HacobuがMOVO Berth貸与タブレットを紛失、最大5万384件の個人情報漏洩のおそれ

株式会社Hacobuは2026年7月30日、トラック予約受付サービス「MOVO Berth」で事業者へ貸与し、返却を受けたタブレット端末の一部について、同社の管理過程で紛失し、所在を確認できない状態だと公表しました。端末の返却時の状態によっては、第三者がMOVO Berthへログインし、ドライバーが入力した氏名、電話番号、メールアドレス、所属会社名などを閲覧できる可能性がありました。対象となる可能性がある情報は最大5万384件です。Hacobuはログイン用パスワードを変更し、個人情報保護委員会への報告と対象者への個別連絡を進めています。現時点で個人情報漏洩や不正利用などの二次被害は確認されていません。

Hacobuの貸与タブレット紛失と最大5万384件の個人情報漏洩のおそれに関するサマリー

• Hacobuは2026年7月30日、返却済みの貸与タブレット端末の一部を管理過程で紛失したと公表しました
• 対象端末はトラック予約受付サービス「MOVO Berth」で使用されていました
• 端末の返却時の状態によっては、第三者がMOVO Berthへログインできる可能性がありました
• 閲覧される可能性がある情報は、ドライバーの氏名、電話番号、メールアドレス、所属会社名などです
• 住所、口座情報、クレジットカード情報はMOVO Berthで扱っておらず、対象に含まれません
• 対象となる可能性がある情報は最大5万384件です
• 最大5万384件は閲覧可能だった可能性のある上限であり、実際に個人情報漏洩を確認した件数ではありません
• 所在不明となったタブレット端末の台数は公表されていません
• 紛失日、発覚日、所在を確認できない期間も公表されていません
• 端末のOS、画面ロック、ストレージ暗号化、MDM登録、遠隔初期化の状況は明らかにされていません
• HacobuはMOVO Berthのログイン用パスワードを変更しました
• 個人情報保護委員会へ報告済みです
• 貸与先企業への連絡は完了し、対象となるドライバーや利用者へ個別に連絡しています
• 現時点で個人情報漏洩や不正使用などの二次被害は確認されていません
• 再発防止策として、貸与端末の受領、返却、保管、廃棄、初期化、台帳管理を強化します

項目	内容
公表日	2026年7月30日
公表企業	株式会社Hacobu
対象サービス	MOVO Berth
事案の内容	返却済み貸与タブレット端末の一部をHacobuの管理過程で紛失
所在不明端末の台数	未公表
紛失日・発覚日	未公表
想定される影響	端末の返却時の状態によっては第三者がMOVO Berthへログインし、個人情報を閲覧できた可能性
対象となる可能性がある件数	最大5万384件
個人情報漏洩のおそれがある情報	氏名、電話番号、メールアドレス、所属会社名など
対象外の情報	住所、口座情報、クレジットカード情報
パスワード	個人情報の対象項目としての記載なし
個人情報漏洩	現時点で確認されていない
二次被害	現時点で確認されていない
端末の画面ロック・暗号化	未公表
MDM登録・遠隔初期化	当該端末への適用状況は未公表
初動対応	MOVO Berthのログイン用パスワード変更
個人情報保護委員会への報告	実施済み
対象者への通知	貸与先企業への連絡完了、対象ドライバー・利用者へ個別連絡
再発防止策	管理ルールの明確化、端末台帳の強化、返却端末の初期化・情報消去・ステータス更新の徹底

返却済みタブレットをHacobuの管理過程で紛失

所在不明となったのは、MOVO Berthを利用する一部の事業者へHacobuが貸与し、その後、返却手続きが行われたタブレット端末です。

貸与先の事業者やドライバーが使用中に紛失したのではなく、Hacobuが返却を受けた後の管理過程で紛失したと説明されています。

返却を受けた場所から保管場所へ移す途中で所在不明になったのか、倉庫や社内で保管中に管理記録と実物が一致しなくなったのか、廃棄や再利用の工程で失われたのかは公表されていません。

紛失した端末の台数、機種、OS、端末識別番号、貸与先企業の数も明らかにされていません。

端末の所在を確認できない期間が長いほど、第三者による使用の有無を調べる際に、端末側のログ、サービス側のログ、MDMの履歴、保管記録を突き合わせる必要があります。

Hacobuは返却端末の受領、保管、初期化、廃棄などの管理プロセスに課題があったとして、端末台帳とステータス管理を強化する方針です。

返却時の状態によってはMOVO Berthへログイン可能

Hacobuは、紛失した端末の返却時の状態によっては、第三者がMOVO Berthへログインできるおそれを否定できなかったと説明しています。

ただし、具体的にどのような状態だったのかは公表されていません。

考えられる確認項目には、ログインセッションが残っていたか、ブラウザーへIDやパスワードが保存されていたか、端末の画面ロックが有効だったか、端末利用者を切り替えられたかなどがあります。

今回の原因が、ログイン状態の維持、保存パスワード、画面ロックの不備のいずれかだったと断定することはできません。

Hacobuは現在、ログイン用パスワードを変更しています。

パスワード変更によって、保存されていた古い認証情報からの新規ログインは防げる可能性があります。一方、既存セッションがパスワード変更後も有効な設計であれば、セッションの強制失効が別途必要です。

公表資料では、既存セッションの失効、端末単位のアクセス停止、遠隔ログアウト、接続元制限などを実施したかは説明されていません。

最大5万384件は個人情報漏洩の確定件数ではない

第三者に閲覧された可能性を否定できない情報は、最大5万384件です。

この数字は、所在不明の端末を通じて閲覧可能だった可能性がある情報の最大件数であり、第三者が実際に閲覧した件数や、外部へ持ち出した件数ではありません。

Hacobuは現時点で、対象情報の外部流出を確認していません。

そのため、「5万384件の個人情報が漏洩した」と断定するのは正確ではありません。

今回の事案は、最大5万384件の個人情報漏洩のおそれがある事案として扱う必要があります。

対象件数が、重複を除いたドライバーの実人数なのか、予約や受付単位のレコード件数なのかは公表されていません。

MOVO Berthでは同じドライバーが複数回予約・受付を行うことが考えられるため、最大5万384件がそのまま5万384人を意味するとは限りません。

氏名・電話番号・メールアドレス・所属会社名などが対象

閲覧される可能性がある情報は、MOVO Berthの予約・受付時にドライバーが入力した情報です。

対象となる可能性がある情報は次のとおりです。

• 氏名
• 電話番号
• メールアドレス
• ドライバーの所属会社名
• その他、予約・受付時に入力された情報

メールアドレスは、登録があった場合のみ対象です。

住所、口座情報、クレジットカード情報はMOVO Berthで扱っていないため、今回の対象には含まれていません。

パスワードも漏洩対象の個人情報としては記載されていません。

一方、氏名、電話番号、所属会社名、物流拠点の利用情報が組み合わされると、運送会社や物流施設を装ったなりすましに利用される可能性があります。

ドライバーの連絡先は、配車変更、入場予約、待機場所、荷役開始、受付番号など、業務上すぐに対応が必要な連絡へ使われます。

攻撃者が実際の所属会社名を知っていれば、一般的な迷惑メールより信頼されやすい文面を作れる可能性があります。

MOVO Berthは物流拠点の予約・受付サービス

MOVO Berthは、物流拠点の荷待ち・荷役時間の削減や、入出荷業務の効率化を支援するトラック予約受付サービスです。

ドライバーは物流拠点に設置されたタブレット端末や、自身のスマートフォンなどを使って受付を行います。

拠点担当者は受付状況を確認し、トラックのバースを割り当てます。SMSや専用アプリを使ったドライバーの呼び出しにも対応しています。

物流現場では、共用タブレットを入口や受付場所へ固定設置する運用があります。

共用端末は多くの利用者が触れるため、個人へ貸与する業務端末とは異なる管理が必要です。

サービス利用中は、ドライバーが迷わず受付できるようログイン状態を維持する運用が選ばれる場合があります。一方、端末を撤去・返却する段階では、ログアウト、パスワード消去、端末初期化、管理ステータス変更を確実に行う必要があります。

今回の公表は、返却後の端末管理が個人情報漏洩のおそれにつながったことを示しています。

所在不明端末のセキュリティ状態は未公表

HacobuはMOVOのセキュリティ対策として、MDMによる端末のクラウド管理・制御、IDaaSを利用した多要素認証とシングルサインオン、通信と保存情報の暗号化などを案内しています。

ただし、今回所在不明となった貸与タブレットがMDMへ登録されていたか、遠隔ロックや遠隔初期化が可能だったかは公表されていません。

Hacobuが一般的な社内端末向けに公表しているセキュリティ対策と、今回の貸与タブレットへ実際に適用されていた対策は分けて考える必要があります。

公表されていない主な確認項目は次のとおりです。

• タブレットの台数と機種
• OSとバージョン
• 画面ロックの有無
• ロック解除用コードの強度
• ストレージ暗号化の状態
• MDMへの登録状況
• 遠隔ロックの実施状況
• 遠隔初期化の実施状況
• 端末の最終通信日時
• 位置情報の取得可否
• ブラウザーに保存されていた情報
• MOVO Berthのセッション有効期限
• 紛失後のアクセスログ
• 第三者によるログイン試行の有無

続報では、これらの技術的な確認結果と、実際のアクセス有無が焦点になります。

個人情報保護委員会へ報告

Hacobuは、本件が個人情報保護法上の報告要件に該当すると判断し、個人情報保護委員会へ報告しました。

個人情報保護委員会は、個人データの漏洩または漏洩のおそれがあり、個人の権利利益を害する可能性がある場合、報告と本人通知を求めています。

1,000人を超える個人データの漏洩等も報告対象です。

今回の対象は最大5万384件であり、Hacobuは対象となる企業、ドライバー、利用者へ通知しています。

貸与先企業への連絡は完了しており、対象となるドライバーや利用者には、公表とあわせて個別連絡を進めています。

個人情報保護委員会への報告日、速報・確報の区分、確定した対象人数は公表されていません。

利用者に現時点で必要な操作はない

Hacobuは、対象となるドライバーや利用者に対し、現時点で対応が必要な事項はないと説明しています。

MOVO Berthのログイン用パスワードはHacobu側で変更されています。

利用者個人のパスワードや、他サービスのパスワードが漏洩したとの発表ではありません。

一方、本件に便乗した不審なSMSやメールには注意が必要です。

次のような連絡は、Hacobuや物流拠点になりすました可能性があります。

• MOVO Berthの再登録を求める
• 予約情報の確認としてURLを開かせる
• パスワード変更を求める
• 配車や入場時刻が変更されたと通知する
• 荷物の再配達や追加料金を案内する
• 電話番号や所属会社名の再入力を求める
• 本人確認としてSMS認証コードを聞き出す
• 不正アクセス調査を理由に端末操作を求める
• アプリの更新やインストールを案内する
• 物流拠点の担当者を装い、添付ファイルを開かせる

不審な連絡を受けた場合は、SMSやメールへ返信せず、Hacobuまたは利用している物流拠点の正規窓口から確認してください。

ドライバーを狙うフィッシングと業務妨害のリスク

物流現場では、予約時刻や入場順序の変更が業務に直結します。

攻撃者がドライバーの氏名、電話番号、所属会社名を把握している場合、「受付時刻が変更された」「別ゲートへ移動してほしい」など、現場で対応を急がせる連絡を作る可能性があります。

偽の連絡によって、フィッシングサイトへ誘導されるだけでなく、誤った拠点への移動、入場の遅れ、配送スケジュールの混乱につながるおそれもあります。

所属会社の配車担当者や荷主を装い、次の運行指示を聞き出すソーシャルエンジニアリングにも注意が必要です。

連絡先情報が実際に外部へ漏洩した事実は確認されていませんが、対象者は当面、不審なSMS、電話、メールの内容を別経路で確認してください。

端末返却時は初期化とアカウント無効化を同時に行う

Hacobuは再発防止策として、返却・回収端末の初期化、情報消去、ステータス更新を同社側で確実に行う運用を徹底するとしています。

貸与端末の返却では、物理的な受領とシステム上の無効化を同じ作業として管理することが重要です。

端末を受け取っただけで処理を完了とせず、次の項目を確認します。

• 端末の製造番号と資産番号が一致している
• 利用者と貸与先が台帳上で解除されている
• クラウドサービスからログアウトしている
• 保存パスワードとブラウザー情報を削除している
• 認証セッションをサーバー側で失効している
• 端末を初期化している
• MDM上のステータスを返却済みへ変更している
• SIMや通信契約を停止している
• 再利用・保管・廃棄の行き先を記録している
• 受領者と確認者が記録へ署名している

返却、初期化、保管を別の担当者や委託先が行う場合は、各工程の受け渡し記録が必要です。

「返却手続き済み」でも実物の所在が確認できなければ、資産台帳上の状態と現実の状態が一致していません。

MDMだけでは端末管理は完結しない

MDMを利用すれば、端末の設定配布、画面ロック、アプリ制御、遠隔ロック、遠隔初期化、準拠状況の確認などが可能です。

一方、MDMを導入しているだけでは、端末の物理的な所在や返却工程を自動的に保証できません。

端末が電源オフ、通信圏外、初期化済みなどの状態では、遠隔命令が直ちに実行されない場合があります。

端末がMDMから削除された後に紛失が判明すれば、遠隔管理できなくなる可能性もあります。

返却時には、物理的な検品が完了するまでMDM登録を維持し、初期化と保管場所への格納を確認した後に登録解除する運用が必要です。

端末台帳には、MDMの端末ID、製造番号、SIM、貸与先、受領日、初期化日、保管場所、廃棄証明などを関連付けます。

疑似端末紛失事案

セキュリティ対策Labでは、日本製鉄健康保険組合の委託先が個人情報を含むノートPCを紛失した事案を取り上げています。

この事案では、端末の所在だけでなく、端末内に保存された情報の把握や、委託元と委託先の報告内容の整合性が課題になりました。

札幌市職員が業務用ノートPCを紛失した事案では、端末内へ個人情報を直接保存しない仕組みと、紛失判明後の通信遮断が個人情報漏洩の防止に寄与しました。

Hacobuの事案は、端末内の保存情報だけでなく、クラウドサービスへのログイン状態が残るリスクを示しています。

端末をシンクライアントとして使っていても、セッションが有効であればクラウド上の個人情報へアクセスできるため、紛失時には端末とクラウドの両方を無効化する必要があります。

情報システム部門への示唆

今回の事案では、貸与先から返却された後の管理工程で端末が所在不明になりました。

端末管理では、貸し出し中だけでなく、返却、保管、再利用、廃棄までを一つのライフサイクルとして管理する必要があります。

情報システム部門は、次の対策を確認してください。

• 全端末へ一意の資産番号を付与する
• 製造番号、MDM ID、SIM、貸与先を台帳で関連付ける
• 貸与、返却、初期化、保管、再利用、廃棄のステータスを定義する
• ステータス変更時に実物と台帳を照合する
• 返却時に複数担当者で検品する
• 保管場所への入出庫を記録する
• 棚卸頻度を端末数とリスクに応じて設定する
• 端末返却時にクラウドセッションを強制失効する
• 保存パスワードとブラウザー情報を削除する
• 初期化完了までMDM登録を維持する
• 画面ロックとストレージ暗号化を必須化する
• 一定時間操作がなければセッションを終了する
• 共用端末には必要最小限の情報だけを表示する
• 過去の予約や他拠点情報へアクセスできる範囲を制限する
• 接続元IPアドレスや端末証明書でアクセスを制限する
• 端末単位でアクセスを失効できる設計にする
• 紛失報告後にログイン履歴と閲覧履歴を即時調査する
• 端末の遠隔ロックと初期化を定期的に訓練する
• 廃棄時に情報消去証明と廃棄証明を保管する
• 委託倉庫や物流会社との責任分界を契約へ明記する

貸与端末では、利用者向けアカウントを複数端末で共用しないことも重要です。

端末ごとに識別可能なアカウントや証明書を付与すれば、所在不明になった端末だけを無効化し、他の受付端末への影響を抑えられます。

パスワードを全体で共有する運用では、1台の紛失によって多数の端末で認証情報を変更する必要が生じます。

サービス側では、パスワード変更時に既存セッションを失効できるか、管理者が端末単位でログアウトさせられるかを確認してください。

共用タブレットは、日常的には物流現場の効率化に役立ちますが、返却後もクラウドサービスへの入口として残ります。

資産台帳、MDM、認証基盤、サービスログを連携し、実物の所在と論理的なアクセス権限を同時に管理することが、同種事案の防止につながります。

出典

• 当社サービス利用に関わるタブレット端末の所在不明について – 株式会社Hacobu
• MOVO Berth トラック予約受付サービス – 株式会社Hacobu
• MOVO 安心のセキュリティ – 株式会社Hacobu
• 漏えい等報告・本人への通知の義務化について – 個人情報保護委員会
• 日本製鉄健康保険組合、委託先のノートPC紛失で個人情報漏洩の可能性 – セキュリティ対策Lab
• 札幌市職員、業務用ノートPCを紛失し個人情報漏洩は確認されず – セキュリティ対策Lab
• 関西医科大学附属病院、患者約1,800人の個人情報入りUSBメモリを一時紛失 – セキュリティ対策Lab