チームスピリットに不正アクセス｜開発用サーバーから2.8万件が流出

勤怠管理・工数管理などのクラウドサービス「TeamSpirit」を提供するチームスピリットは2026年11月6日、ソフトウェアの開発用サーバーの一部が第三者の不正アクセスを受け、個人情報などが外部に流出したと公表しました（チームスピリットの2026年11月6日の発表）。 流出した個人情報は、確認できた範囲で重複を除き28,824件で、要配慮個人情報35件を含むとしています。 TeamSpirit を契約している（していた）会社の担当者・利用者、資料請求などをした人、同社の従業員と退職者に関係します。

公表された内容

• 経緯：2026年10月27日、第三者が開発用サーバーに不正ログインし、そのサーバーに保管されていた認証情報を使って、同社が使うクラウド環境からデータを取得したと確かめた（2026年11月6日の発表）
• 原因：未知の脆弱性ではなく、開発用に運用していたサーバーの設定と情報管理の不備が重なって起きたとしています。手口の詳細は、まねされるのを防ぐため公表を控えるとしています
• 契約企業の一部：担当者・利用者の氏名・メールアドレス・ログイン ID・アカウント情報、問い合わせや依頼の記録の一部、サービスの提供と維持のために持っていた契約企業の従業員の勤怠記録の一部、企業の情報
• 資料請求・問い合わせ・セミナーの申込者の一部：識別番号と会社名などの企業の情報
• 従業員と退職者：氏名・社員番号・業務用メールアドレス・入社日と退職日・誕生日（月日）・社内システムのアカウント情報・業務管理システムの記録
• 件数：重複を除き28,824件（要配慮個人情報35件を含む）
• 影響のないもの：契約企業がサービスの上で使っている勤怠・工数などのデータへの不正アクセスは確認されていないとしています。流出した勤怠記録は、本番の環境とは別に保管していたものです
• 悪用：11月6日の時点で、不正利用やネットでの公開は確認されていないとしています

会社の対応

• 10月27日のうちにサーバーを止め、外からの接続経路を遮断
• 流出が疑われる認証情報の無効化はおおむね終えたとしています
• 外部のセキュリティ専門機関の支援を受け、弁護士と連携して調べている
• 個人情報保護委員会への報告は10月30日に済ませた
• 11月6日から対象の人へ個別に連絡。連絡先が分からない人には、このお知らせで代えるとしています
• 再発防止策は、セキュリティの管理体制の強化・開発環境の作り直し・監視の強化を中心に検討し、改めて知らせるとしています

中小企業が今日からできること

• 開発用・検証用のサーバーを見直す：外から入れる状態になっていないか、使っていないものが動き続けていないかを確かめ、要らないものは止める
• サーバーにパスワードやアクセスキーを置きっぱなしにしない：クラウドの認証情報は、設定ファイルやメモに書かず、決まった保管の仕組みで管理する。権限は必要なものだけにする
• 本番と同じ顧客データを開発環境に置かない：テストに顧客の実データが要るときは、項目を減らす・別の値に置き換える
• クラウドの操作の記録を見る：ふだん使わない場所や時間からのデータの取得があれば気づけるよう、記録と通知を有効にする
• TeamSpirit を使っている会社は：同社からの個別の連絡を確かめ、同社を名乗る不審なメールのリンクを開かないよう社内に伝える