ベネフィット・ワンの情報漏えい｜公表と続報のまとめ

何が起きたか

委託先への不正アクセス（「トク買」）

2026年10月21日、ベネフィット・ワンは業務委託先のフォレステックから、同社が運用するシステムが不正アクセスを受け、会員の個人情報が外部にダウンロードされたと報告を受けました。不正アクセスは10月14日〜20日に断続的に続き、24日〜25日にも追加で見つかっています。10月28日の発表によると、対象はクレディセゾンの会員向けサービス「トク買」の会員29,465人（退会した人を一部含む）で、氏名・フリガナ・生年月日・性別・郵便番号・メールアドレス・お客様番号・入退会の情報・会費の決済に使う管理番号です。クレジットカードの情報は持っておらず、漏えいはないとしています。

調べる中で、決済システムとの連携に使う認証の情報の一部も漏えいしたおそれが分かりました。管理番号と組み合わせると会費の決済を不正に処理できるおそれがあったため、10月26日に認証の情報を変え、この経路では不正な処理ができない状態にしたとしています。10月14日以降、不正な決済は確認されていないとしています。原因は調査中です（ベネフィット・ワンの2026年10月28日の発表）。

管理機能の設定の不備（「ベネワン・プラットフォーム」）

2026年9月30日、ベネフィット・ワンは、企業・団体の担当者向けの「ベネワン・プラットフォーム」のアンケート機能で、結果をダウンロードすると、ほかの企業・団体の従業員の情報の一部が表示される状態だったと公表しました。7月30日に利用企業の担当者からの連絡で分かったもので、対象は2,322の企業・団体の13,460名（社員番号・氏名・性別・生年月日・所属・役職・入退社の情報）です。原因は2025年6月の改修で生じたプログラムの条件設定の不備で、2025年10月の社内調査で不具合を知っていたものの、直す作業が適切に行われていなかったとしています（ベネフィット・ワンの2026年9月30日の発表）。

会社の対応

• 「トク買」は10月21日に止め、分かっている不正アクセスの経路を遮断。原因の究明と再発防止策ができてから再開するとしています
• 委託先と共同で調べ、第三者の専門調査機関も入れた。個人情報保護委員会に報告し、警察に相談
• 対象の会員にメールで個別に連絡し、専用の問い合わせ窓口を設けた
• アンケート機能の件では、ダウンロードした担当者にデータを消してもらい、消したことを確かめたとしています

この事例から中小企業が学べること

• 会員の管理や決済の連携を委託している場合、委託先のシステムに置いている情報と、決済に使う鍵（認証の情報）の置き場所を確かめておく
• 決済の連携に使う鍵は、事故のときにすぐ変えられる手順を用意しておく
• 改修のあとに、ほかの会社・ほかの人の情報が見えていないかを確かめるテストを入れる
• 見つけた不具合は、直したことを誰が確かめるかまで決めて記録する