東芝テック「ShopCraft」で38万2123名の顧客情報が閲覧可能に、手順書への管理者アカウント誤記載が原因|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年08月06日更新日時: 2026年08月06日

東芝テック株式会社は2026年8月3日、同社が提供するクラウド型専門店向本部システム「ShopCraft」の一部サーバーで、特定のユーザー1社が同一サーバーに登録されていた他ユーザーの顧客情報を閲覧できる状態にあったと公表しました。

今回の事案は、インターネット上で不特定多数の第三者から閲覧可能だったものではなく、同社が作成した特定ユーザー向け手順書に管理者権限を有するアカウント情報を誤って記載したことが原因です。東芝テックは、対象となる顧客情報数を382,123名としています。

サマリー

東芝テックの「ShopCraft」で、他ユーザーの顧客情報を閲覧できる状態が一時的に発生
対象情報は氏名、生年月日、性別、住所、電話番号、メールアドレスで、対象者数は382,123名
原因は、特定ユーザー1社向けの手順書に管理者権限を有するアカウント情報を誤って記載したこと
東芝テックは当該アカウントの無効化とパスワード変更を実施し、現在は閲覧可能な状態を解消済み
個人情報保護委員会への報告を行い、対応について協議を進めている

項目	内容
公表日	2026年8月3日
被害・公表企業	東芝テック株式会社
対象サービス	クラウド型専門店向本部システム「ShopCraft」
発生時期	2026年3月26日
発覚・対策日	2026年6月23日
漏洩情報の内容	氏名、生年月日、性別、住所、電話番号、メールアドレス
対象となる顧客情報数	382,123名
原因	特定ユーザー1社向けの手順書に、管理者権限を有するアカウント情報を誤って記載
閲覧可能だった範囲	特定ユーザー1社が、同一サーバーに登録されていた他ユーザーの顧客情報を閲覧可能だった状態
外部公開の有無	インターネット上で不特定多数の第三者から閲覧可能だったものではない
不正利用・被害の確認状況	本件に起因するユーザー情報や顧客情報の閲覧事実、不正利用、被害は確認されていない
対応状況	当該アカウントの無効化、パスワード変更、関係ユーザーへの説明、個人情報保護委員会への報告を実施

東芝テックのShopCraftで何が起きたか

東芝テックが提供する「ShopCraft」は、専門店向けのクラウド型本部システムです。今回の公表によると、同サービスを構成する一部サーバーにおいて、特定のユーザー1社が、同一サーバーに登録されていた他ユーザーの顧客情報を閲覧できる状態にありました。

閲覧可能な状態になっていた情報は、当該サーバーに登録されていたユーザーの顧客情報です。項目は氏名、生年月日、性別、住所、電話番号、メールアドレスで、対象となる顧客情報数は382,123名とされています。

ただし、東芝テックは本件について、インターネット上で不特定多数の第三者から閲覧可能だったものではないと説明しています。さらに、当該特定ユーザーからは対象情報を閲覧していない旨の確認を得ており、本件に起因してユーザー情報や顧客情報が閲覧された事実、不正利用、被害は確認されていないとしています。

同社に関する過去の情報漏えい事案については、セキュリティ対策Labでも東芝テックが不正アクセスによる個人情報漏えいを発表として取り上げています。今回の事案は第三者による不正アクセスではなく、運用手順書へのアカウント情報の誤記載が起点になっている点で性質が異なります。

原因は管理者権限を持つアカウント情報の手順書への誤記載

東芝テックの説明では、同社が作成した特定ユーザー1社向けの手順書に、管理者権限を有するアカウント情報を誤って記載していたことが判明しています。

このアカウント情報を用いることで、本来はアクセスできない他ユーザーの顧客情報を閲覧できる状態になっていました。実務目線で見ると、単なる文書作成ミスだけでなく、手順書のレビュー、権限の分離、管理者アカウントの用途制限、テナント間のデータ分離といった複数の管理ポイントが重なる領域です。

特にクラウド型の業務システムでは、管理者権限を持つアカウントが広い範囲のデータへ到達できる設計になりがちです。システム運用上は必要な権限であっても、ユーザー向け文書や作業手順書に誤って記載されると、情報漏えいの有無にかかわらず、個人情報保護上の重大なリスクになります。

東芝テックの対応状況

東芝テックは、2026年6月23日に本件を発覚・対策したとしています。発覚後、速やかに当該アカウントの無効化とパスワード変更を実施し、現在は閲覧可能な状態は解消されています。

あわせて、関係するユーザーへの説明を実施し、個人情報保護法に基づき個人情報保護委員会への報告を行ったうえで、対応について協議を進めているとしています。インシデント・情報漏えい対応では、システム上の遮断措置だけでなく、影響を受ける可能性がある関係者への説明、規制当局への報告、再発防止策の具体化がセットで求められます。

同社は再発防止策として、情報管理体制の一層の強化、運用プロセスの改善、顧客情報の重要性と適切な取り扱いについて社内で改めて周知徹底するとしています。

クラウドサービスの権限管理で起きやすい論点

今回の事案は、クラウドサービスそのものが外部から無差別に閲覧されたものではありません。一方で、特定ユーザーに共有された手順書に管理者権限のアカウント情報が含まれていたという点は、SaaSやクラウド型業務システムの提供側、利用側の双方にとって重い教訓があります。

クラウドサービスでは、運用担当者やサポート担当者が管理者権限を扱う場面があります。障害対応、初期設定、データ移行、ユーザー支援の現場では、作業効率を優先して強い権限を持つアカウントが使われることもあります。しかし、そのアカウント情報が手順書、チャット、チケット、メール、共有フォルダに残ると、後から別の用途で参照された際に想定外のアクセス経路になりかねません。

セキュリティ対策Labでは過去にも、クラウド設定や共有範囲の問題としてセゾンテクノロジー、クラウドストレージ設定不備で個人情報漏洩の恐れを取り上げています。今回の東芝テックの事案も、外部攻撃ではなく、運用上の権限管理や情報共有プロセスが個人情報リスクにつながる典型例として捉える必要があります。

情報システム部門への示唆

情報システム部門が確認すべき点は、管理者権限を持つアカウント情報がどこに記載され、誰が参照できる状態にあるかです。運用手順書、作業メモ、問い合わせ対応履歴、社内Wiki、チケット管理システム、チャットログ、ファイル共有サービスに、管理者IDや初期パスワード、共通アカウントの情報が残っていないかを棚卸しする必要があります。

対策としては、ユーザー向けに渡す手順書と社内運用手順書を明確に分けること、外部共有前のレビュー項目に認証情報や管理者権限の記載有無を入れること、管理者アカウントを共用せず個人別アカウントと多要素認証に寄せることが重要です。特権ID管理の仕組みを導入している企業でも、例外的な作業用アカウントや初期構築時のアカウントが文書化されたまま残っているケースは珍しくありません。

今回のように氏名、住所、電話番号、メールアドレスが対象になると、仮に第三者の手に渡った場合、フィッシングメール、なりすまし連絡、電話によるボイスフィッシング、郵送物を使った詐欺などの二次被害に悪用されるおそれがあります。本件では閲覧事実や不正利用は確認されていないとされていますが、対象情報の組み合わせを見る限り、情報システム部門は顧客対応部門やコールセンター部門と連携し、不審な問い合わせや顧客を装った連絡への注意喚起を準備しておくべきです。

サービス提供企業側では、テナントをまたいだ顧客情報へのアクセスが可能な管理者権限について、平時から利用目的、利用者、利用時間、操作ログ、承認フローを管理する必要があります。利用企業側でも、自社が利用するクラウドサービスについて、管理者権限の取り扱い、サポート時のデータアクセス範囲、インシデント発生時の通知基準を契約や運用手順で確認しておくことが現実的な対策になります。