チームスピリットの不正アクセス｜公表と続報のまとめ

何が起きたか

2026年11月6日、チームスピリットは、ソフトウェアの開発用サーバーの一部が第三者の不正アクセスを受け、個人情報などが外部に流出したと公表しました（チームスピリットの2026年11月6日の発表）。 10月27日に、第三者が開発用サーバーに不正ログインし、そこに保管されていた認証情報を使って、同社が使うクラウド環境からデータを取得したと確かめたとしています。原因は未知の脆弱性ではなく、開発用サーバーの設定と情報管理の不備が重なったことだとしています。 流出した個人情報は重複を除き28,824件（要配慮個人情報35件を含む）。TeamSpirit の契約企業の担当者・利用者の氏名・メールアドレス・ログイン ID など、契約企業の従業員の勤怠記録の一部、資料請求などをした人の企業の情報、同社の従業員と退職者の情報です。サービスの本番環境の勤怠・工数などのデータへの不正アクセスは確認されていないとしています。

会社の対応

• 10月27日のうちにサーバーを止め、外からの接続経路を遮断。流出が疑われる認証情報をおおむね無効にした
• 外部のセキュリティ専門機関・弁護士と連携して調べている
• 10月30日に個人情報保護委員会へ報告
• 11月6日から対象の人へ個別に連絡
• 開発環境の作り直しと監視の強化などの再発防止策を、改めて知らせるとしています

この事例から中小企業が学べること

• 開発用・検証用のサーバーも、本番と同じように外からの入口と管理者のアカウントを管理する
• サーバーにクラウドの認証情報を置きっぱなしにせず、権限を絞る
• 本番の顧客データを、開発や保守のための別の環境に置きすぎない
• クラウドからのデータの取得の記録を見て、ふだんと違う動きに気づけるようにする