スターバックス コーヒー ジャパンは2025年9月19日、同社が利用するBlue Yonder（ブルーヨンダー社）のSaaS「Work Force Management（WFM：シフト作成ツール）」に関連して、BY社のデータ転送システムが不正アクセスを受け、同社およびライセンシー、約7万人以上の従業員等の個人情報の一部漏洩したと公表しました。
漏洩した可能性のある個人情報
対象は従業員・退職者 約31,500名（9/16時点・暫定）で、漏洩項目は
従業員ID・漢字氏名（約31,500名）に加え、
一部（約50名）の生年月日・契約開始日・職位・店舗番号です。
※一般顧客の情報や住所・連絡先・金融情報・マイナンバー等は含まれていません。
2025年10月30日の追加調査結果
同社と同社とライセンス契約を締結している取引先の従業員（直営店舗とライセンス店舗の正社員、アルバイト）約40,700名分の従業員IDが漏洩していたことが追加で判明し合計約72,200名（9月19日公表 約31,500名と今回公表 約40,700名の合計）の従業員IDが漏洩。
一方追加で判明した情報に、シフト作成ツールに通常保管されるその他の情報（氏名、生年月日、職位、契約開始日）や住所や連絡先マイナンバーの漏洩していないとのこと
なお、ブルーヨンダーは2024年11月にランサムウェア被害を公表しており、同社プライベートクラウドのマネージド環境が影響を受けた経緯が報じられています。今回の公表は、委託先でのインシデントを起点とした二次的漏洩という、サプライチェーン攻撃による個人情報漏洩となります。
ブルーヨンダーへのサイバー攻撃について
ブルーヨンダーはパナソニック コネクトの米国 100%子会社であり大手スーパーマーケットや日用消費財サプライヤーが多数使用するサプライチェーンソフトウェアのプロバイダーです。
2024年11月にBlue Yonder(ブルー ヨンダー)がランサムウェア 攻撃が発生しました。
その後、2024年12月ランサムウェア攻撃グループ、Termite(ターマイト)が同社への不正アクセスとデータ窃取の犯行声明を発表しました。
なお、Termite(ターマイト)はイギリスの大手スーパー・マーケットのモリソンズやセインズベリーへのサイバー攻撃を主張していました。
関連記事
パナソニックコネクトの米独立子会社、ブルーヨンダーへTermiteが不正アクセスとデータ窃取を主張
西友、ブルーヨンダーへのサイバー攻撃で約3万人の従業員の個人情報が漏洩-ランサムウェア グループが犯行声明 発表済み
パナソニックコネクトの米独立子会社、ブルーヨンダーがランラムウェアによりサプライチェーンへ影響が発生
ランサムウェアの事例 【2025年】
ランサムウェアの事例 【2024年】
KADOKAWAがランサムウェア攻撃とサイバー攻撃で約25万人の個人情報漏洩を発表
【2025年】サイバー攻撃の事例
合成樹脂販売の株式会社コバヤシ、不正アクセスで8,149件の個人情報漏洩を確認-サイバー攻撃 グループ World Leaksが犯行声明
日本セラミックの不正アクセスによるサイバー攻撃、想定影響は約3万5,650名・約950社に縮小
