ニチイ学館 介護サービスWebサイトのバックアップファイル外部取得可能状態（問い合わせデータ6,683件、583名分に個人情報）
公表日
ニチイ学館の介護サービスWebサイトで、問い合わせフォームの情報を含むバックアップファイルが約6年4カ月、認証なしで外部から取得できる状態でした。ファイルには問い合わせデータ6,683件が含まれ、583名分に個人情報、うち99名分に健康状態や障がいの状況に関する情報がありました。
対象者は？
2015年11月から2020年5月に、介護サービスWebサイトの問い合わせフォームを使った方が対象です。「お問い合わせ内容」欄に書かれた個人情報が含まれていたのは583名分で、うち99名分は健康状態や障がいの状況に関する情報です。氏名・住所・電話番号・メールアドレスなどの「お客様情報」欄は暗号化されており、アクセスできない状態でした。
対象の方には、同社が対象情報と連絡先を確認のうえ、順次個別に説明するとしています。ご不明な点は専用窓口（フリーダイヤル0120-401-151、受付9時〜17時）で相談できます。
いますぐできること
- 過去に同サイトの問い合わせフォームを使った心当たりがある方は、専用窓口（0120-401-151、9時〜17時）に相談する。
- 同社からの個別の連絡を待ちつつ、身に覚えのない電話やメール、郵便が届いたときは、すぐに応じず内容を確認する。
何が起きたのか
ニチイ学館は2026年10月2日、運営する介護サービスのWebサイトで、問い合わせフォームの情報を含むバックアップファイルが、認証なしで外部から取得できる状態だったと発表しました。ファイルは通常のWebページからリンクされていませんでしたが、20数桁のファイル名を含むURLを直接指定すれば入手できました。取得できた期間は2020年5月11日から2026年9月11日までです。2026年9月11日、Webサイトの保守・運用を委託している事業者からの報告で問題が分かり、対象ファイルは削除されました。
なぜ起きたのか・なぜ広がったのか
同社は、サイバー攻撃で奪われたのではなく、Webサイトの保守・運用の委託先でのバックアップ作業後のファイル管理と削除の手続きに不備があったためと説明しています。同社側にも、作業後にファイルが外部から取得できる場所に残っていないかを技術的に確認する手続きが十分ではなかったとしています。個人情報は、利用者が自由記述欄に書き込んだ内容に含まれていました。長期間続いた詳しい経緯は発表されていません。
いまの状況2026-10-14 時点続報待ち
2026年10月2日時点で、本件が原因と考えられる被害の申告や情報の不正利用は確認されていません。直近3カ月分（2026年6月11日〜9月11日）のアクセスログでは第三者のアクセスは確認されていませんが、それ以前のログは残っておらず、取得されていなかったことまでは確認できません。個人情報保護委員会へ報告済みです。再発防止策として、ファイル管理や点検体制の強化、アクセスログ管理方法の見直し、委託先への点検・監査を行うとしています。流出が確認された件数は、まだ発表されていません。
企業として考えたいこと
自社のWebサイトで、委託先が作業した後に、バックアップなどのファイルが外から見える場所に残っていないか、自社で確認できる仕組みはありますか。
技術的な要約
ニチイ学館は2026年10月2日、運営する介護サービスのWebサイトで、問い合わせフォームの送信情報を含むバックアップファイルが認証なしで外部から取得可能な状態だったと公表した。ファイルは2020年5月11日から2026年9月11日まで約6年4カ月取得可能で、2015年11月から2020年5月の問い合わせデータ6,683件を含んでいた。「お問い合わせ内容」欄への入力があった2,674件を精査した結果、583名分に個人情報、うち99名分に健康状態や障がいの状況に関する要配慮個人情報が含まれていた。原因はWebサイト保守・運用の委託先におけるバックアップ作業後のファイル管理と削除手続きの不備で、同社はサイバー攻撃による窃取ではないとしている。直近3カ月分のアクセスログでは第三者アクセスは確認されていないが、それ以前のログは残っておらず取得の有無は確認できない。個人情報保護委員会へ報告済みで、10月2日時点で不正利用の申告は確認されていない。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明公表で確認公表ではサイバー攻撃ではなく、バックアップファイルの配置・削除・確認という運用管理の不備。通常のWebページからはリンクされていなかったが、20数桁の具体的なファイル名を含むURLを直接指定すると認証なしでダウンロードできる状態だった。第三者アクセスは直近3カ月（2026-06-11〜09-11）のログでは確認されていないが、それ以前のログはなく確認できない。
- 脆弱性
- CVE 非公表公表で確認製品の脆弱性は公表されていない。委託先でのバックアップ作業後のファイル管理・削除手続きの不備が原因で、ニチイ学館側にも作業完了後に外部取得可能な場所に残っていないかを技術的に確認する手続きが十分でなかった。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 業務停止は公表されていない。
- データ
- おそれ上限 6,683確定 —件氏名健康情報その他対象ファイルの問い合わせデータは6,683件（2015年11月〜2020年5月）。「お問い合わせ内容」欄への入力があった2,674件を精査し、583名分に個人情報、うち99名分に健康状態や障がいの状況に関する要配慮個人情報が含まれていた。氏名・住所・電話番号・メールアドレス等の「お客様情報」欄は暗号化されアクセス不可。個人情報は利用者が自由記述欄に自ら書き込んだもの。流出確定件数は公表されていない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- Webサイトの保守・運用委託先でのバックアップ作業後のファイル管理・削除手続きの不備が原因。問題は同委託先からの報告で判明した。
時系列
- 2015-11対象ファイルに含まれる問い合わせデータの期間が始まる（〜2020年5月、計6,683件）。1
- 2020-05-11バックアップファイルが認証なしで外部から取得可能な状態になる（〜2026年9月11日、約6年4カ月）。1
- 2026-06-11保存されていた直近3カ月分のアクセスログの開始日（〜9月11日、第三者アクセスは確認されていない）。1
- 2026-09-11Webサイトの保守・運用委託先からの報告で問題が判明。1
- 2026-09-11ファイルが外部から取得可能だった期間の終期。判明後に対象ファイルを削除し外部取得可能な状態を解消。1
- 2026-10-02ニチイ学館が、介護サイトでバックアップファイルが認証なしで外部取得可能だったと公表。1
- 2026-10-02プレスリリース「当社介護サイトにおける個人情報漏えいのおそれに関するお詫びとお知らせ」を掲載。2
- 2026-10-02本件に起因すると考えられる被害申告や情報の不正利用は確認されていない（10月2日時点）。1
- 2026-10個人情報保護委員会へ個人データ漏洩のおそれがある事案として報告。専用窓口（フリーダイヤル）を設置し、対象者へ順次個別に説明。1
技術解説
事案の構造：攻撃ではなく運用管理の不備 事実
ニチイ学館は2026年10月2日、介護サービスのWebサイトで、問い合わせフォームの送信情報を含むバックアップファイルが認証なしで外部から取得可能な状態だったと公表した。同社は、サイバー攻撃でファイルを奪われた事案ではなく、バックアップファイルの配置・削除・確認という運用管理の不備によるものと説明している。ファイルは通常のWebページからリンクされていなかったが、20数桁の具体的なファイル名を含むURLを直接指定すると、認証なしでダウンロードできた。取得可能だった期間は2020年5月11日から2026年9月11日までの約6年4カ月とされている。
ファイルに含まれていた情報の範囲 事実
対象ファイルには、2015年11月から2020年5月までの問い合わせデータ6,683件が含まれていた。このうち「お問い合わせ内容」欄への入力があった2,674件を精査した結果、583名分に個人情報が含まれ、さらに99名分には健康状態や障がいの状況に関する要配慮個人情報が含まれていた。一方、氏名・住所・電話番号・メールアドレスなどを入力する「お客様情報」欄のデータは暗号化されており、アクセスできない状態だった。個人情報は、自由記述欄に利用者自身が氏名、健康状態、障がいの状況などを書き込んでいたため、結果としてファイルに含まれていたと説明されている。
確認できていることと、確認できていないこと 事実
問題は2026年9月11日、Webサイトの保守・運用委託先からの報告で判明し、ニチイ学館は判明後に対象ファイルを削除して外部から取得可能な状態を解消した。保存されていた2026年6月11日から9月11日までのアクセスログでは第三者アクセスは確認されていない。ただし、それ以前のログは残っておらず、取得されていなかったことまでは確認できない。10月2日時点では、本件に起因すると考えられる被害申告や情報の不正利用は確認されていない。個人情報保護委員会には、個人データ漏洩のおそれがある事案として報告済みである。
長期化の背景についての読み取り 解釈
公表された内容からは、約6年4カ月にわたり状態が続いた背景として、次の点が読み取れる。第一に、ファイルが通常のページからリンクされていなかったため、外部から見える状態にあることに気づきにくかった可能性がある。第二に、同社は、作業完了後に外部取得可能な場所へファイルが残っていないかを技術的に確認する手続きが、委託元側でも十分でなかったとしている。作業を委託先に任せ、完了後の確認が運用に組み込まれていなければ、残存が長く見過ごされうる。また、遡って検証できるアクセスログが直近3カ月分にとどまった点は、影響範囲の確定を難しくしている。これらは公表内容に基づく解釈であり、個別の経緯の詳細は未公表である。
公表内容の評価と留意点 解釈
今回の公表は、対象件数の内訳（6,683件、2,674件、583名、99名）、取得可能だった期間、ログの保存範囲という確認できない部分まで具体的に示している点で、利用者が自身の状況を判断する材料になりうると考えられる。件数は、あくまで対象ファイルに含まれていたデータの数や精査結果であり、実際に第三者に取得された件数ではない点に注意が必要である。流出が確定した件数は公表されていない。再発防止策として、ファイル管理や点検体制の強化、アクセスログ管理の見直し、委託先への点検・監査が挙げられており、今後は具体的な実装内容や効果の確認方法の続報が待たれる。これらは公表内容を踏まえた解釈である。
対応
- 封じ込め
- 判明後、対象ファイルを削除し、外部から取得可能な状態を解消した。再発防止策として、ファイル管理の強化、点検体制の強化、アクセスログ管理方法の見直し、委託先への点検・監査を実施するとしている。
- 公表の仕方
- 2026年10月2日に公表。対象者へは対象情報と連絡先を確認のうえ順次個別に説明する。専用問い合わせ窓口はフリーダイヤル0120-401-151（受付9時〜17時）。
- 当局対応
- 個人情報保護委員会（個人データ漏洩のおそれがある事案として報告）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| バックアップ作業後に、外部から取得可能な場所へファイルが残っていないかを確認する工程が必要である。 | 作業手順書に「完了後の残存確認」を必須項目として追加する。公開ディレクトリ配下の拡張子（.zip、.sql、.bak、.tar.gz等）を定期スキャンし、検出時に通知する。バックアップは公開ルート外に保存する。 |
| リンクされていないURLや長いファイル名に頼る秘匿は、アクセス制御の代わりにならない。 | 公開ルート配下に置くファイルはWebサーバ設定で一律ダウンロード拒否とし、必要な場合は認証付き配信に限る。外部からのクロールやディレクトリ一覧の確認を定期的に行う。 |
| 委託先への作業の任せきりを避け、完了確認を委託元でも独立して行う。 | 委託契約に作業証跡と削除報告の提出を定める。委託元が外部ネットワークから対象パスへアクセスして到達不能を確認する。委託先への点検・監査の頻度を決めて実施する。 |
| アクセスログの保存期間が短いと、第三者の取得有無を後から検証できない。 | Webサーバやリバースプロキシのログを、検知・調査に必要な期間分、改ざん耐性のある保管先へ集約する。保存期間は、公開物の滞留リスクも踏まえて設計する。 |
| 問い合わせフォームの自由記述欄には、要配慮個人情報が入力される可能性を前提に設計する。 | 自由記述欄を含む全項目を同等の保護水準で暗号化する。入力欄に個人情報や健康情報を書かないよう注意書きを表示する。保持期間を定め、期限後は削除する。 |
自組織などでの確認項目
- 自組織のWebサイトの公開領域に、バックアップや作業用ファイルが残っていないか、定期的に確認する仕組みはあるか。
- 委託先が行ったWeb保守作業の完了後に、委託元として残存物がないかを独立して確認する手順はあるか。
- 自組織のアクセスログは何カ月分保存されているか。万一ファイルが外部取得可能だった場合、取得の有無を遡って確認できるか。
- 問い合わせフォームなどの自由記述欄に書き込まれる個人情報や要配慮個人情報を、どこに何年保管しているか把握しているか。
未解明点
- 第三者が実際にファイルを取得したかどうかは、直近3カ月分より前のログがなく確認できていない。流出確定件数は公表されていない。
- バックアップ作業を行った委託先の名称や、2020年5月11日に何が起きたのかの具体的な経緯は公表されていない。
- アクセスログが直近3カ月分しか残っていなかった理由と、見直し後の保存方法の詳細は公表されていない。
- 再発防止策（ファイル管理の強化、点検体制の強化、委託先への点検・監査）の具体的な内容と実施時期は公表されていない。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2026-10-06報道本文確認済
- 2ニチイ学館2026-10-13公式本文確認済