資さんうどんにおける委託先サーバー設定不備による従業員等個人情報漏洩の可能性（最大約2万人）
公表日
資さんうどんのサーバー管理委託先で設定不備共有範囲やアクセス権の設定を誤り、本来は見えてはいけない情報が、他の人やインターネットから見える状態になってしまうことです。攻撃がなくても漏えいが起きます。クラウドの共有リンクや「全員に公開」の設定で起きやすい事故です。があり、従業員や退職者約2万人の個人情報が外部から閲覧可能となっていた可能性が公表されました。
対象者は？
2021年10月から2026年10月の間に株式会社資さんに在籍実績がある従業員および退職者（約2万人）。顧客や一般利用者の情報は含まれていません。
対象者には株式会社資さんから順次直接連絡が行われています。
何が起きたのか
2026年10月27日、うどんチェーン「資さんうどん」を展開する株式会社資さんは、サーバー管理・運用を委託している株式会社カホエンタープライズにおいて設定ミスがあり、従業員や退職者の個人情報が外部から閲覧できる状態になっていた可能性があると発表しました。対象期間に在籍していた約2万人分の氏名、生年月日、電話番号、賃金履歴、退職理由などが対象となっていました。同社は判明後に閲覧できないよう設定を変更し、個人情報保護委員会へ報告しました。
なぜ起きたのか・なぜ広がったのか
サーバーの運用管理を担当していた委託企業側での設定不備共有範囲やアクセス権の設定を誤り、本来は見えてはいけない情報が、他の人やインターネットから見える状態になってしまうことです。攻撃がなくても漏えいが起きます。クラウドの共有リンクや「全員に公開」の設定で起きやすい事故です。（ミス）が原因であり、外部からの不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。による侵入や改ざんではありませんでした。
いまの状況2026-10-27 時点
閲覧を不可とする設定変更が実施され、対象となる従業員や退職者への連絡が進められています。公表時点で情報の不正利用や二次被害は確認されていません。
企業として考えたいこと
自社の業務やサーバー管理を外部に委託している場合、委託先の設定変更やデータ管理状況を定期的に点検・把握できていますか？
技術的な要約
すかいらーくホールディングス傘下の「資さんうどん」を展開する株式会社資さんは、サーバーの管理・運用を委託している株式会社カホエンタープライズにおいて設定不備があり、従業員および退職者の個人情報が外部から閲覧可能な状態になっていた可能性があると2026年10月27日に発表した。対象は2021年10月から2026年10月の間に同社へ在籍実績のある従業員および退職者の約2万人である。流出した可能性がある情報には、氏名、生年月日、電話番号、賃金履歴、退職理由、勤怠実績などが含まれる。同社は事態判明後に閲覧不可とする設定変更を実施し、個人情報保護委員会へ報告した。なお、本件は不正アクセスによるものではなく、公表時点で情報の不正利用や二次被害は確認されていない。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 委託先経由公表で確認サーバーの管理・運用委託先である株式会社カホエンタープライズにおける同サーバーの一部設定不備により、外部から閲覧可能となっていた。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
- —
影響
- 業務停止
- なし
- データ
- おそれ上限 20,000確定 —人氏名生年月日性別電話番号従業員情報2021年10月〜2026年10月の在籍実績者（現在の従業員および退職者）約2万人。対象情報には氏名、生年月日、性別、電話番号、賃金履歴、勤怠実績のほか、一部対象者に含まれる入社日退社日、退職理由、社会保険加入履歴が含まれる。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- サーバーの管理・運用を委託していた株式会社カホエンタープライズにおいて設定不備が発生した。
時系列
技術解説
委託先サーバーの設定不備による個人情報公開状態の発生経緯 事実
株式会社資さんは、サーバーの管理・運用を委託している株式会社カホエンタープライズにおいて設定不備があり、同サーバーに保管されていた従業員および退職者の個人情報が外部から閲覧可能な状態になっていた可能性があると発表しました。本件は不正アクセスによる侵入や改ざん等ではなく、サーバーの設定ミスに起因するものです。対象となった期間は2021年10月から2026年10月までの在籍実績者で、対象人数は約2万人にのぼります。対象となった情報には氏名、生年月日、性別、電話番号、賃金履歴、勤怠実績が含まれ、一部の対象者については入社日・退社日、退職理由、社会保険加入履歴も対象に含まれていました。事態の判明後、資さんは外部からの閲覧を不可とする設定変更を講じ、個人情報保護委員会への報告を実施しました。公表時点で、本件に係る情報の不正利用や二次被害は確認されていません。
委託先における設定管理と公開リスクの構造的課題 解釈
本件は外部攻撃者による侵入ではなく、サーバー運用を担う委託企業側の設定不備によってデータが意図せず公開状態に置かれていた事案です。クラウド環境やWeb公開基盤では、アクセス制御ポリシーの誤りや初期設定の不備により、本来非公開であるべき社内データやバックアップ領域がインターネット側から参照可能になるリスクが常に存在します。特に人事・労務データのような機微情報を取り扱うサーバーの場合、運用保守の過程で一時的な疎通確認や構成変更を行った際にアクセス制限が解除され、それが検知されないまま放置される事例が散見されます。委託先における変更管理プロセスの形骸化や、外部からの到達性を自動検証するポスチャ管理（CSPM等）の仕組みが導入・機能していなかった場合、長期間にわたり公開状態が見過ごされる危険性があります。
退職者情報を含む人事データ管理と委託先ガバナンスの難しさ 解釈
漏洩の可能性が生じたデータに約5年間にわたる退職者の退職理由や賃金履歴が含まれていた点は、データ保持期間とサプライチェーン統制の観点から重要な教訓を含んでいます。退職者の人事・労務記録は法令等に基づく保管義務があるものの、現役従業員と同じ運用サーバー上に平文かつ広範に保持され続けると、サーバー設定ひとつで漏洩リスクの範囲が退職者にまで拡大します。また、退職者は連絡先が変更されていることが多く、本件でも一部の対象者と連絡が取れていないと報じられているように、事後連絡や対応に多大な労力を要します。委託先に対する「設定の確認とデータの管理・監督」を表明するだけにとどまらず、委託先環境への定期的な監査、データの暗号化、不要になった旧データの分離・保管見直しといったサプライチェーン全体のデータライフサイクル管理が求められます。
対応
- 封じ込め
- 事態判明後、速やかに外部からの閲覧を不可とする設定変更を講じた。
- 公表の仕方
- 2026年10月27日に公式ウェブサイトでお詫びと報告を公表し、対象となる従業員・退職者への順次連絡を進めている。
- 当局対応
- 個人情報保護委員会
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 外部公開サーバーやクラウド基盤のアクセス制御設定の定常的な自動検証 | インターネット境界やクラウドストレージに対してCSPM等の自動スキャンツールを導入し、意図しない外部公開設定や認可の不備が混入した際に即座にアラートを発報・自動修復する構成を整備する。 |
| 委託先に対する設定変更手順の厳格化と定期監査の実施 | 業務委託契約においてセキュリティ要件（外部公開の禁止、暗号化、アクセスログ保管等）を明確に定め、設定変更時のダブルチェック体制や年1回以上の第三者監査・設定レビューを義務付ける。 |
| 退職者データを含む人事労務情報の分離と保管・廃棄ライフサイクルの管理 | 法令保管義務のある人事データと日々の運用系サーバーを論理的・物理的に分離し、退職者の退職理由や賃金履歴などの機微情報はアクセス権を最小化・暗号化したアーカイブ領域で保管する。 |
| 委託先を含めたセキュリティインシデント初動対応と連絡網の維持 | 連絡先が変わりやすい退職者への通知プロセスをあらかじめ策定するとともに、設定不備判明時に速やかなネットワーク遮断やアクセス制限変更を委託先と連携して即座に実施できる手順書を整備する。 |
自組織などでの確認項目
- 自社が外部事業者に運用を委託しているサーバーやクラウド環境において、インターネットから直接アクセス可能な設定になっていないかを定期的に確認・スキャンする仕組みがあるか。
- 過去に在籍した従業員や退職者の個人情報（賃金・退職理由等）が、日々の運用サーバーに不要な形で広く残存していないか、データ保持ルールが機能しているか。
- 委託先において設定変更作業が行われた際、自社への事前承認フローや完了後のセキュリティ設定検証プロセスが手順化されているか。
未解明点
- サーバーが外部から閲覧可能となっていた具体的な期間や、実際に外部第三者によるアクセスログが存在したかどうかの調査結果。
出典
- 1日本経済新聞2026-10-27報道本文確認済
- 2株式会社資さん2026-10-27公式本文確認済