【インシデント速報】2026年9月20日｜CINRA JOB 求職者情報が漏えいのおそれ・プルデンシャル生命 元社員が1,570人分持ち出し・エリッツ クラウド設定不備
公開
被害の入口は「外部からの攻撃」「内部の持ち出し」「設定ミス」の3つに分かれた。どれも中小企業で同じ形で起こりうる。
攻撃対策だけでなく、退職者の情報管理とクラウドの公開設定を今日の点検項目に加える。
① CINRA JOB（クリエイティブ業界向け求人サービス）— システムの脆弱性を突かれ、求職者情報が漏えいのおそれ
クリエイティブ業界向けの求人サービス「CINRA JOB」を運営するCINRAは、同サービスのシステムの脆弱性を突いた不正アクセスを受け、会員（求職者）の個人情報が漏えいしたおそれがあると公表した。同社は不正に使われた認証情報を無効化し、悪用された脆弱性を修復したうえで、外部の専門機関による調査を進めるとしている。
漏えいのおそれがある情報は、会員の氏名・フリガナ・生年月日・性別・住所・電話番号・メールアドレスに加え、学歴・職歴・希望条件・保有スキル・資格・応募履歴など、履歴書に相当する広範な項目に及ぶ。同社は、情報が閲覧・取得されなかったことを確認できるだけの記録が残っていないため、「漏えいのおそれがある」と判断したと説明している。実際に抜き取られた証拠がなくても、記録が不十分なら漏えいを前提に対応せざるを得ないことを示す事例である。
中小企業への影響
採用サイトや会員制Webサービスを自社で運営していると、そのシステムの脆弱性がそのまま個人情報の入口になる。特に求人・応募のデータは、住所や職歴まで含む機微な情報の塊だ。さらに「攻撃されたかどうか」を後から検証できるログが残っていないと、被害の有無を確定できず、全員に漏えい前提の通知をするしかなくなる。
推奨対応
- 会員登録・応募フォームなど外部公開しているWebアプリの脆弱性診断を定期的に実施し、指摘された不備を放置しない
- アクセスログ・認証ログを一定期間保存し、「誰がいつどのデータに触れたか」を後から追跡できる状態にしておく
- 収集する個人情報を業務に必要な項目に絞り、保存期間を過ぎた応募者データは削除する
② プルデンシャル生命 — 元営業社員が顧客1,570人分の情報を持ち出し、退職後に紛失
プルデンシャル生命保険は、元営業社員が在籍中に取得した顧客の個人情報を含む帳票類を社外へ持ち出し、退職後も保有した末に紛失していたと公表した。持ち出されたのは、この元社員が担当していた顧客1,570人分の氏名・電話番号・住所に加え、加入商品名・証券番号・勤務先などの情報。2026年3月に多摩支社を退職した後も帳票類を手元に残していたという。
発覚のきっかけは、6月に帳票類を拾った第三者からの連絡だった。元社員は「顧客を引き継いだ後任の担当者から照会があった際に正確に回答するため」と持ち出しの理由を説明しているとされる。外部からの攻撃ではなく、正規に情報へアクセスできる従業員が、退職時にデータを社外へ持ち出せてしまった内部管理の問題である。
中小企業への影響
営業担当が顧客名簿を紙や個人端末で持ち歩く運用は、中小企業でごく一般的だ。退職時にそれらを確実に回収・削除する仕組みがないと、悪意の有無にかかわらず情報が社外に残る。今回のように「善意のつもり」でも、紛失すれば漏えいになる。顧客情報の持ち出し経路を絞ることが、外部攻撃対策と同じ重みを持つ。
推奨対応
- 顧客情報の紙帳票・ファイルの持ち出しルールを明文化し、私物端末や個人メールへのコピーを禁止する
- 退職・異動時のチェックリストに「貸与端末・書類・アカウントの回収と削除」を必ず組み込み、実施を記録する
- 顧客データへのアクセス権を担当範囲に限定し、誰がいつ大量のデータを出力・ダウンロードしたかを記録して定期的に確認する
③ エリッツホールディングス子会社 — クラウドの設定不備で入居申込者情報が流出のおそれ
不動産仲介などを手がけるエリッツホールディングスは、子会社エリッツで、入居申込者とやり取りしたメール内容などを含むファイルをクラウド環境に保存していたところ、アクセス制限の設定に不備があったと公表した。対象ファイルには2021年4月3日以降に入居申込者との間でやり取りされた情報が含まれ、個人情報が記載された書類も対象となっていた。
問題は2026年8月に外部の調査会社からの指摘で判明した。9月に公表された最終調査結果では、データが外部へ流出したことを示す明確な技術的証拠（アクセスログ等）は確認されず、アクセス制限の不備はすでに是正済みとしている。攻撃を受けたわけではなく、クラウド上のファイルの公開範囲設定を誤ったまま長期間気づかなかった、設定ミス型の事例である。
中小企業への影響
クラウドストレージやファイル共有の「アクセス制限」は、初期設定や運用の途中で緩くなりがちで、外部から指摘されて初めて気づくケースが多い。数年分の顧客・申込者データを蓄積したまま公開範囲を確認していないと、攻撃を受けなくても情報が閲覧可能な状態になる。日常的にクラウドで書類を扱う中小企業ほど、同じ落とし穴にはまりやすい。
推奨対応
- クラウド保存フォルダの共有範囲を棚卸しし、「社外に公開」「リンクを知る全員に公開」になっている領域を洗い出す
- 個人情報を含むファイルは保管場所と保存期間を決め、不要になった古いデータは定期的に削除する
- クラウドサービスの権限設定を定期点検する担当と頻度を決め、設定変更の履歴を残す
編集部まとめ
今日の3件は、外部攻撃・内部の持ち出し・設定ミスという別々の入口から起きた。共通するのは「顧客や取引先のデータをどこに置き、誰が触れるか」を管理できていたかどうか。攻撃を防ぐ対策と並行して、退職者の情報回収とクラウドの公開設定という足元の運用を今日点検したい。