ジョイフル委託先ザイナスへのサイバー攻撃（従業員・求職者等23,585名の個人情報漏えいのおそれ）
公表日
ジョイフルの委託先ザイナスのサーバが攻撃を受け、ジョイフルの従業員・求職者とその家族ら最大23,585名の個人情報が漏えいしたおそれがあると、2026年3月26日に公表されました。
対象者は？
ジョイフルの従業員（応募した求職者を含む）と、その世帯主・配偶者・扶養家族の一部で、最大23,585名です（漏えいが確認された人数は公表されていません）。項目は人によって異なり、氏名1,191名、住所/郵便番号638名、生年月日80名、給与口座51名、障害の有無や程度92名、既往歴の有無や程度2,397名などです。人数は項目ごとの件数で、同じ人が複数の項目に含まれます。全員の全項目が漏えいした可能性があるわけではありません。
ジョイフルが連絡先を確認できた方へ通知を送り、漏えいした可能性のある情報を知らせています。心当たりがある方は、ジョイフルの個人情報漏えいお問い合わせ窓口（電話0120-133-636、平日10:00～18:00）に連絡できます。
いますぐできること
- ジョイフルから通知が届いている場合は、書かれている漏えいした可能性のある情報の内容を確認する。
- 通知の内容や自分が対象かどうかを知りたいときは、ジョイフルの問い合わせ窓口（0120-133-636、平日10:00～18:00）に電話する。
- 身に覚えのない連絡や請求があれば、すぐに応じず、窓口などに確認する。
何が起きたのか
2026年1月29日、ジョイフルの委託先であるザイナスが、別の委託先（再委託先）へデータを渡すために用意したサーバに、サイバー攻撃による不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。がありました。サーバ内のデータベースの一部が削除されていることも分かりました。ザイナスは同じ日のうちに被害が広がらないようにする緊急措置をとり、ジョイフルへ電話で報告しました。その後、ジョイフルの従業員や求職者、その家族の一部の個人情報が漏えいしたおそれがあることが分かり、3月26日に公表されました。
なぜ起きたのか・なぜ広がったのか
原因は公表では「サイバー攻撃」とだけ書かれており、どこから入られたのか、どんな弱点が使われたのかは発表されていません。情報は、ジョイフルから預かったデータを再委託先へ渡すためのサーバにありました。
いまの状況2026-04-09 時点続報待ち
2026年4月9日時点で、ザイナスは被害や悪影響の報告を受けておらず、ダークウェブ通常のブラウザや検索エンジンではたどり着けない、特殊なソフトを使ってアクセスするネット上の領域です。匿名性が高いため、盗まれた個人情報やID・パスワードの売買、リークサイトの運営に使われることがあります。上での情報公開も確認していないとしています。個人情報保護委員会へはジョイフルとザイナスから報告済みで、ザイナスはジョイフルと連携して再発防止に努めるとしています。漏えいが確認された人数や侵入の経路などは、まだ発表されていません。
企業として考えたいこと
自社が取引先に渡している個人情報は、どのサーバやサービスに、いつまで置かれているか、把握できているでしょうか。
技術的な要約
2026年1月29日、ジョイフルの委託先であるザイナスが再委託先へデータを受け渡すために準備したサーバにサイバー攻撃による不正アクセスがあり、同サーバ内のデータベースの一部が削除されていることが判明した。ザイナスは同日中に緊急措置をとり、ジョイフルへ電話報告した。その後、ジョイフル従業員（応募した求職者を含む）とその世帯主・配偶者・扶養家族の一部の個人情報が漏えいしたおそれがあることが分かり、3月26日に公表された。対象者は23,585名で、既往歴2,397名、障害の有無や程度92名、給与口座51名などの項目を含む。人数は項目別の件数で同一人物が重複して含まれる。ザイナスは被害の報告やダークウェブ上での情報公開を確認しておらず、個人情報保護委員会へは報告済みである。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明公表上の原因は「サイバー攻撃」のみで、具体的な侵入経路・脆弱性の記載はない。対象は、ザイナスが再委託先へデータを受け渡すために準備したサーバ。
- 脆弱性
- CVE 非公表不明具体的な脆弱性・製品名は公表されていない。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 業務停止に関する記載は公表にない。
- データ
- おそれ上限 23,585確定 —人氏名住所生年月日性別口座健康情報従業員情報その他対象はジョイフル従業員（応募した求職者を含む）及びその関係者23,585名。項目別の内訳は、従業員コード及び面接ID 23,585名、氏名1,191名、続柄1,175名、住所/郵便番号638名、生年月日80名、所得の見積額29名、障害の有無や程度92名、給与口座51名、既往歴の有無や程度2,397名、性別・国籍・職歴は各2,397名、家族に関する情報の一部1,189名、本人に関するその他一部事項23,585名。人数は項目別の件数で同一人物が重複して含まれ、全対象者が全項目について漏えいした可能性があるわけではない。流出確定件数は公表されていない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- ジョイフルの委託先ザイナスが、再委託先へデータを受け渡すために準備したサーバが攻撃を受け、ジョイフルの従業員・求職者等の個人情報が漏えいするおそれが生じた。
時系列
- 2026-01-29
- 2026-01-29
- 2026-03-26ザイナスが「当社が取り扱うジョイフル従業員、求職者及びその関係者の個人情報漏えいのおそれについて」を公表した。2
- 2026-03-26ジョイフルが、従業員、求職者及びその関係者の個人情報が漏えいした可能性について発表した（報道による）。1
- 2026-03-26公表時点で、ジョイフル及びザイナスから個人情報保護委員会へ報告済みとされた。2
- 2026-03-26公表時点で、ジョイフルが連絡先を確認できた方へ通知を送付し、漏えいした可能性のある情報を知らせているとされた。2
- 2026-03-26公表時点で、ザイナスは本件に起因する被害・悪影響の報告を受けておらず、ダークウェブ上での情報公開も確認していないとした。2
- 2026-03-26ジョイフルが個人情報漏えいお問い合わせ窓口（電話0120-133-636、平日10:00～18:00）を設置していると案内された。2
- 2026-04-09ScanNetSecurityが、ジョイフル委託先ザイナスへのサイバー攻撃とデータベース一部削除を報じた。1
技術解説
公表された経過と原因の記載 事実
2026年1月29日、ジョイフルの委託先であるザイナスが再委託先へデータを受け渡すために準備したサーバに対し、サイバー攻撃による不正アクセスが行われ、同サーバ内のデータベースの一部が削除されていることが判明した。同日中にザイナスは、発生事象と被害拡大を防止するための緊急措置をとった旨をジョイフルへ電話報告し、ジョイフルが本件を認識した。その後、ジョイフル従業員（応募した求職者を含む）及びその世帯主・配偶者・扶養家族の一部の個人情報が漏えいしたおそれがあることが判明し、3月26日にザイナスとジョイフルが公表した。原因は公表上「サイバー攻撃」とのみ記され、具体的な侵入経路や脆弱性は本文に記載がない。個人情報保護委員会へは、ジョイフル及びザイナスから報告済みである。
対象人数と項目別の内訳 事実
漏えいのおそれがある対象者は、従業員（求職者を含む）及びその関係者23,585名で、流出が確定した件数は公表されていない。項目別では、従業員コード及び面接IDが23,585名、氏名1,191名、続柄1,175名、住所/郵便番号638名、生年月日80名、所得の見積額29名、障害の有無や程度92名、給与口座51名、既往歴の有無や程度2,397名、性別・国籍・職歴が各2,397名、家族に関する情報の一部が1,189名、本人に関するその他一部事項が23,585名とされる。公表によれば、これらの人数は項目別の件数であり、同一人物が複数項目に重複して含まれる。したがって、全対象者が全項目について漏えいした可能性があるわけではない。なお、ザイナスは現時点で被害や悪影響の報告を受けておらず、ダークウェブ上での情報公開も確認していないとしている。
委託・再委託の構造と事案の性格 解釈
本件は、発注元であるジョイフルの従業員・求職者の情報が、委託先ザイナスと再委託先とのデータ受け渡し用に用意されたサーバ上で攻撃を受けた点に特徴があると考えられる。個人情報を持つ組織と、実際にデータを保管・加工する組織が分かれていると、発注元からは保管場所や期間、アクセス権の実態が見えにくくなる。特に「受け渡し用」のサーバは一時的な性格を持ちやすく、本来の業務システムに比べて管理の優先度が下がる場合がある、という一般的な懸念は成り立つ。ただし、本件のサーバの運用実態は公表されておらず、これは公表内容から導いた仮説にとどまる。個別組織の対応の良否を断じるものではなく、委託連鎖全体で情報の置き場所と寿命を管理する難しさを示す事例として読むのが適切だろう。
公表内容の評価と未公表事項 解釈
公表では、対象人数と項目別の件数、重複の注意、通知の送付、問い合わせ窓口、規制当局への報告が示されており、対象者が自分に関わる情報を把握する手がかりは比較的具体的である。一方で、侵入経路、脆弱性、攻撃者の主張の有無、緊急措置の中身、削除されたデータベースの範囲、業務への影響は公表されていない。1月29日の判明から3月26日の公表まで約2か月あるが、その間に実施された調査の内容は公表からは分からない。この期間の長さの背景も不明であり、評価を下すには材料が足りない。また、情報が流出したと確認されたのか、閲覧・持ち出しの痕跡が確認できないだけなのかも明示されていない。「おそれ」とされた根拠の説明は、続報で補われることが望まれる。
対応
- 封じ込め
- ザイナスは2026年1月29日の同日中に、被害拡大を防止するための緊急措置をとったとしている（措置の具体的内容は公表されていない）。ザイナスはジョイフルと連携して再発防止に努めるとしている。
- 公表の仕方
- 2026年3月26日にザイナスが公表し、ジョイフルも同日発表した。ジョイフルは連絡先を確認できた対象者へ通知を送付し、個人情報漏えいお問い合わせ窓口（電話0120-133-636、平日10:00～18:00）を設置している。
- 当局対応
- 個人情報保護委員会（ジョイフル及びザイナスから報告済み）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 再委託先へのデータ受け渡し用サーバも、本番システムと同等の保護対象として管理する必要がある。 | 受け渡し用サーバを資産台帳に登録し、本番と同水準で脆弱性パッチ適用、多要素認証、ログ収集（SIEM転送）を必須化する。公開範囲はIP制限またはVPN経由に限定する。 |
| 受け渡し用データは必要最小限の項目に絞り、用が済んだら速やかに消去する。 | 受け渡しデータの項目をマスキング・仮名化するスクリプトを整備し、保存期限（例：転送後7日）でオブジェクトを自動削除するライフサイクルルールを設定する。削除実行はログに残す。 |
| 委託・再委託の連鎖全体で、保管場所・アクセス権・インシデント連絡手順を可視化する。 | 委託先に対し、個人情報を保管するシステム一覧と再委託先を年次で報告させる契約条項を設け、検知から数時間以内に一次報告する連絡経路（電話・メール）を演習で確認する。 |
| データベース削除のような破壊的操作を早期に検知できるようにする。 | DBの大量DELETE・DROPや管理者権限の利用を監査ログで監視してアラート化し、オフラインまたは別アカウント管理のバックアップを定期取得して復元手順を訓練する。 |
| 漏えい項目が人ごとに異なる場合は、項目別の件数と重複の有無を明示して公表する。 | 事案発生時に備え、対象者名簿とデータ項目の対応表を一元化するテンプレートを用意し、項目別・人別の集計を短時間で出せるクエリを事前に整備する。 |
自組織などでの確認項目
- 自組織が委託・再委託している業務のうち、個人情報を一時的にでも受け渡しているサーバや共有領域はどこにあり、誰が管理しているか把握できているか。
- 受け渡し用のサーバやストレージに保存されたデータの保存期限と削除手順は決まっていて、実際に削除されたことを確認できるか。
- 委託先でインシデントが起きた際、何時間以内にどの窓口へ連絡を受ける契約・手順になっているか。再委託先の事故も同じ経路で届くか。
- 自組織の個人情報のうち、既往歴や障害の有無、給与口座など配慮が必要な項目はどのシステムに何件あり、委託先にも渡っているか。
未解明点
- 具体的な侵入経路や悪用された脆弱性・認証情報は何か。
- 個人情報が実際に外部へ持ち出されたのか、確定した流出件数はあるのか。
- 削除されたデータベースの範囲と、復旧状況はどうなっているか。
- ザイナスがとった緊急措置の具体的内容と、再発防止策の中身はどのようなものか。
- 1月29日の判明から3月26日の公表までに、どのような調査が行われたのか。
出典
- 1ScanNetSecurity2026-04-09報道本文確認済
- 2株式会社ザイナス2026-03-26公式本文確認済