じJijillaの不正アクセスについて、第一フロンティア生命、みずほ証券、丸三証券、東洋証券、広島銀行、慶應義塾大・通信教育部も情報流出の可能性を発表したと報じられている。
時系列
技術解説
攻撃の構造：委託先が使う外部ツールが起点 事実
パーソル総合研究所は2025年11月14日、取引先から受注した業務のデータ入力を委託していた日本アスペクトコア社（NAC）で、不正アクセスによるデータ流出が確認されたと公表した。NACがデータ入力で使用していたローレルバンクマシン社（LBM）提供の入力補助ツール「Jijilla」において、9月25日に身代金要求を伴う不正アクセスの被害があったとされる。報道は、発注元のパーソル総合研究所、受託したNAC、NACが利用した外部製品Jijillaの三層構造で発生し、委託先でのデータ入力業務に影響が及んだと伝えている。侵入経路や脆弱性の詳細は、参照した出典には記載がない。
発生から公表までの経過 事実
公式発表によると、パーソル総合研究所は10月10日に不正アクセスの報告を受け、関係各社と連携して状況把握と詳細調査を実施した。10月15日には、個人情報を含むデータが流出した可能性を示す痕跡を確認した。その後、対象データの特定と影響範囲の精査を段階的に進め、被害の可能性があるお取引先への個別連絡・説明を優先したうえで事実関係を確定したと説明している。対象となるお取引先には一次的な報告を実施済みで、2025年11月14日に公式サイトで公表した。再発防止策の徹底と情報管理体制の強化に取り組むとしている。
影響範囲：流出のおそれは51件、機微情報は含まれないと説明 事実
流出の可能性があるのは、研修終了時に回答された満足度アンケートを電子化したデータ51件である。これは流出のおそれがある件数であり、流出が確定した件数は公表されていない。含まれる項目は、アンケート用紙に記入された氏名、受講満足度、研修内容についての意見とされる。マイナンバーカード情報、クレジットカード情報、生年月日、住所、電話番号、パスワードなどは含まれないと説明されている。同社は2025年11月14日時点で、不正利用などの二次被害は確認されておらず、発生の可能性も極めて低いと考えている。報道によれば、同じJijillaの不正アクセスについて、第一フロンティア生命、みずほ証券、丸三証券、東洋証券、広島銀行、慶應義塾大・通信教育部も情報流出の可能性を発表している。
解釈：多層の委託関係では状況把握に時間がかかりうる 解釈
この節は出典にある事実からの解釈であり、断定ではない。被害の起点はパーソル総合研究所の自社環境ではなく、委託先が使う外部ツールだった。9月25日の被害から同社が報告を受けた10月10日までは約2週間あり、委託の層が増えるほど、発注元が被害を把握するまでに時間を要しうる構造がうかがえる。一方で、同社は取引先への個別連絡を優先したうえで公表したと説明しており、関係者への通知を先に行う進め方を取ったことが読み取れる。また複数の組織が同じツールを理由に公表している点から、共通の外部ツールが複数組織に波及した事例とも整理できる。侵入経路が未公表のため、原因面の評価は現時点では難しい。
対応
- 封じ込め
- 関係各社と連携して状況把握・詳細調査を実施し、対象データの特定と影響範囲の精査を段階的に進めた。被害の可能性がある取引先への個別連絡・説明を優先し、一次報告を完了している。具体的な遮断措置は公表されていない。
- 公表の仕方
- 2025年11月14日に公式サイトで公表。10月10日の報告受領から約1か月後で、取引先への個別連絡を優先したうえで事実関係を確定して公表したと説明している。再発防止策の徹底と情報管理体制の強化に取り組むとしている。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 委託先が使う外部ツールも、自社データが流れる経路に含まれる。 | 委託先ごとに、自社データを扱うSaaS・ツール・再委託先を一覧化する。契約や監査項目に、利用ツールの事前届出と変更時の通知を入れる。 |
| 被害発生から発注元への報告までに時間差が生じうる。 | 委託契約にインシデント発生時の報告期限（例：検知後24〜72時間以内）と連絡窓口を明記し、年1回は連絡訓練を行う。 |
| アンケートなど軽微に見えるデータにも個人情報が含まれる。 | 委託データを項目単位で棚卸しし、氏名を含むものは分類を上げる。委託先に渡す際は氏名の仮名化や不要項目の削除を標準手順にする。 |
| 流出の疑いが出た時点で、影響範囲の確定を待たずに関係者へ一次連絡する体制が有効。 | 一次報告と確定報告を分けた通知テンプレートを用意し、影響を受けうる取引先リストを平時から台帳で管理する。 |
| 同じ外部ツールの被害は複数組織に同時に及ぶ。 | 利用中のSaaS・ツールの障害・侵害情報を購読し、他組織の公表をきっかけに自社と委託先の利用有無を確認する手順を定める。 |
自組織などでの確認項目
- 自組織の委託先が業務で使っている外部ツールやサービスを、委託先から書面で把握できているか。再委託先まで含めて確認できるか。
- 委託先でインシデントが起きたとき、自組織に何時間以内に連絡が来る契約になっているか。実際に連絡を受ける窓口は決まっているか。
- 委託先に渡しているデータのうち、氏名など個人情報を含むものは何か。アンケートや研修記録のような付随的なデータも一覧に入っているか。
未解明点
- Jijillaへの不正アクセスの侵入経路や脆弱性の有無は、参照した出典では公表されていない。
- 流出が実際に確認された件数は公表されておらず、51件は「おそれ」の件数である。
- ローレルバンクマシン社や日本アスペクトコア社が行った封じ込め措置や再発防止策の内容は、参照した出典に記載がない。
出典
- 1パーソル総合研究所2025-11-14公式本文確認済
- 2セキュリティ対策Lab（合同会社ロケットボーイズ）2025-11-17報道本文確認済
- 3ScanNetSecurity2025-12-08報道本文確認済