西友が利用するBlue Yonder社のSaaS「Work Force Management」への不正アクセス（在職者・退職者30,508名〈暫定〉の従業員情報漏えい）
公表日
西友がシフト作成に使っていた外部のクラウドサービスが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受け、在職者・退職者30,508人（暫定値）の従業員情報が漏えいしました。公表は不正アクセスから約1年後でした。
対象者は？
西友の在職者・退職者30,508人（2025年10月28日時点の暫定値）です。全員分の入社日・権限・雇用区分などと、そのうち26,353人分の従業員ID・漢字の氏名・生年月日が含まれます。お客様の情報、住所・電話番号などの連絡先、マイナンバー、銀行口座の情報は含まれていないとされています。
対象範囲は親会社トライアルホールディングスのお知らせで公表されています。本人への通知方法や問い合わせ窓口は、確認できた資料には書かれていません。
いますぐできること
- 西友やトライアルを名乗るメール・電話で、個人情報や支払いを求められても応じない。気になるときは公式サイトに載っている窓口に自分から問い合わせる
- 氏名と生年月日を使った「本人確認」をうたう不審な連絡に注意する
何が起きたのか
西友は、従業員のシフトを作るために、Blue Yonder社のクラウドサービス「Work Force Management」を使っていました。2024年10月15日から24日にかけて、このサービスの側に外部から不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。があり、そこに保管されていた西友の従業員情報の一部が漏えいしました。親会社のトライアルホールディングスがこれを公表したのは、約1年後の2025年10月30日です。同じサービスをめぐっては、スターバックス コーヒー ジャパンも2025年9〜10月に従業員情報の漏えいを公表しています。
なぜ起きたのか・なぜ広がったのか
侵入されたのは西友自身のシステムではなく、サービスを提供するBlue Yonder社の環境でした。Blue Yonder社がどのように侵入されたかは、まだ公表されていません。同社は2024年11月に別途ランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。の被害を公表しており、犯行グループが犯行を主張しましたが、今回の不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。との関係は公表されていません。1つのサービスを多くの会社が使っていたため、複数の会社に影響が及びました。
いまの状況2025-10-30 時点続報待ち
対象者数は暫定値で、確定した人数はまだ発表されていません。侵入の手口、Blue Yonder社から西友に連絡があった日、個人情報保護委員会への報告一定の個人情報の漏えいが起きた場合、企業は国の機関である個人情報保護委員会への報告と、本人への通知が法律で義務づけられています（2022年4月から）。漏えいの通知が届くのはこのためです。の状況も発表されていません。
企業として考えたいこと
自社の従業員や顧客の情報を、どの外部サービスに預けているでしょうか。預け先で事故が起きたときに、すぐ連絡を受けられる取り決めになっているかを確認しましょう。
技術的な要約
トライアルホールディングスは2025年10月30日、子会社の西友がシフト作成に利用するBlue Yonder社のSaaS『Work Force Management（WFM）』に2024年10月15日〜24日に外部から不正アクセスがあり、Blue Yonder側システムに保管されていた西友の従業員情報の一部が漏えいしたと公表した。対象は在職者・退職者を含む30,508名（2025年10月28日時点の暫定値）で、全員分の入社日・業務開始日、権限、雇用区分、勤怠関連のコード値と、26,353名分の従業員ID・漢字氏名・生年月日が含まれ、顧客情報・住所・連絡先・マイナンバー・口座情報は含まれないとされる。公表は不正アクセスから約1年後で、同じWFMをめぐってはスターバックス コーヒー ジャパンも2025年9〜10月に従業員情報の漏えいを公表している。Blue Yonderは2024年11月21日に自社のマネージドサービス環境でランサムウェア被害を公表し、12月6日にはTermiteを名乗るグループが犯行を主張したが、本件の不正アクセスとの関係は公表されていない。トライアルの公式発表ページは本調査でも開けず、上記の数値・項目は同発表を引用した報道で確認した。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 委託先経由公表で確認トライアルの公表（報道経由で確認）では、西友が利用するBlue Yonder社のSaaS『Work Force Management（シフト作成ツール）』に2024年10月15日〜24日に外部から不正アクセスがあり、Blue Yonder側システムに保管されていた西友従業員情報の一部が漏えいした。西友自身の環境ではなくSaaS提供元の環境が侵害された（確定）。同じWFMをめぐるスターバックス コーヒー ジャパンの公表では、漏えい元はBlue Yonderの『データ転送システム』とされる（報道で確認）。Blue Yonder側への侵入手口（脆弱性、認証情報等）は、Blue Yonderの公式更新ページ・確認した報道のいずれにも記載がない。
- 脆弱性
- CVE 非公表不明Blue Yonder Work Force Management（SaaS）またはBlue Yonderのホスティング環境脆弱性悪用の有無・製品・CVEは、Blue Yonderの公式更新ページ（2024-11-21〜12-12）と確認した報道のいずれにも記載がない。スターバックス側の公表では漏えい元をBlue Yonderの『データ転送システム』としているが、製品名は不明。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 西友の店舗運営やシフト作成業務への影響は確認した資料に記載なし。なおBlue Yonderは2024年11月21日以降、マネージドサービスのホスティング環境でランサムウェアによる障害が発生し、12月1日に一部顧客が復旧、12月12日に影響顧客の『大多数』が復旧したと公表している（米Starbucksで給与計算を手作業に切り替え、英Morrisons・Sainsbury'sで倉庫管理等に影響と報道）。この障害が西友に及んだかは不明。
- データ
- 確定上限 30,508確定 30,508人会員ID氏名生年月日従業員情報30,508名は在職者・退職者を含み、2025年10月28日時点の暫定値（トライアル公表、セキュリティ対策Lab経由で確認）。項目は、26,353名分が従業員ID・漢字氏名・生年月日、30,508名分が入社日・業務開始日・権限・雇用区分・勤怠関連のコード値（コード値は外部から内容を判別できないとされる）。従業員IDは data_types 上『会員ID』に寄せた。一般顧客情報、住所・電話番号・メールアドレス、マイナンバー、銀行口座等の金融情報は含まれないとされる。公表は『漏えい』と表現しており、おそれではなく確定として扱う。
- 波及先
- —
- 西友の在職者・退職者（30,508名、暫定）
- 金銭影響
- —
- サプライチェーン
- SaaS提供者Blue Yonder（パナソニック コネクトの米国100%子会社、サプライチェーン/労務管理ソフトウェア）の環境が侵害され、利用企業である西友の従業員データが漏えいした。同じWFMをめぐり、スターバックス コーヒー ジャパンも2025年9月19日に従業員・退職者約31,500名（暫定）、10月3日の続報で従業員ID約40,700名分の追加漏えいを公表しており、国内で少なくとも2社への波及が公表されている。西友は2025年7月にトライアルホールディングスの傘下に入っており、不正アクセス期間（2024年10月）は傘下入り前、公表は傘下入り後で、公表まで約1年を要した（トライアル傘下入りの時期は既存記載で、本調査では再確認していない）。
時系列
- 2024-10-15Blue Yonder社のWFM（シフト作成ツール）への不正アクセス期間の始期（トライアル公表値）3
- 2024-10-24不正アクセス期間の終期（トライアル公表値）3
- 2024-11-21
- 2024-11-22 17:00Blue Yonderが外部セキュリティ企業と対応中、Azureパブリッククラウド環境に不審な活動は見られないと更新。復旧時期は未定4
- 2024-12-01Blue Yonderが影響を受けた顧客の一部が復旧したと更新4
- 2024-12-06
- 2024-12-12Blue Yonderが影響顧客の大多数のサービスが復旧、法執行機関と情報共有を継続と更新4
- 2025-09-19
- 2025-10-03
- 2025-10-28西友の対象者数30,508名（暫定）の集計時点3
- 2025-10-30
- 2025-11-17ScanNetSecurityが『Blue Yonder社のシフト作成ツールへの不正アクセスで西友従業員の個人情報が漏えい』と報道（11/24更新）2
技術解説
公表された事実：利用企業が自社で制御できないSaaS側の侵害 事実
トライアルホールディングスの2025年10月30日の発表（セキュリティ対策Lab・ScanNetSecurity経由で確認）によれば、西友が利用するBlue Yonder社のSaaS『Work Force Management（シフト作成ツール）』に2024年10月15日〜24日に外部から不正アクセスがあり、Blue Yonder側システムに保管されていた西友の従業員情報の一部が漏えいした。対象は在職者・退職者を含む30,508名（10月28日時点・暫定）で、26,353名分の従業員ID・漢字氏名・生年月日と、全員分の入社日・業務開始日・権限・雇用区分・勤怠コード値。顧客情報、住所・連絡先、マイナンバー、口座情報は含まれない。侵害されたのは西友の社内システムではなく提供元の環境である。Blue Yonder側の侵入手口、検知日、西友への通知日は確認した資料に記載がない。トライアルの公式ページは本調査でも開けなかった。
Blue Yonder側で公表・報道されている事実 事実
Blue Yonderの公式更新ページによれば、2024年11月21日にマネージドサービスのホスティング環境で障害が発生し、ランサムウェア被害と判明した。11月22日には外部セキュリティ企業と対応中でAzureパブリッククラウド環境に不審な活動はないとし、12月1日に一部顧客が復旧、12月6日に『第三者が当社システムから一定の情報を取得したと主張していることを認識している』と更新、12月12日に影響顧客の大多数が復旧し法執行機関と情報共有を続けていると更新した。同じ12月6日、Termiteを名乗るグループがリークサイトで犯行を主張し、680GBのデータ窃取を掲げた（BleepingComputer、TechCrunch）。Blue Yonderは主張を否定しておらず、窃取の範囲・種類は公表していない。国内ではスターバックス コーヒー ジャパンが同じWFMで約31,500名、続報で約40,700名分の従業員IDの漏えいを公表しており、漏えい元はBlue Yonderの『データ転送システム』とされる。
2024年11月のランサムウェア被害との関係（解釈） 解釈
西友の不正アクセス期間（2024年10月15日〜24日）は、Blue Yonderが公表したランサムウェア被害（11月21日）の約1か月前にあたる。(a) 暗号化に先立つ侵入・データ窃取段階が本件である、(b) 別の先行侵害である、のいずれの可能性もあり、西友・Blue Yonderとも関係を説明していない。二重恐喝型ランサムウェアでは窃取が暗号化に数週間先行することが多く、Termiteがデータ窃取を主張した点も(a)と整合するが、同一事案であるとの公式説明はなく断定できない。また Blue Yonder の更新ページは障害（可用性）の復旧状況が中心で、顧客データの窃取範囲には触れていない。利用企業側から見ると、提供元の『障害の復旧』の公表と『自社データの漏えい』の確定の間に、西友で約11か月、スターバックス ジャパンで約10か月の差があったことになる。
不正アクセスから公表まで約1年：SaaS利用企業側の通知依存（解釈） 解釈
不正アクセス期間（2024年10月）から公表（2025年10月30日）まで約1年が経過している。SaaS提供元の環境で起きた侵害は、利用企業がログを直接見ることができず、提供元のフォレンジック調査と顧客別の影響データ特定を待つしかない。窃取されたデータの中から特定顧客の従業員データを突き合わせる作業には時間がかかることが多い。スターバックス ジャパンが2025年9月に初報、10月に追加分を公表し、西友がその後の10月30日に公表した順序からは、Blue Yonderが顧客ごとの影響特定を順次進めていた可能性がうかがえる（推測）。また西友は侵害時と公表時で親会社・管理体制が異なる。公表が遅れた理由とBlue Yonderからの通知時期は確認した資料に記載がなく、利用企業側でコントロールできた部分は評価できない。
対応
- 封じ込め
- 西友側の封じ込め措置（WFMの利用継続可否、認証情報の変更等）は確認した資料に記載なし。侵害はBlue Yonder側の環境で発生。Blue Yonderは2024年11月のランサムウェア被害について外部セキュリティ企業と防御・フォレンジック対応を行い、法執行機関と情報共有しているとした。
- 公表の仕方
- 2025年10月30日にトライアルホールディングスが公表（件数は2025年10月28日時点の暫定値30,508名）。公式ページは本調査でも開けず、対象従業員への通知方法・問い合わせ窓口・当局報告の状況は未確認。Blue Yonderは自社の顧客向け更新ページで2024年11〜12月に障害・復旧状況を公表したが、データ窃取の範囲や個別顧客への影響は示していない。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| シフト管理・勤怠などの労務SaaSには全従業員の個人情報が集約され、提供元が侵害されると利用企業は手を出せない | SaaS選定・更新時にSOC 2 Type II報告書、侵害時の通知期限（例: 認知後72時間以内）、顧客別影響特定の義務、監査ログの顧客提供可否を契約に明記する。年1回、主要SaaSの侵害を想定した机上演習を行う |
| SaaSに渡す従業員データが業務上必要な範囲を超えている可能性がある | シフト作成に必要な項目（従業員ID、スキル、勤務可能時間）に絞り、住所・生年月日・連絡先等はSaaSに連携しない。HRマスタからの連携をフィールド単位のホワイトリストで制御し、退職者データは一定期間後にSaaS側から削除されることを確認する |
| 提供元の公表済みインシデント（2024年11月のランサムウェア）を、自社データの漏えい確認に結び付けるまでに長い時間がかかった | 利用中のSaaS提供元名で脆弱性・侵害情報を監視（ベンダーのステータスページ、Trust Center、報道、リークサイト監視サービス）し、提供元のインシデントを認知した時点で自社データの影響有無を書面で照会する手順を定める |
| M&Aでシステム管理体制が変わる時期に、過去の侵害の通知と対応責任が曖昧になりうる | 買収・統合のデューデリジェンスで、対象会社の利用SaaS一覧と過去2年分のベンダー侵害通知・未解決インシデントを確認し、統合後の通知窓口を提供元に登録し直す |
自組織などでの確認項目
- あなたの会社の勤怠・シフト・給与・人事SaaSに、従業員のどの項目が連携されているか。シフト作成に本当に必要な項目はどれか。
- 主要SaaS提供元がランサムウェア被害を公表したとき、自社データが影響を受けたかを誰が・どの経路で・何日以内に確認するか決まっているか。
- SaaS契約に、侵害時の通知期限と顧客別影響の特定義務は書かれているか。書かれていない場合、次の更新で何を要求するか。
未解明点
- 2024年10月15日〜24日の不正アクセスと、Blue Yonderが2024年11月21日に受けたランサムウェア攻撃（12月6日にTermiteが犯行を主張）が同一の侵害か否か
- Blue Yonderへの侵入手口（脆弱性・認証情報等）、『データ転送システム』の実体、Blue Yonderから西友への通知日
- 暫定値30,508名の確定値と、項目ごとの最終的な対象者数
- 個人情報保護委員会への報告状況、西友・スターバックス以外の日本国内のBlue Yonder利用企業への影響
出典
- 1株式会社トライアルホールディングス2025-10-30公式未確認
- 2ScanNetSecurity2025-11-17報道本文確認済
- 3セキュリティ対策Lab（Rocket Boys）2025-10-31報道本文確認済
- 4Blue Yonder2024-12-12公式本文確認済
- 5BleepingComputer2024-12-06報道本文確認済
- 6TechCrunch2024-12-09報道本文確認済
- 7ScanNetSecurity2025-10-01報道本文確認済
- 8ScanNetSecurity2025-10-15報道本文確認済
- 9セキュリティ対策Lab（Rocket Boys）2025-09-22報道本文確認済
- 10スターバックス コーヒー ジャパン2025-10-03公式未確認