今回は「外部サービスに預けた従業員情報」「境界に置いた通信機器」「自社サイトの土台」という、普段は見えにくい3つの弱点が突かれた事案です。1本目は福利厚生代行サービス「ベネフィット・ワン」で、利用企業2,322社・従業員1万3千人分の情報が、認識されていながら放置された不具合から漏えいした件。2本目はリモートアクセス機器NetScaler（旧Citrix ADC）の脆弱性が世界中で積極的に悪用され、JPCERT/CCが注意喚起を出した件。3本目は即席麺メーカーのサンポー食品が、Webシステムの脆弱性を突かれて管理者権限を奪われ、公式サイトを改ざんされた件です。いずれも「大企業だけの話」ではなく、外部サービスに預けた従業員データ・VPN機器のパッチ・自社サイトの更新という、中小企業が明日から点検できる論点を含みます。
NEWS 01
ベネフィット・ワン公表（各社報道）｜ 2026年9月30日公表
福利厚生代行「ベネフィット・ワン」で個人情報が漏えい、利用2,322社・従業員1万3,460人分――認識していた不具合の放置が原因
福利厚生のアウトソーシングサービスを提供するベネフィット・ワンは2026年9月30日、同社のサービス「ベネワン・プラットフォーム」で個人情報が外部から閲覧できる状態になっていたと公表しました。影響を受けたのは利用企業・団体2,322社・団体に所属する従業員1万3,460人分で、閲覧できる状態にあったのは社員・職員番号、氏名、性別、生年月日、企業・団体名、所属・役職、入退社情報などです。クレジットカード情報、銀行口座情報、要配慮個人情報、メールアドレス、パスワードは含まれていなかったとしています。
原因は、2025年6月に実施したシステム改修でプログラムの条件設定に不備が生じ、同プラットフォームのアンケート機能で他社の情報が閲覧できる状態になっていたことです。同社は2025年10月に社内調査でこの不具合を認識していたものの、解消作業が適切に実施されていなかったと説明しています。実際に第三者がデータを取得したのは1社・1名で、同社は当該データの削除を確認し、公表時点で二次被害は確認されていないとしています。見つかってから公表まで約1年、不備の発生からは1年以上が経過していたことになります。
▌中小企業への影響
福利厚生代行サービスは、中小企業が自前で制度を整えずに従業員向けの優待やアンケートを提供できる便利な仕組みですが、そこには従業員の氏名・生年月日・所属といった個人情報を預けています。今回のように委託先のシステム不備で情報が漏れれば、自社の従業員が影響を受け、説明や通知の対応を迫られるのは利用企業側です。さらに重いのは、ベンダーが不具合を認識しながら約1年放置していた点です。「見つけたのに直していなかった」という失敗は、規模を問わずどの組織でも起こり得ます。外部サービスへの依存と、社内で見つけた不具合の放置は、いずれも中小企業に直結するリスクです。
▌推奨対応
- 福利厚生・勤怠・給与など外部サービスに預けている従業員情報を棚卸しし、「どのサービスに・何の情報を」渡しているか一覧化する
- 利用中のサービスから今回の漏えいに関する連絡が来ていないか確認し、対象であれば自社従業員への周知を準備する
- 自社で使うシステムやサイトで見つかった不具合・脆弱性を「いつまでに・誰が直すか」記録し、放置されている案件がないか点検する
- 委託契約に、不具合・漏えい発生時の報告義務と期限が明記されているか確認する
- 従業員情報を扱う外部サービスのアクセス権限と、不要になったアカウントの削除状況を定期的に見直す
NEWS 02
JPCERT/CC 注意喚起 at260029（ScanNetSecurity報道）｜ 2026年9月28日
NetScaler（旧Citrix ADC）の脆弱性が世界中で積極的に悪用、JPCERT/CCが注意喚起――CVE-2026-88771・88772はCISAも緊急対応を要請
企業のリモートアクセスや負荷分散に使われる通信機器「NetScaler ADC」および「NetScaler Gateway」に複数の脆弱性が見つかり、JPCERT/CCが2026年9月28日付で注意喚起（at260029）を公開しました。報道によれば、見つかった脆弱性のうちCVE-2026-88771とCVE-2026-88772の2件については、世界中で脅威アクターによる積極的な悪用がすでに確認されており、米CISA（サイバーセキュリティ・インフラセキュリティ庁）も悪用が確認された脆弱性のリスト（KEVカタログ）に追加しています。悪用に成功すると、任意のコード実行やサービス妨害（DoS）につながるおそれがあります。
影響を受けるのは、NetScaler ADC/Gateway 14.1系で「14.1-73.37」より前のバージョン、13.1系で「13.1-64.23」より前のバージョンなどで、FIPS対応版も対象に含まれます。開発元は修正済みバージョン（14.1-73.37以降、13.1-64.23以降など）を公開しており、JPCERT/CCは速やかなアップデートを呼びかけています。この種のリモートアクセス機器は社内ネットワークの入口に位置するため、侵害されると内部への侵入経路にされやすく、過去にもランサムウェア攻撃の起点として繰り返し狙われてきました。
▌中小企業への影響
NetScalerのような機器は大企業向けと思われがちですが、拠点間接続やテレワークのために中小企業が導入しているケースもあり、導入していれば規模に関係なく標的になります。より普遍的な教訓は、「VPN・ゲートウェイなどインターネットに面した通信機器の脆弱性は、公開されると数日で悪用が始まる」という点です。前日に取り上げた委託先への侵入もVPN機器のアカウント悪用が入口でした。境界に置いた機器のパッチ適用が遅れると、そこが社内ネットワーク全体への扉になります。
▌推奨対応
- NetScaler ADC/Gatewayを利用している場合、直ちに修正済みバージョン（14.1-73.37以降、13.1-64.23以降など）へアップデートする
- アップデートまでに不審なセッションや設定変更がなかったか、管理者アカウントとログを点検する
- 自社で使っているVPN・ファイアウォール・ルーターなど「外に面した機器」の一覧を作り、サポート期限とファーム更新状況を確認する
- これらの機器の管理画面に多要素認証を設定し、管理アクセスは必要なIPのみに制限する
- ベンダーやJPCERT/CCの注意喚起を受け取る窓口を社内で決め、緊急パッチに即応できる体制を整える
NEWS 03
サンポー食品公表（各社報道）｜ 2026年9月28日公表
「焼豚ラーメン」のサンポー食品の公式サイトに不正アクセス、Webシステムの脆弱性を突かれ管理者権限を奪取・改ざん
即席麺「焼豚ラーメン」で知られるサンポー食品は2026年9月28日、同社の公式Webサイトが不正アクセスを受けたと公表しました。同社の調査によると、不正アクセスは2026年8月25日に確認され、第三者によって管理者権限が取得されたうえで、Webサイトが改ざんされていたことも確認されたとしています。改ざんの具体的な内容は公表されていません。原因については「Webシステムの脆弱性を悪用された可能性が高い」と判断しているとのことです。
個人情報の漏えいについては、公表時点では事実は確認されていないとしていますが、不正アクセス期間中にWebサイトのデータへアクセスできた可能性は否定できないとしています。同社はWebサイトを停止したうえで制作会社・システム会社とともに調査を行い、OSやソフトウェアの脆弱性管理・アップデートを実施したほか、追加のセキュリティ対策と従業員向けのセキュリティ研修を進めているとしています。
▌中小企業への影響
この事案は、顧客データを大量に持たない事業者でも「自社サイトそのもの」が狙われることを示しています。WordPressなどのCMSやプラグイン、サーバOSの更新を後回しにすると、既知の脆弱性から管理者権限を奪われ、サイトを改ざんされます。改ざんされたサイトは、閲覧者をマルウェア配布サイトへ誘導したり、偽の入力フォームを設置したりする踏み台にされ、気づかないうちに自社が加害側に回ることもあります。制作を外部に任せていても、公開後の脆弱性更新を「誰が・いつ行うか」が決まっていないケースは少なくありません。
▌推奨対応
- 自社サイトのCMS（WordPress等）・プラグイン・テーマ・サーバOSのバージョンを確認し、更新されていないものを最新化する
- サイトの保守契約で「脆弱性更新を誰が・どの頻度で行うか」を明確にし、放置された部分がないか制作会社に確認する
- 管理画面のログインに多要素認証を設定し、初期IDや推測されやすいパスワードを変更する
- 不要になった管理者アカウント・古いテスト用ページ・使っていないプラグインを削除し、攻撃対象を減らす
- サイト改ざんを早期に検知できるよう、ファイル改ざん検知やWAF（Webアプリケーションファイアウォール）の導入を検討する
編集部まとめ
今回の3件は、狙われた場所こそ違え「預けたもの・境界の機器・自社の土台を守れているか」という共通の問いを投げかけています。中小企業がまず着手すべきは、①福利厚生・勤怠など外部サービスに預けた従業員情報の棚卸し、②VPN・ゲートウェイなど外に面した機器のパッチ適用と棚卸し、③自社サイトのCMS・プラグイン・サーバの更新体制の確認の3つです。加えて今回のベネフィット・ワンの事例が示すように、「見つけた不具合を放置しない」仕組みも欠かせません。いずれも「誰が・いつ・どこまで」を決めておくだけで、多くの被害は入口で防げます。
参考情報
- 「ベネフィット・ワンが個人情報漏えいを公表｜対象は2,322企業・団体の13,460名」innovatopia（2026年9月30日公表）
- 「NetScaler ADC および NetScaler Gateway に脆弱性、世界中で脅威アクターが積極的に悪用との情報」ScanNetSecurity（JPCERT/CC 注意喚起 at260029）
- 「サンポー食品のWebサイトに不正アクセス 管理者権限取得とサイト改ざんを確認、個人情報漏えいは確認されず」セキュリティ対策Lab
