JGC Digitalの分析ツールに不正アクセス｜「アザス」など約6万件が漏えい

JGC Digital が2026年9月18日、データの集計・分析に使っていた BI ツール「Metabase」の脆弱性を突かれ、同社のサービスの利用者の個人情報が漏えいしたと公表しました。 対象は「アザス」約4万件と「するーぷ」約2万件の合わせて約6万件です（JGC Digital の発表）。 9月15日に公表された LEAN BODY の件と同じく Metabase が入り口になっており、分析ツールを使う会社は更新と公開の範囲を確かめたい事例です。

公表された内容

• 件数：約6万件（アザス約4万件、するーぷ約2万件。2026年9月18日の発表）。複数のアカウントを持つ人がいるため、実際の人数は少なくなるとしています
• 情報の種類（アザス）：氏名、生年月日、性別、メールアドレス、勤務年数、言語、役割、体温の情報、所属、元請・一次請の会社、プロジェクト名と期間、称賛の回数
• 情報の種類（するーぷ）：メールアドレス、生年月、性別、郵便番号、子どもの有無、職業、年収（任意）、興味のあること（任意）
• パスワード：同社では管理しておらず、漏えいはないとしています
• 時期：9月16日にシステムの異常を検知し、同日中に不正アクセスの経路を遮断したとしています。最初に侵入された日と情報が取られた日は公表されていません
• 原因：BI ツール「Metabase」にあった脆弱性が悪用されたこと。版や CVE 番号は公表されていません

会社の対応

• 対象の利用者に、登録のメールアドレスあてに順に個別の連絡（届くまで時間がかかる場合があり、届かなくても対象の可能性があるとしています）
• 再発防止として、利用の方針の厳格化、Metabase の利用の終了、より安全な環境の活用を挙げています
• 同社をかたる不審なメールや電話に注意し、リンクを開かずに削除するよう呼びかけています。メールや電話でパスワードや決済の情報を尋ねることはないとしています
• サービスごとにメールの問い合わせ窓口を設けています
• 個人情報保護委員会などへの報告は、お知らせには書かれていません

中小企業が今日からできること

• BI ツールやダッシュボードをインターネットに出さない：Metabase などの分析ツールを使っていれば、外から直接開ける状態になっていないか確かめ、社内のネットワークか VPN・認証の仕組みの内側に置く
• 使っている版を確かめて更新する：製品の会社のお知らせで修正版が出ていないかを確かめ、出ていればすぐに当てる。更新の担当者を決めておく
• 分析に本番のデータベースを丸ごとつながない：分析用には個人情報を外したり、必要な列だけを写したりしたデータを使い、本番のデータベースに読み書きできる権限で接続しない
• 持つ情報を必要なものに絞る：体温や年収など、サービスに本当に必要かを見直し、使わない項目は集めない・消す
• 漏えいしたときの報告の手順を決めておく：個人情報保護委員会への報告と本人への連絡を、誰がいつ行うかを前もって決めておく