JGC Digitalの不正アクセス 確報｜対象は45,194人で確定、二次被害なし

JGC Digital は2026年11月2日、データの集計・分析に使っていた BI ツール「Metabase」の脆弱性を突かれた不正アクセスについて、調査結果をまとめた確報を出しました（JGC Digital の発表）。 9月18日の第1報では登録アカウントの数で約6万件としていましたが、同じ人の複数のアカウントをまとめ、テスト用のデータを除いた結果、対象は45,194人で確定したとしています。 建設現場向けの「アザス」と衣類回収の「するーぷ」の利用者に関係します。

公表された内容

• 人数：合わせて45,194人（2026年11月2日の発表）。「アザス」24,705人（うちメールアドレスを含むのは7,618人）、「するーぷ」20,489人
• 情報の種類（アザス）：氏名、生年月日、性別、メールアドレス、経験年数、言語、役割、体温の情報、所属、元請・一次請の会社、プロジェクト名と期間、称賛の回数
• 情報の種類（するーぷ）：メールアドレス、生年月、性別、郵便番号、子どもの有無、職業、年収（任意）、興味のあること（任意）
• パスワード：同社では管理しておらず、漏えいはないとしています
• 原因：BI ツール「Metabase」の脆弱性が悪用されたこと。版や CVE 番号は公表されていません
• 二次被害：2026年10月28日の時点で、不正な利用などの二次被害は確認されていないとしています
• 外部の調査機関：確報には書かれていません

経緯

• 2026年9月16日：システムの異常を検知し、同日中に不正アクセスの経路を遮断。同日に Metabase の利用を終える
• 2026年9月18日：第1報。登録アカウントの数で約6万件（アザス約4万件、するーぷ約2万件）が漏えいしたと公表
• 2026年9月下旬：登録のメールアドレスあてに、対象の利用者へ順に個別の連絡
• 2026年10月28日：この時点で二次被害は確認されず
• 2026年11月2日：確報。対象を45,194人で確定

会社の対応

• 個人情報保護委員会へ報告したとしています
• メールアドレスの登録がない利用者には、お知らせのページと各サービスのサイトで案内するとしています
• 再発防止として、Metabase の利用の終了、利用の方針の厳格化に加え、脆弱性に対応する手順、監視とログの管理の強化、アクセスの権限を必要な範囲に絞ることに続けて取り組むとしています
• 同社をかたる不審なメールや電話への注意を呼びかけ、サービスごとに問い合わせ窓口を設けています

中小企業が今日からできること

• 分析ツールを棚卸しする：Metabase などの BI ツールやダッシュボードを使っていないか、部署ごとに確かめる。外から直接開ける状態なら、社内のネットワークか VPN・認証の仕組みの内側に移す
• 脆弱性に対応する手順を決める：使っているソフトの版を一覧にし、製品の会社のお知らせを誰が見て、修正版をいつまでに当てるかを決めておく
• 分析用のつなぎ方を見直す：分析ツールから本番のデータベースへ強い権限でつながず、必要な列だけを写したデータや、個人情報を外したデータを使う
• 件数を数え方ごとに把握する：漏えいのときに「アカウントの数」と「人数」がずれないよう、同じ人の重複やテスト用のデータを日ごろから整理しておく
• ログを残し、異常に気づける形にする：アクセスの記録を一定の期間残し、普段と違う大量の読み出しに気づける監視を入れる