ベネフィット・ワン「ベネワン・プラットフォーム」のダウンロード機能の条件設定不備（2,322企業・団体の従業員13,460名分が他社担当者に表示）
公表日
福利厚生サービスのベネフィット・ワンで、企業の担当者向けシステムの不具合により、2,322の企業・団体の従業員13,460人分の情報が、別の会社の担当者1人に表示されました。
対象者は？
ベネフィット・ワンの福利厚生サービスを使っている企業・団体のうち、2,322の企業・団体の従業員13,460人です。表示された情報は、社員・職員番号、氏名、性別、生年月日、企業・団体名、所属・役職、入退社の情報です。クレジットカード、銀行口座、メールアドレス、パスワード、要配慮個人情報は含まれていません。
対象となった企業・団体の名前は公表されていません。会社は個人向けの窓口（0120-608-375）と、企業・団体の担当者向けの窓口（0120-358-621）を設けています。
いますぐできること
- 勤務先がベネフィット・ワンの福利厚生サービスを使っているかを、総務や人事の担当に確認する
- 自分が対象か気になるときは、公式のお知らせにある個人向けの窓口に問い合わせる
何が起きたのか
ベネフィット・ワンは、企業や団体の担当者が使う管理システム「ベネワン・プラットフォーム」を提供しています。2025年6月にこのシステムを改修したとき、アンケート結果をダウンロードする機能に不具合が生じました。そのため、ダウンロードしたファイルに、本来見られないはずの他の企業・団体の従業員の情報の一部が含まれる状態になっていました。2026年7月30日、ある利用企業の担当者1人からの連絡で分かり、9月30日に公表されました。
なぜ起きたのか・なぜ広がったのか
原因は、改修のときにダウンロード機能のプログラムの条件の設定に不備があったことです。会社は2025年10月の社内調査でこの不具合を把握していましたが、その後の解消の作業が適切に行われず、不具合が残っていました。このシステムは多くの企業・団体が共通で使っているため、一つの不具合が2,322の企業・団体に関わりました。どの条件が欠けていたかなどの詳しい内容は公表されていません。
いまの状況2026-09-30 時点続報待ち
改修のあとにこの機能でダウンロードしたのは、連絡をくれた1社の1人だけだったと確認したとしています。そのデータは削除済みで、ほかへの転送や複製もなく、外部への広がりや悪用などの二次被害も確認されていません。個人情報保護委員会へは報告済みです。不具合を直した日と具体的な再発防止策はまだ発表されておらず、外部の専門家の評価・助言を受けて決めるとしています。
企業として考えたいこと
社内で見つかった不具合が、本当に直ったところまで誰が確認しているでしょうか。「把握した」で止まっている課題がないか、修正の完了まで追いかける仕組みを確認しましょう。
技術的な要約
福利厚生サービス大手のベネフィット・ワンが企業・団体の担当者向けに提供する「ベネワン・プラットフォーム」で、アンケート結果をダウンロードすると、本来閲覧できない他の企業・団体の従業員情報の一部がファイルに含まれる状態になっていた。原因は2025年6月のシステム改修で生じたダウンロード機能のプログラムの条件設定の不備で、同社は2025年10月の社内調査で不具合を把握していたが、その後の解消作業が適切に実施されていなかった。2026年7月30日に利用企業1社の担当者1名からの連絡で判明し、9月30日に公表した。対象は2,322企業・団体の13,460名分（社員・職員番号、氏名、性別、生年月日、企業・団体名、所属・役職、入退社情報）で、改修以降に当該機能でダウンロードしたのはこの1社1名のみ、データは削除済みで第三者提供・二次被害は確認されていないとしている。個人情報保護委員会へ報告済みで、外部専門家の評価・助言を受けて再発防止策を講じるとしている。
公開情報が限られている点について
攻撃の分類
- 侵入口
- Webアプリ脆弱性公表で確認外部からの攻撃ではなく、自社Webアプリ（ベネワン・プラットフォーム）の不具合。公式発表は原因を『2025年6月のシステム改修により生じた、ダウンロード機能のプログラムにおける条件設定の不備』とし、アンケート結果をダウンロードした際に本来閲覧できない他の企業・団体の従業員の個人情報の一部が表示される状態だったと説明している。どの条件（テナント識別子による絞り込み、アンケートIDとの結合条件など）が欠けていたのか、画面表示にも影響したのか、出力形式（CSV/Excel等）は非公表。2025年10月の社内調査で不具合を把握したが、その後の解消作業が『適切に実施されていなかった』と同社が認めている。
- 脆弱性
- CVE 非公表公表で確認ベネワン・プラットフォーム（自社開発）のアンケート結果ダウンロード機能2025年6月のシステム改修で混入したプログラムの条件設定不備（マルチテナント環境で他テナントのデータが出力に混入するアクセス制御・データ分離の欠陥）。2025年10月に社内で把握したが是正が完了しないまま、2026年7月30日の外部指摘まで残存した。修正完了日は公表文に明記されていない。
- 攻撃者
- 特定・主張なし
- ATT&CK
- —
影響
- 業務停止
- なし サービス停止は公表されていない。当該ダウンロード機能の停止・修正の時期も公表文には記載がない。
- データ
- 確定上限 13,460確定 13,460人従業員情報氏名性別生年月日その他（社員・職員番号、企業・団体名、所属・役職、入退社情報）公表値は2,322企業・団体の13,460名。項目は社員・職員番号、氏名、性別、生年月日、企業・団体名、所属・役職、入退社情報。クレジットカード情報、銀行口座情報、要配慮個人情報、メールアドレス、パスワードは含まれない。公式は『個人情報漏えい』と表現しており、2025年6月の改修以降に当該機能でダウンロードしたのは連絡してきた1社1名のみと確認したとしているため、13,460名分はこの1名に表示された（漏えいが確定した）件数と整理した（受領者が1名である点は公式記載、13,460名がその1回のダウンロードに含まれた全量であることは公表文の構成からの整理）。当該担当者に依頼したデータ削除は完了確認済み、第三者への転送・複製等の提供はなく、9/30時点で外部拡散・不正利用などの二次被害は確認されていない。1社あたり平均約5.8名（13,460÷2,322、編集部計算）で、他社の全従業員が出力されたわけではなく一部が混入したことを示唆する。
- 波及先
- 2322 企業・団体（従業員情報が他社担当者に表示された利用組織）
- 金銭影響
- —
- サプライチェーン
- ベネフィット・ワンは多数の企業・団体に福利厚生サービスを提供し、その担当者向け管理基盤としてベネワン・プラットフォームを運営している（マルチテナント型の業務委託・SaaS構造）。基盤側の不具合により、委託元である2,322企業・団体の従業員情報が、別の利用企業の担当者に表示された。各利用企業から見れば、自社が預けた従業員データが委託先基盤の欠陥で他社に渡った『委託先起点』の漏えい。利用企業名は公表されていない。
時系列
技術解説
何が起きたか：マルチテナント基盤のエクスポート経路でのデータ分離の欠落 事実
ベネワン・プラットフォームは、福利厚生サービスを導入した多数の企業・団体の担当者が自社従業員の情報やアンケートを扱う管理基盤で、典型的なマルチテナント構造である。公式発表によれば、2025年6月のシステム改修で『ダウンロード機能のプログラムにおける条件設定の不備』が生じ、アンケート結果をダウンロードした担当者に、他の企業・団体の従業員の個人情報の一部が表示された。対象は2,322企業・団体の13,460名で、項目は社員・職員番号、氏名、性別、生年月日、企業・団体名、所属・役職、入退社情報。外部からの攻撃ではなく、正規の利用者が通常操作をしただけで他テナントのデータを受け取った点が本質であり、どの条件が欠けていたか、画面にも出ていたのか、出力形式は何かといった技術的詳細は公表されていない。
把握から是正までの空白：見つけたが直し切れなかった 事実
本件の最大の特徴は、同社が2025年10月の社内調査で不具合を把握していながら、『その後の解消作業が適切に実施されていなかった』と自ら認めている点である。改修（2025年6月）から把握（同10月）まで約4か月、把握から外部の利用者による指摘（2026年7月30日）まで約9か月、判明から公表（9月30日）まで62日を要した。結果として、発見のきっかけは社内の検証や監視ではなく、他社データの混入に気づいた利用企業担当者からの連絡だった。公表文は、なぜ解消作業が適切に行われなかったのか（修正がリリースされなかったのか、修正が不完全だったのか、チケットが放置されたのか）、2025年10月の把握時点でダウンロードログを確認し影響範囲を調べたのかについては触れていない。
技術的原因の推測：一覧画面とエクスポートで異なるクエリ経路 解釈
以下は公表されていない推測である。SaaSの典型的な失敗パターンとして、画面表示はテナントIDで絞り込むORMのスコープや共通ミドルウェアを通る一方、CSV/Excelのエクスポート処理だけが別に書かれた集計クエリやバッチを通り、そこでテナント条件やアンケートIDとの結合条件が欠落する、というものがある。13,460名÷2,322組織＝平均約5.8名と、各社の全従業員ではなく一部だけが混入していることから、全件ダンプではなく、結合条件の誤り（例：回答者や対象者テーブルとの結合でテナントを跨いだ行が拾われる）のように特定条件で一部の行が混入する性質の不具合だった可能性がある。2025年10月に把握しながら直し切れなかった経緯も、再現条件が限定的でテストで再現できなかった、あるいは修正が一部の出力経路にしか適用されなかった、といった事情と整合するが、いずれも確認されていない。
被害が限定された理由と、発見が遅れた理由は同じ 解釈
公式発表によれば、2025年6月の改修から判明までの約13か月で当該ダウンロード機能を使ったのは連絡してきた1社1名だけだった。利用頻度が極端に低い機能だったため、実際に他社データを受け取った人は1人にとどまり、削除確認によって二次被害の可能性を抑えられた。一方で、同じ理由で利用者からの指摘が長く届かず、社内でも優先度が下がって是正が後回しになった可能性がある（推測）。利用の少ない機能ほど回帰テストや監視の網から漏れやすく、アクセス制御の欠陥が潜伏しやすい。今回は受け手が善意の担当者で、気づいて連絡してくれたことが被害の拡大を防いだ側面が大きく、仕組みとして検知できたわけではない。
公表の評価 解釈
公表文は、対象組織数・人数・項目・含まれない項目を明示し、2025年10月に把握しながら是正できていなかったという自社に不利な事実も開示した点で誠実と言える。また、受領者が1名でダウンロードログから他に取得者がいないことを確認し、削除と第三者提供がないことまで確認した、という影響評価の根拠も示している。一方で、修正の完了日と現在の機能の状態、条件設定不備の技術的内容、解消作業が適切に行われなかった理由、対象2,322組織への個別通知の方法と時期は明記されていない。判明から公表まで62日かかった理由も説明がない。利用企業の側から見ると、自社の従業員が対象に含まれるかを確認する手段が法人向け窓口への問い合わせに限られている点も課題である（公表文の窓口記載からの整理）。
対応
- 封じ込め
- 利用企業担当者1名にダウンロードデータの削除を依頼し、削除完了と第三者への転送・複製等がないことを確認。2025年6月以降の当該機能の利用者が1社1名のみであることをログ等で確認したとしている。不具合の修正完了日・機能停止の有無は公表文に記載なし。今後、原因究明と情報セキュリティ体制・個人情報保護管理体制の強化を進め、外部専門家の評価・助言を受けて再発防止策を講じるとしている。
- 公表の仕方
- 2026年9月30日に『当社システムにおける個人情報漏えいに関するお知らせとお詫び』（PDF）を1本公表。2,322企業・団体・13,460名、項目、含まれない項目、原因（2025年6月改修による条件設定の不備、2025年10月に把握も解消作業が不適切）、二次被害なしを記載。個人向け（0120-608-375）と企業・団体担当者向け（0120-358-621）の窓口を分けて設置。2026-10-10時点で続報は確認できていない。
- 当局対応
- 個人情報保護委員会：報告済み（報告日は非公表）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| マルチテナントのデータ分離をアプリの各クエリの書き方に依存していた | PostgreSQLのRow Level Security（current_setting('app.tenant_id')によるポリシー）やORMのデフォルトスコープなど、テナント条件を個々のクエリではなく基盤層で強制する。エクスポート・バッチ・集計クエリも同じ接続ロールと同じ強制を通す |
| 画面ではなくダウンロードファイルの中身にテナント混入があった | エクスポート処理の最後に、出力行の所属テナントIDが要求者のテナントIDと一致することを検証するガード（不一致が1行でもあれば出力を中止しアラート）を入れる。テナントを2つ以上作ったE2Eテストで、全ダウンロード機能の出力に他テナントの行が含まれないことを回帰テストに組み込む |
| 把握した不具合（2025年10月）が是正されないまま約9か月残存した | 個人情報の越境表示などデータ分離の欠陥は、通常の不具合チケットではなくセキュリティインシデントとして起票し、機能停止の要否判断・修正期限・修正後の本番検証（実データでの再現確認）・クローズ承認者を定める。修正完了を開発者の申告ではなく第三者の検証で閉じる |
| 不具合把握時に影響範囲（実際の取得者）を確定し公表する運用になっていなかった | ダウンロード・エクスポートの監査ログ（要求者、テナント、対象ID、出力行数、出力に含まれたテナントIDの集合）を保存し、欠陥判明時に即座に『誰が他テナントのデータを受け取ったか』を集計できるようにする。把握時点で影響評価を行い、個人情報保護法の報告要否を判断する |
| 利用頻度の低い機能が回帰テスト・監視の網から漏れた | 改修の影響範囲分析で、利用頻度にかかわらず個人情報を出力する全エンドポイントを列挙するチェックリストを持つ。めったに使われない機能は、維持コストとリスクを比べて廃止・無効化も選択肢にする |
自組織などでの確認項目
- あなたのサービスで、画面一覧と CSV/Excel エクスポート、管理者向けバッチ、BIツール連携のそれぞれは、テナント分離を同じ仕組みで強制しているか。どれか1つだけ別実装になっていないか。
- 社内で『他社のデータが見える』不具合を見つけたとき、機能を即時停止する権限は誰にあり、修正の完了を誰がどう検証してチケットを閉じる設計になっているか。
- もし今日、あるダウンロード機能に他テナントのデータが混入していたと判明したら、過去1年分について『誰が、どのテナントのデータを、何行受け取ったか』を何時間で特定できるか。
- 利用者がほとんどいない機能について、維持して監視・テストし続けるか、廃止するかをどの基準で判断しているか。
未解明点
- 条件設定の不備の技術的内容（どの条件が欠けていたか、画面表示にも影響したか、出力形式）
- 2025年10月に把握した後、解消作業が『適切に実施されなかった』具体的な理由（修正未リリース、修正不完全、優先度判断など）と、その時点で影響範囲調査を行ったか
- 不具合の修正完了日と、7/30の判明後に機能を停止したかどうか
- 13,460名分が混入した条件（対象組織・対象者がなぜその範囲になったのか）
- 対象2,322企業・団体への個別通知の方法・時期と、個人情報保護委員会への報告日
- 外部専門家による評価の結果と、具体的な再発防止策（続報の予定）
出典
- 1ベネフィット・ワン2026-09-30公式本文確認済
- 2ITmedia NEWS2026-09-30報道本文確認済
- 3セキュリティ対策Lab（Rocket Boys）2026-10-01報道本文確認済
- 4innovaTopia2026-10-01報道本文確認済
- 5フィッシングJP2026-09-30報道本文確認済
- 6ベンチャー・ソリューション（サイバーセキュリティNEWS）2026-10-02報道本文確認済
- 7ScanNetSecurity2026-10-06報道本文確認済
- 8人生とポートフォリオ2026-10-01報道本文確認済
- 9サイバーセキュリティラボ（GATE02）2026-10-01報道未確認