株式会社コバヤシは2026年1月21日、自社が管理するシステムへの不正アクセスにより、社員・取引先・関係者など計8,149件の個人情報が漏えいした事実を確認したとして「最終報」を公表しました。2025年11月に警視庁から通報を受けて調査を開始して以降、同社は外部専門機関と連携して原因究明と影響範囲の特定を進めており、サーバーから不正に取得された情報の一部が外部サイト上で公開されていることも確認したとしています。
発覚から最終報までの経緯（時系列）
同社の説明によると、2025年11月4日に警視庁サイバー犯罪対策課から「サーバーに不正プログラムが組み込まれ、内部情報が窃取されている可能性がある」と連絡を受け、当該サーバーをネットワークから切り離すなど初動対応を実施しました。その後、対策本部を設置し、外部専門機関とともに調査を開始しています。
調査は2025年12月17日に完了し、サーバーから情報が不正取得され、外部サイトに公開されている事実を確認したため、2026年1月21日に最終報として公表したとしています。
なお、ユーザー側で作成された過去記事（2025年12月12日付の続報相当）では、侵入経路や影響サーバーの特定が進み、個人情報を含むデータが外部流出した可能性がある旨が示され、フィッシング等への注意喚起が行われていました。
原因
最終報では、原因について「システムの一部の脆弱性をついた第三者からの不正アクセス」と説明しています。
漏えいが確認・懸念される個人情報は8,149件
同社が公表した漏えい対象と件数、含まれる情報は以下の通りです（個人情報1件ごとに、記載情報のすべてが必ず含まれるわけではないとしています）。
-
求人応募者：4,984件
氏名、住所、生年月日、連絡先、応募時に提示した情報など -
個人事業主（顧問・取引先）：35件
氏名、住所、税務申告で必要な情報（マイナンバー含まず）など -
個人事業主（顧問・取引先）：56件
氏名、住所、税務申告で必要な情報（マイナンバー含む）など -
社員（派遣社員含む）・退職者：3,074件
氏名、住所、電話番号、メールアドレス、生年月日、口座番号、報酬額、出身校、パスポート番号（2010年時点）、被保険者証番号、家族情報、基礎年金番号など
※派遣社員は「氏名、生年月日、派遣元企業名のみ」としています。
同社は、クレジットカード情報は含まれていないとしています。
対象者へ注意喚起
漏えいの可能性がある関係者には、2026年1月21日から電子メールまたは書面で連絡するとしています。連絡がかなわない場合は、今回の公表をもって代替するとしています。
一方で現時点では、流出情報の不正利用が確認された事象はないとしつつ、流出情報を悪用した不審なメール、電話、郵送物が発生する可能性があるとして、添付ファイルを開かない、個人情報を伝えないなどの注意を求めています。
World Leaksが犯行声明を発表
攻撃者側とみられるグループ「World Leaks」がリークサイトで犯行声明を掲出し「3.2TBを窃取した」と主張していた点や、侵入手口としてVPN機器の既知脆弱性が悪用された可能性に触れていました。
World Leaksは、2025年1月にHunters Internationalから改名し、以降はデータ窃取と脅迫に特化した攻撃を行っています。
ただし、こうした脅迫・リーク型グループの自己申告は誇張の可能性もあるため、最終報で同社が確認した範囲と切り分けて扱うことが重要です。今回のリリースは、少なくとも「外部公開の事実」までは同社が確認した内容として位置づけられます。
関連記事
ハウステンボス、約154万人分の個人情報漏洩の可能性-不正アクセスによるサイバー攻撃で 一部サーバー暗号化も、現在は復旧済み
テイン、ランサムウェアによるシステム障害から概ね復旧-ランサムウェアグループ Warlockが犯行声明
npmで発生したサプライチェーン攻撃、Prettier系ツールパッケージがマルウェアに汚染
日本毛織株式会社（ニッケ）、不正アクセスで従業員や顧客の個人情報漏洩の可能性
GPIF、CIOを騙るSNSやなりすましサイトを警告 暗号資産投資や給付金案内は「当法人とは無関係」
Googleが2025年のGoogle Playのセキュリティ対策を総括-規約違反アプリ175万件を公開前に阻止、開発者アカウント8万件超を停止
ChatGPTがフロリダ州立大学銃撃事件の計画を「共同立案」したとして遺族がOpenAIを提訴
アスクル、サイバー攻撃によるシステム障害のサービス復旧状況を公表- 直送品の一部再開、Web注文を段階的に拡大
東海大学、業務委託先サーバへの不正アクセスとランサムウェアによるサイバー攻撃で個人情報漏洩の恐れ
