ジェイアール東海髙島屋アルバイト応募受付サーバーへの不正アクセス（対象最大7,582人・ランサムウェア感染の疑い）
公表日
ジェイアール名古屋タカシマヤを運営するジェイアール東海髙島屋で、アルバイト応募受付用サーバーに不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。があり、個人情報が流出した可能性のある対象者は最大7,582人にのぼりました。外部への流出を示す痕跡や事実は、これまでの調査では確認されていません。
対象者は？
2015年9月13日以降にアルバイト勤務登録のある人などが対象です。5月の発表では、2021年3月1日以降に契約した最大1,338件の情報（氏名・連絡先・給与の振込口座など）が対象でした。7月の追加調査で、スマートフォン受付サイトの操作ログに残っていた情報も加わり、合計7,582人になりました。7,582人の項目別内訳は示されていません。会社の営業情報や、お客さまの個人情報を扱うシステムへの影響はないと説明されています。
現在登録中の人と過去5年間に就労した人には、会社から個別に連絡が行われています。問い合わせは、お客さま相談室（電話：052-566-8067）で受け付けています。
いますぐできること
- このシステムで使っていたパスワードと同じ、または似たパスワードを他のサービスで使っている場合は、変更を考えてください。
- 会社から、パスワード入力や個人情報の提供をお願いするメールや電話をすることはないと案内されています。そのような連絡が来ても応じないでください。
- アルバイト登録時に緊急連絡先や紹介者を登録した人は、その方々にも本件を伝え、不審な連絡に注意するよう伝えてください。
何が起きたのか
2026年5月1日、アルバイトの応募を受け付けるサーバーへの不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。が見つかり、同日中にネットワークから切り離されました。5月8日に会社が発表し、サーバーが身代金を要求するウイルス（ランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。）に感染した疑いがあることと、最大1,338件の個人情報が流出した可能性があることを伝えました。新規のアルバイト登録の受け付けは止められました。7月24日の追加調査結果では、スマートフォン受付サイトの操作ログにも個人情報が残っていたことが分かり、対象者は5月の発表分を含めて合計7,582人になりました。
なぜ起きたのか・なぜ広がったのか
外部の専門機関の調査では、このサーバーに入っていた、サーバーを管理するためのソフトウェアの弱点（脆弱性）が悪用された可能性が高いと推測されています。ソフトウェアの名前や種類は発表されていません。対象者が増えたのは、5月の発表時に対象としていた過去5年分のデータに加えて、2015年9月13日以降の操作ログにも個人情報が残っていたことが、追加の調査で分かったためです。ランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。の種類や攻撃者については、新しい情報は出ていません。
いまの状況2026-07-24 時点続報待ち
2026年7月24日時点で、外部への流出を示す痕跡や事実は確認されていないと発表されています。会社は愛知県警に相談し、個人情報保護委員会に報告しており、新たに分かった内容も7月18日と23日に追加報告しました。調査の結果、ソフトウェアの名前、7,582人の項目別内訳、新規登録受け付けの再開時期、再発防止策については、まだ発表されていません。
企業として考えたいこと
あなたの会社が外部に公開しているサーバー（採用や問い合わせの受付など）で使っている管理ソフトは、どれで、いつ最後に更新されたかを、すぐに答えられますか。
技術的な要約
ジェイアール名古屋タカシマヤを運営するジェイアール東海髙島屋は、2026年5月1日にアルバイト応募受付用サーバーへの不正アクセスを検知し、即日ネットワークから遮断した。5月8日の第1報では、サーバーにランサムウェア感染の疑いがあり、2021年3月1日以降に契約した最大1,338件の個人情報（氏名・連絡先・給与の振込口座など）が流出した可能性があるとされた。7月24日の追加調査結果では、2015年9月13日以降のスマートフォン受付サイトの操作ログにも個人情報が残っていたことが判明し、対象者は合計7,582人に拡大した。外部専門機関の調査では、サーバー管理ソフトウェアの脆弱性が悪用された可能性が高いと推測されているが、外部流出を示す痕跡や事実は確認されていない。当該システムは社内の各種システムと接続のない独立した外部システムで、顧客情報や営業情報への影響はないとしている。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 公開サーバの脆弱性公表で確認公式は、アルバイト応募受付用サーバーに導入されていたサーバー管理用ソフトウェアのセキュリティ上の脆弱性が悪用された可能性が高いと「推測」している。製品名、識別番号、バージョン、パッチ適用状況は公表されていない。
- 脆弱性
- CVE 非公表公表で確認サーバー管理用ソフトウェア（製品名非公表）アルバイト応募受付用サーバーに導入されていた管理ソフトの脆弱性が悪用された可能性が高いと推測。製品名・CVE・バージョン・パッチ状況は非公表。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 新規のアルバイト登録受け付けを停止。サーバーはネットワークから遮断された。顧客情報・営業情報を扱う社内システムへの影響はないとしている。期間：5月8日時点で新規アルバイト登録受け付けを停止中。再開時期は公表されていない。
- データ
- おそれ上限 7,582確定 —人氏名電話口座その他第1報（5月8日）は2021年3月1日以降に契約した最大1,338件（法令に基づき保存する過去5年分）。7月24日の追加発表で、2015年9月13日以降のスマートフォン受付サイト操作ログの個人情報を精査し、既報分を含めて合計7,582人。第1報の情報は氏名・連絡先・給与の振込口座など。7,582人の項目別内訳は示されていない。外部流出を示す痕跡や事実は確認されていない。
- 波及先
- —
- アルバイト登録時に緊急連絡先または紹介者を登録した人の関係者への注意喚起を依頼
- 金銭影響
- —
- サプライチェーン
- 委託先経由等の記載はない。当該システムは社内の各種システムと接続関係のない独立した外部システムとして運用されていた。
時系列
技術解説
公表された経緯と対象者の拡大 事実
ジェイアール東海髙島屋は2026年5月1日にアルバイト応募受付用サーバーへの不正アクセスを検知し、即日ネットワークから遮断した。5月8日の第1報では、サーバーにランサムウェア感染の疑いがあり、2021年3月1日以降に契約した最大1,338件の個人情報が流出した可能性があるとされた。この1,338件は、法令に基づき保存している過去5年分のアルバイトスタッフ情報である。7月24日の追加調査結果では、2015年9月13日以降のスマートフォン受付サイトの操作ログに個人情報が残っていたことが判明した。5月公表分を含めて対象者は合計7,582人となった。新たに判明した内容は、7月18日に愛知県警へ、7月23日に個人情報保護委員会へ追加報告されている。
侵入経路と影響範囲について公表された内容 事実
外部専門機関の調査では、アルバイト応募受付用サーバーに導入されていたサーバー管理用ソフトウェアの脆弱性が悪用された可能性が高いと推測されている。製品名、識別番号、バージョン、パッチ適用状況は公表されていない。当該システムは社内の各種システムと接続関係のない独立した外部システムとして運用されており、営業情報や顧客の個人情報を扱うシステムへの影響はないとしている。現在までの調査では、個人情報の外部流出を示す痕跡や事実は確認されていない。7,582人の項目別内訳、ランサムウェアの種類、暗号化範囲、身代金要求の有無、攻撃者の特定についても、新たな情報は示されていない。
対象者が1,338件から7,582人に広がった構造の見方 解釈
解釈として、対象が広がった背景には、データの保存場所と保存期間の違いがあるとみられる。第1報は、法令に基づき保存する過去5年分のデータベースが基準だった。追加調査では、2015年9月13日以降の操作ログという別の保存場所が精査対象に加わった。業務上の保存期限と、システムが自動で残すログの保存期間が別々に管理されていると、初期の影響範囲の見積もりに入りにくい情報が生じうる。ただし公表文からは、ログの保存方針や、初期調査で把握できなかった理由までは読み取れない。この見方は推測にとどまり、同社の対応を評価するものではない。
公表の進め方についての評価 解釈
解釈として、同社は検知から1週間後に第1報を出している。追加判明分は警察と個人情報保護委員会へ報告したうえで公表しており、段階的な開示の形をとっている。件数を「最大」と表し、流出が確認されていない点も併記しているため、上限と確定を区別した書き方になっている。一方で、5月の第1報から7月の追加調査結果までの間に、項目別内訳や再発防止策は、今回確認できた資料の範囲では示されていない。調査が続くなかで何をどの時点で出すかは判断が分かれるところで、不足と断定はできない。今後の続報で補われるかを見ていく必要がある。
対応
- 封じ込め
- 2026年5月1日の検知後、即日サーバーをネットワークから遮断。外部の専門機関と連携して調査。新規のアルバイト登録受け付けを停止。対象者にはパスワードの使い回し先での変更検討、緊急連絡先・紹介者への注意喚起を依頼し、パスワード入力や個人情報提供を求めるメール・電話は行わないと明示。
- 公表の仕方
- 2026年5月8日に第1報、7月24日に追加調査結果を公式サイトで公表。現在登録中および過去5年間に就労したアルバイトスタッフへ個別連絡。問い合わせ窓口はお客さま相談室（TEL：052-566-8067）。7,582人の項目別内訳、ランサムウェアの種類・暗号化範囲・身代金要求の有無、攻撃者の特定に関する新たな情報は示されていない。
- 当局対応
- 愛知県警に相談（発覚後速やかに）、2026-07-18に追加報告
- 個人情報保護委員会に報告（発覚後速やかに）、2026-07-23に追加報告
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 外部公開の補助システムでも、管理用ソフトウェアの脆弱性が侵入口になりうる。 | インターネットに公開しているサーバーの管理用ソフトを資産台帳に載せ、製品名とバージョンを一覧化する。脆弱性情報を購読し、重大度に応じたパッチ適用期限（例：高リスクは数日以内）を決めて運用する。 |
| 社内システムと切り離した構成が、被害の範囲を限定する効果を持った。 | 外部システムと社内ネットワークの間はFWで通信を最小限に絞る。外部システムのアカウントを社内の認証基盤と共有しない。定期的に経路を点検し、意図しない接続が増えていないか確認する。 |
| 業務上の保存データと、システムが自動で残すログの両方に個人情報が含まれていた。 | ログ項目を棚卸しし、個人情報を出力しない設定にするか、マスキングする。ログの保存期間を目的ごとに決め、期限を過ぎたものは自動削除する。個人データの所在はデータベース以外も含めて台帳化する。 |
| 初期の影響範囲の見積もりが、追加調査で大きく変わることがある。 | インシデント対応手順に、データベースに加えてログ、バックアップ、ファイル領域も調査対象に含める項目を入れる。第1報では「最大」「調査中」を明示し、範囲が変わりうることを前提に報告の枠組みを決めておく。 |
| ランサムウェア感染の疑いがある場合、データの復旧だけでなく流出の有無の判断も必要になる。 | サーバーのオフライン保管バックアップを定期的に取り、復元テストを行う。外向き通信のログ（プロキシ・FW）を一定期間保存し、持ち出しの痕跡を後から確認できるようにする。 |
自組織などでの確認項目
- 自組織で、インターネットに公開しているサーバーの管理用ソフトウェアを、製品名・バージョン・担当者まで一覧で把握していますか。
- アルバイト応募など採用関連の外部システムで、データベース以外（操作ログ、アクセスログ、バックアップ）に個人情報が残っていないか、確認できますか。
- 自組織で、データの保存期間（法令上の期限とログの保存期間）が管理台帳に記載され、期限を過ぎたデータが実際に削除されているか確認できますか。
未解明点
- 悪用された可能性があるサーバー管理用ソフトウェアの製品名、識別番号、バージョン、パッチ適用状況はどうなっていたか。
- 7,582人それぞれの個人情報の項目別内訳（口座情報などが含まれる人数）はどうなっているか。
- ランサムウェアの種類、暗号化された範囲、身代金要求の有無、攻撃者の特定についてはどうか。
- 新規アルバイト登録受け付けの再開時期と、再発防止策はどうなるか。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2026-05-11報道本文確認済
- 2セキュリティ対策Lab（合同会社ロケットボーイズ）2026-07-27報道本文確認済
- 3ScanNetSecurity2026-08-10報道本文確認済
- 4ジェイアール東海髙島屋公式本文確認済
- 5株式会社ジェイアール東海髙島屋2026-07-24公式本文確認済
- 6共同通信社（OANDA Lab マーケットニュース掲載）2026-05-08報道本文確認済