ジェイアール東海高島屋、不正アクセスの対象件数が7,582人に拡大　管理ソフトの脆弱性悪用か

株式会社ジェイアール東海髙島屋は2026年7月24日、アルバイトスタッフ管理システムへの不正アクセスに関する追加調査結果を公表しました。5月の発表では、過去5年分のアルバイトスタッフ情報最大1,338件が影響を受けた可能性があるとしていましたが、詳細調査により、2015年9月13日以降の操作ログにも個人情報が残されていたことが判明し、対象者は合計7,582人となりました。外部専門機関の調査では、個人情報が外部へ流出した痕跡や事実は確認されていません。

• 不正アクセスの対象となるアルバイトスタッフは合計7,582人
• 2015年9月13日以降のスマートフォン受付サイトの操作ログに個人情報が残存
• 外部への個人情報流出を示す痕跡や事実は確認されていない
• サーバー管理ソフトウェアの脆弱性が悪用された可能性が高い
• 愛知県警と個人情報保護委員会へ追加調査結果を報告済み
• 顧客情報や営業情報を扱う社内システムへの影響はない

追加調査で対象者が7,582人に拡大

ジェイアール東海髙島屋は、2026年5月に発生したアルバイトスタッフ管理システムへの不正アクセスについて、外部専門機関による追加調査の結果を公表しました。

5月8日の最初の発表では、不正アクセスを受けたサーバーに接続されていたデータベースに、法令に基づいて保存していた過去5年分、最大1,338件のアルバイトスタッフ情報が含まれているとしていました。同社は発覚後、当時登録中だった人と過去5年間に勤務していた人へ個別に連絡しています。

その後の詳細調査で、アルバイト応募受付用サーバーには、スマートフォン受付サイトを利用した際の操作を記録するログデータが残っていたことが判明しました。ログの保存期間は2015年9月13日以降で、個人情報を含むデータを精査した結果、5月に公表した対象者を含めて合計7,582人が対象になったとしています。

公表上の対象人数は最大1,338人から7,582人へ大きく広がりました。ただし、対象者全員の情報が実際に外部へ持ち出されたという発表ではありません。

個人情報の外部流出を示す痕跡は確認されず

ジェイアール東海髙島屋は、現在までの外部専門機関による調査で、個人情報の外部流出を示す痕跡や事実は確認されていないと説明しています。

今回の7,582人という数字は、不正アクセスを受けたサーバー内に個人情報を含むデータが残されていたことから、影響を受けた可能性を考慮して特定された対象者数です。個人情報の流出が確認された人数ではない点に注意が必要です。

追加発表では、7,582人に関係する個人情報の具体的な項目別内訳は示されていません。一方、同社は対象者に対し、当該システムで使用したパスワードの変更や、アルバイト登録時に入力した緊急連絡先、紹介者への注意喚起を求めています。

この案内から、操作ログや関連データには本人の情報だけでなく、緊急連絡先や紹介者に関係する情報が含まれる可能性があることが分かります。ただし、7,582人全員について同じ種類の情報が保存されていたかは公表されていません。

サーバー管理ソフトウェアの脆弱性を悪用した可能性

外部専門機関の調査では、アルバイト応募受付用サーバーに導入されていたサーバー管理ソフトウェアのセキュリティ上の脆弱性が、攻撃者に悪用された可能性が高いと推測されています。

製品名、脆弱性の識別番号、影響を受けたバージョン、パッチの適用状況は公表されていません。攻撃者が脆弱性を悪用した時期や、不正アクセスを継続していた期間についても明らかにされていません。

5月の公表時には、アルバイト応募受付用サーバーに対する不正アクセスとランサムウェア感染の疑いが伝えられていました。既報については、ジェイアール東海高島屋、アルバイト応募サーバーへの不正アクセスとランサムウェアの感染疑いで取り上げています。

今回の追加調査結果では、侵入原因として管理ソフトウェアの脆弱性悪用が有力とされた一方、ランサムウェアの種類、暗号化された範囲、身代金要求の有無、攻撃者の特定について新たな情報は示されていません。

顧客情報や営業情報を扱うシステムへの影響はなし

不正アクセスを受けたアルバイトスタッフ管理システムは、同社内で利用する各種システムと接続関係のない、独立した外部システムとして運用されていました。

このため、今回の不正アクセスを経由して、同社の営業情報や顧客の個人情報を取り扱うシステムへ影響が及ぶことはないと説明しています。

百貨店の顧客情報、オンライン販売の会員情報、クレジットカード情報などが今回の対象になったとの発表はありません。対象はアルバイト勤務登録を行った人と、登録時に入力された可能性がある緊急連絡先や紹介者の情報です。

外部システムとして分離されていたことで、社内の営業・顧客系システムへの横展開を防げたとみられます。一方、ネットワークを分離していても、外部公開サーバー自体の脆弱性管理や保存データの削減が不十分であれば、当該システム内の個人情報は侵害リスクにさらされます。

愛知県警と個人情報保護委員会へ追加報告

ジェイアール東海髙島屋は、事案の発覚後、速やかに愛知県警へ相談するとともに、個人情報保護委員会へ報告しています。

外部専門機関の調査で新たに判明した内容については、2026年7月18日に愛知県警、7月23日に個人情報保護委員会へ追加報告しました。

個人情報保護委員会は、不正アクセスなど不正な目的で行われたおそれのある行為による個人データの漏えいまたはそのおそれや、対象者が1,000人を超える事案などを報告対象としています。本件では対象者が7,582人に拡大したことから、追加調査結果を関係機関へ報告した形です。

対象者はパスワードの使い回しと不審な連絡に注意

同社は、2015年9月13日以降にアルバイト勤務登録を行った人に対し、当該システムで使用していたパスワードと同一または類似するパスワードを他のサービスでも利用している場合、変更を検討するよう案内しています。

パスワードを変更する際は、該当するサービスごとに異なる文字列を設定し、多要素認証を利用できる場合は有効にしてください。パスワードの一部だけを変える使い回しでは、攻撃者に推測される可能性があります。

ジェイアール東海髙島屋は、本件に関連してパスワード入力や個人情報の提供を求めるメール、電話を行うことはないと明示しています。同社や人事担当者を名乗り、パスワードの再登録、本人確認、給与口座の確認などを求める連絡には応じないでください。

アルバイト登録時に緊急連絡先や紹介者の情報を入力した人は、該当する家族や知人にも事案を伝え、不審な電話、メール、SMSへの注意を促す必要があります。

情報システム部門への示唆

今回の事案は、業務委託先や外部環境で運用する採用・人事システムも、自社の重要な攻撃対象領域に含まれることを示しています。

情報システム部門は、外部公開サーバーに導入されているOSやアプリケーションだけでなく、サーバー管理ソフトウェア、監視ツール、バックアップ製品、リモート管理製品まで含めて資産を把握してください。管理用ソフトウェアは高い権限を持つため、脆弱性が悪用されるとサーバー全体を侵害される可能性があります。

委託先に運用を任せている場合も、脆弱性情報を誰が監視し、何日以内にパッチを適用するのかを契約や運用手順で明確にする必要があります。緊急性の高い脆弱性では、通常の月次メンテナンスを待たずに対応できる体制が求められます。

ログについては、調査や監査に必要な保存期間を確保する一方、個人情報そのものを長期間残さない設計が重要です。操作ログへ入力内容や認証情報が過剰に記録されていないかを確認し、マスキング、暗号化、自動削除を実施してください。

外部システムと社内の営業・顧客系システムを分離することは、侵害時の被害拡大を抑えるうえで有効です。ただし、分離だけで外部システム内の個人情報を守れるわけではありません。資産管理、パッチ管理、アクセス制御、ログ監視、保存データの最小化を組み合わせる必要があります。

対象者への通知では、外部流出の確認状況だけでなく、保存されていた情報項目、パスワード変更の対象、想定されるフィッシングやなりすましの手口を具体的に伝えることが、二次被害の防止につながります。

出典

• アルバイトスタッフ管理システム不正アクセスに関する追加調査結果のお知らせ – ジェイアール名古屋タカシマヤ
• 漏えい等の対応とお役立ち資料 – 個人情報保護委員会
• ジェイアール東海高島屋、アルバイト応募サーバーへの不正アクセスとランサムウェアの感染疑い – セキュリティ対策Lab
• 2026年5月 ランサムウェアの被害事例まとめ – セキュリティ対策Lab

関連記事

ジェイアール東海高島屋、アルバイト応募サーバーへの不正アクセスとランサムウェアの感染疑い-個人情報漏洩の恐れ 2026年5月 ランサムウェアの被害 事例 まとめ LINE ヤフーの個人情報漏洩に対する改善状況と今後の対応方針 -個人情報保護委員会が最新の取りまとめを公表 ナカバヤシ「REVEX」のサイバー攻撃で、問い合わせに関する個人情報 3,631件が漏えいした可能性 個人情報保護委員会が大手損保4社へ行政指導　保険代理店との間で保険契約者の個人情報を不適切に共有 サイバー攻撃の事例を解説 ランサムウェアの事例まとめ【最新版】国内・海外の重要被害を年別・業種別に解説 個人情報保護委員会、イセトーへのサイバー攻撃による約307万人の個人情報漏洩について行政指導を発表 Adobe Acrobat Chrome 拡張機能の脆弱性「HermeticReader」(CVE-2026-48294)、WhatsApp Webの会話内容を丸ごと窃取可能に-3億2,900万ブラウザに影響、修正済み

投稿者：三村

セキュリティ製品を手がける上場企業にて、SOC（セキュリティオペレーションセンター）運営およびWebアプリケーション脆弱性診断の営業に8年間従事。その後、システムエンジニアへ転身し、MDMや人事系SaaSの開発に携わる。
8年の実務経験と開発者としての知見を活かし、「セキュリティ対策Lab」ではダークウェブ調査、セキュリティインシデントの分析、および高度なセキュリティ対策解説の執筆・編集を統括しています。
LinkedIn(外部サイト)