ギグワークスがサーバ不正アクセスの第3報を公表、扶養控除申請データベースの個人情報漏洩の可能性を否定できず|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年08月12日更新日時: 2026年08月12日

ギグワークス株式会社は2026年8月10日、2025年12月に確認した同社サーバへの不正アクセスについて、第3報を公表しました。外部専門調査会社によるフォレンジック調査の結果、個人情報ファイルの外部持出しや外部媒体への書出し等の痕跡は確認されていません。一方で、攻撃のあった扶養控除申請データベースサーバについて、きわめて短時間ながら攻撃者が個人情報を目視で閲覧可能な状態だった可能性は完全に否定できないとして、対象となる可能性がある人へ順次連絡するとしています。

ギグワークス不正アクセス第3報のサマリー

ギグワークスは2026年8月10日、2025年12月19日に確認したサーバ不正アクセスの第3報を公表しました。
外部専門調査会社による通信ログ、操作ログ等の調査では、個人情報ファイルの外部持出しや外部媒体への書出し等の痕跡は確認されていません。
扶養控除申請データベースサーバでは、攻撃者が個人情報を目視で閲覧可能だった可能性を完全に否定できないとしています。
閲覧可能性を否定できない情報には、氏名、住所、電話番号、メールアドレス、生年月日、給与・税務関連情報、扶養控除申請情報、銀行口座情報が含まれます。
第2報では情報漏えいの事実は確認されていないとされていましたが、第3報では念のため対象者へ順次連絡する段階に進んでいます。

項目	内容
公表日	第1報：2025年12月23日、第2報：2026年2月25日、第3報：2026年8月10日
被害企業	ギグワークス株式会社
発覚日	2025年12月19日
影響を受けた可能性があるシステム	扶養控除申請データベースサーバを含む一部サーバ
漏えい情報の内容	氏名、住所、電話番号、メールアドレス、生年月日、給与・税務関連情報、扶養控除申請情報、銀行口座情報
漏えい・持出しの確認状況	個人情報ファイルの外部持出しや外部媒体への書出し等の痕跡は確認されず。ただし、攻撃者による目視閲覧の可能性は完全に否定できない
不正利用の確認状況	現時点で本件に起因すると考えられる個人情報の不正利用等は確認されていない
対象人数	公表文上では明記なし
個人情報保護委員会への報告状況	第3報の公表文上では記載を確認できず
警察への対応	警察署へ相談し、適正な対処を検討している
対応状況	不正アクセスを受けたサーバの隔離、異常アクセス検知システムの導入、情報機器の監視体制強化、アクセス権限と認証方式の見直し、セキュリティ専門機関との連携

何が起きたか

ギグワークスは2025年12月19日、同社サーバに対する第三者による不正アクセスを確認しました。第1報では、外部専門機関へ調査を依頼し、被害の全容把握を進めていると公表していました。その後、2026年2月25日の第2報では、外部専門機関の協力のもとで事実関係を調査した結果、情報が外部へ漏えいした事実は確認されていないと説明していました。

今回の第3報では、外部の専門調査会社によるフォレンジック調査を継続した結果として、個人情報ファイルの外部持出しや外部媒体への書出し等の痕跡は確認されなかったとしています。ここだけを見ると、第2報の内容から大きく変わっていないようにも見えます。

ただし第3報では、攻撃のあった扶養控除申請データベースサーバに関して、きわめて短時間であっても攻撃者が個人情報を目視で閲覧可能な状態だった可能性を完全には否定できない、という説明が加わりました。このため、同社は念のため対象となる可能性がある人に順次連絡することにしています。

セキュリティ対策Labでは、第1報時点でギグワークス、不正アクセスを公表-12月19日にサーバ侵入を確認、外部専門機関と調査中として本件を取り上げています。第3報では、単なる侵害発生の公表から、閲覧可能性を否定できない個人情報の範囲と再発防止策が示された点が更新点です。

閲覧可能性を否定できない情報は給与・税務・銀行口座を含む

第3報で列挙された情報は、一般的な連絡先情報だけではありません。氏名、住所、電話番号、メールアドレス、生年月日に加えて、給与・税務関連情報、扶養控除申請情報、銀行口座情報が含まれています。対象となる情報の範囲は、登録内容によって異なるとされています。

この情報の組み合わせは、二次被害の観点では慎重に扱う必要があります。氏名や連絡先に加えて、勤務先との関係、給与や税務に関する情報、扶養控除申請に関連する家族構成を推測し得る情報、銀行口座情報が組み合わさると、本人確認を装った連絡、税務・給与手続を装うメール、口座確認を名目にしたフィッシング、家族情報に触れる不審な電話などにつながるおそれがあります。

個人情報ファイルの持出し痕跡が確認されていないことは重要な事実です。一方で、データベース内の情報を短時間でも閲覧できた可能性が残る場合、スクリーンショット、手作業の転記、画面経由の断片的な確認など、通常のファイル持出しログだけでは説明しきれないリスクが残ります。今回の第3報は、この差分を企業側がどのように扱うべきかを示す事例でもあります。

原因と侵入経路はどこまで分かっているか

第3報では、原因について、調査の結果として当社内の一部サーバに対する侵害が行われたとの報告を受けていると説明されています。ただし、侵入に悪用された具体的な脆弱性、認証情報の窃取有無、初期侵入経路、攻撃者の属性、滞在時間の詳細は公表文上では明らかにされていません。

この段階で重要なのは、原因が完全に特定されていない中でも、被害拡大防止と再発防止策を同時に進めることです。ギグワークスは、不正アクセスを受けたサーバをネットワークから切り離して隔離し、異常アクセスを検知するシステムの導入、情報機器の監視体制強化、社内システムへのアクセス権限と認証方式の抜本的見直し、セキュリティ専門機関との連携による体制見直しを実施済みとしています。

対象者が注意すべきこと

対象となる可能性がある人には、ギグワークスから順次連絡が行われるとされています。連絡を受けた人は、同社を名乗るメールや電話が本物かどうかを慎重に確認する必要があります。

特に、給与、税務、扶養控除、銀行口座に関係する情報が含まれる可能性があるため、税務手続、年末調整、給与振込、口座確認、本人確認、還付金、補助金などを装う連絡には注意が必要です。メール本文中のリンクから個人情報や認証情報を入力するのではなく、公式に公表された窓口や既知の連絡先から確認する対応が安全です。

銀行口座情報が含まれていた可能性がある場合でも、口座番号だけで直ちに預金が引き出されるとは限りません。ただし、他の個人情報と組み合わせることで、本人確認を装った詐欺や不審な電話の説得力が増す可能性があります。金融機関や勤務先、税務機関を名乗る不自然な連絡には、折り返し先を自分で調べて確認することが重要です。

情報システム部門への示唆

今回の事案で情報システム部門が注目すべき点は、外部持出しの痕跡がないことと、閲覧可能性を否定できないことが同時に成立している点です。インシデント対応では、ファイル転送や外部通信のログだけでなく、画面閲覧、検索、管理画面操作、データベースクエリ、特権アカウントの利用履歴まで確認できるよう、平時からログ設計をしておく必要があります。

扶養控除申請データベースのように、従業員本人だけでなく家族情報、給与・税務関連情報、銀行口座情報を扱うシステムは、顧客情報システムと同じか、それ以上に厳格な管理対象です。人事・総務・経理部門の業務システムは、外部公開サービスではないため後回しにされがちですが、漏えい時の影響は大きく、攻撃者にとっても価値の高い情報を含みます。

実務上は、少なくとも以下の観点を確認したいところです。