ウェルネス・コミュニケーションズの子会社の販売サービスの提供元への不正アクセス｜公表のまとめ

何が起きたか

2026年11月5日、ウェルネス・コミュニケーションズ（東証グロース）は、子会社のあしたのチームが OEM で仕入れて販売している組織サーベイ「あしたのサーベイ」の提供元、ラフールのシステムが不正アクセスを受け、顧客企業3社の209人の情報が不正に取得されたことが確認されたと公表しました（ウェルネス・コミュニケーションズの2026年11月5日の適時開示）。 対象は、氏名・所属部署・従業員番号・サーベイの回答・ショートサーベイの結果・ストレスチェックの結果などです。ラフールが10月27日に不審なアクセスを検知し、不正に使われた認証情報を止めて接続元の IP を遮断したうえで、10月30日にあしたのチームに報告したとしています。 同社のグループ自身のシステムへの不正アクセスは確認されておらず、二次被害も確認されていないとしています。

会社の対応

• 顧客企業への個別の連絡
• ラフールと原因の究明と再発防止策を進めるとしています
• 2027年3月期の業績への影響は確認されていないとしています

この事例から中小企業が学べること

• 社員のアンケート・ストレスチェックなど、慎重に扱う情報を預けるサービスを一覧にし、提供元（OEM の元の会社）まで確かめる
• 社員の情報を外のサービスに入れるときは、氏名や従業員番号を入れなくて済む方法がないかを確かめる
• サービスの会社から事故の連絡が来たときに、社員への説明と報告の判断をする担当を決めておく