チームスピリット情報流出2万8824件と本番環境の非対象を分ける

当事者の説明

重複を除く2万8824件に要配慮個人情報35件を含む

チームスピリットは、2026年10月27日に第三者がソフトウェア開発用サーバーへ不正ログインし、そこに保管された認証情報を用いて、同社が利用するクラウド環境からデータを取得したと確認しました。流出した個人情報は、現時点で確認できた範囲で重複を除き28,824件です。

この中に要配慮個人情報35件が含まれると説明し、対象者へ個別連絡するとしています。28,824件すべてが要配慮個人情報という意味ではなく、全対象者に同じ項目が含まれるわけでもありません。会社は対象者ごとに流出項目を知らせるとしています。

• 資料 01株式会社チームスピリット：不正アクセスによる情報漏えいに関するお詫びとお知らせ

当事者の説明

契約先関係者、問い合わせ者、従業員・退職者で項目が異なる

対象は、現在または過去の契約先の担当者・利用者、資料請求・問い合わせ・セミナー申込者、同社の従業員・退職者です。氏名、メールアドレス、ログインID、問い合わせ記録、会社情報、社員番号、入退社日、業務管理システムの記録など、区分により項目が異なります。

一部には、サービス提供・維持のために同社管理下の別環境で保管していた顧客企業従業員の勤怠記録も含まれます。契約先の全従業員やすべての勤怠記録が対象だとする記載ではなく、対象者と項目は個別連絡で確認する必要があります。

• 資料 01株式会社チームスピリット：不正アクセスによる情報漏えいに関するお詫びとお知らせ

当事者の説明

顧客が本番サービスで運用する勤怠・工数データへの侵入は未確認

同社は、お客様がTeamSpiritの本番サービス上で運用する勤怠・工数等のデータへの不正アクセスは、現時点で確認していないと説明しています。今回流出した勤怠記録は、本番環境とは別に、サービスの提供・維持を目的として同社管理下の環境に保管していた一部です。

本番環境への侵入を確認していないことは、開発・維持環境から確認された流出を小さくする理由にはなりません。反対に、製品名だけから全顧客の勤怠・工数データが流出したと断定することもできません。どの環境に何を複製・保存していたかの説明が重要です。

• 資料 01株式会社チームスピリット：不正アクセスによる情報漏えいに関するお詫びとお知らせ

当事者の説明

設定と情報管理の不備が重なったと説明し、認証情報を無効化

会社は、未知の脆弱性ではなく、開発用サーバーの設定と情報管理の不備が重なったことが原因だと説明しました。不正アクセスの手法は模倣攻撃を防ぐため公表していません。10月27日にサーバーを停止し、外部接続を遮断しました。

流出が疑われる認証情報の無効化は概ね完了し、外部専門機関の支援、個人情報保護委員会への報告、対象者への順次連絡を進めています。具体的な再発防止策は、セキュリティ管理体制、開発環境、監視体制の強化を中心に策定中です。

• 資料 01株式会社チームスピリット：不正アクセスによる情報漏えいに関するお詫びとお知らせ

未確認の点

個人別の項目、設定不備の範囲、連絡不能者、二次被害は未確認

2026年11月7日の確認時点で、28,824件の対象者区分別内訳、個人ごとの流出項目、要配慮個人情報35件の具体的内容、設定と情報管理の不備の詳細、認証情報の悪用範囲、全体調査の完了時期は公開資料だけでは確定できません。

会社は、連絡先を確認できない方には公開案内を個別連絡に代えるとしています。対象者全員への到達状況も未確認です。二次被害や外部公開は現時点で確認していないと説明していますが、JBJはサーバー、クラウド環境、流出データ、通知を独立確認していません。

• 資料 01株式会社チームスピリット：不正アクセスによる情報漏えいに関するお詫びとお知らせ

確認の範囲

このコラムの確認範囲

本稿は2026年11月7日に、チームスピリットの11月6日付発表、IPAの10月26日付対処案内と11月2日付相談窓口強化の発表を確認しました。JBJは同社、契約先、利用者、従業員、調査機関、関係当局へ直接取材しておらず、サーバー、流出データ、認証情報、通知、二次被害を独立確認していません。掲載画像は説明用イメージです。

• 資料 01株式会社チームスピリット：不正アクセスによる情報漏えいに関するお詫びとお知らせ
• 資料 02独立行政法人情報処理推進機構：自分の個人情報等が漏えいした際の『対処』と『日頃の対策』
• 資料 03独立行政法人情報処理推進機構：不正アクセスによる個人情報漏えい等の被害にあわれた方の相談受付強化について

JBJの見解

本番環境との区別を保ち、維持目的の複製と認証情報管理を説明する

企業には、開発・維持のために本番外へ保存した情報の必要性、保管期間、アクセス権、認証情報の管理、要配慮個人情報を含む理由を説明する責任があります。設定と情報管理の不備を認めた以上、再発防止策の実施状況と安全性の検証を具体的に示す必要があります。

正当な批判と改善要求を、全顧客の本番データが流出したという未確認の断定へ広げないことも重要です。対象者は会社からの個別通知で項目を確認し、不審な連絡を公式窓口と照合します。IPAは、漏えいした情報の種類を確認し、項目ごとに対処するよう案内しています。

• 資料 01株式会社チームスピリット：不正アクセスによる情報漏えいに関するお詫びとお知らせ
• 資料 02独立行政法人情報処理推進機構：自分の個人情報等が漏えいした際の『対処』と『日頃の対策』

JBJの見解

契約・利用時期、公式通知、認証変更と不審な連絡を記録する

対象の可能性がある方は、TeamSpiritの契約・利用・問い合わせ・セミナー参加・在籍の時期、会社から届いた通知、通知された情報項目、必要な認証変更を整理してください。パスワード、勤務内容、健康情報などの要配慮情報、第三者の勤怠記録を公開投稿や相談本文へ載せないでください。

不審なメール、電話、SMSが届いた場合は、送信元、日時、要求内容、アクセスや入力の有無を保存し、メッセージ内ではなく公式サイトの窓口から確認します。IPAは一般利用者向け相談窓口を強化しています。契約・労務・個人情報の問題は、それぞれ適切な専門窓口にも相談してください。

• 資料 01株式会社チームスピリット：不正アクセスによる情報漏えいに関するお詫びとお知らせ
• 資料 02独立行政法人情報処理推進機構：自分の個人情報等が漏えいした際の『対処』と『日頃の対策』
• 資料 03独立行政法人情報処理推進機構：不正アクセスによる個人情報漏えい等の被害にあわれた方の相談受付強化について