Ｚ会グループ不正アクセス108件の内訳と対象情報を確認

当事者の説明

グループ全体の108件は、旧勤怠管理95件と顧客サイト13件の合計

Ｚ会ホールディングスは、10月14日から15日に発生した一連の攻撃で漏えいしたアカウント情報を108件と公表しました。内訳は、栄光の旧勤怠管理システム95件と、Ｚ会専用サイトの顧客13件です。108は公表されたアカウント情報の件数で、全生徒数や全顧客数ではありません。

グループ発表は、当初に確認した顧客1アカウント、従業員・業務委託先95アカウントに、追加で判明した顧客12アカウントを合わせたものです。異なるシステム、利用者区分、対象情報を一つの情報項目としてまとめず、それぞれの最終報で確認する必要があります。

• 資料 01株式会社Ｚ会ホールディングス：当社グループへの不正アクセスによる個人情報漏えいについて（最終報）
• 資料 02株式会社栄光：不正アクセスによる個人情報漏えいについて（最終報）
• 資料 03株式会社Ｚ会：Ｚ会専用サイトへの不正アクセスについて（最終報）

当事者の説明

栄光の95件は実在90人とテスト用5件、生徒・保護者情報は含まないと説明

栄光は、運用を終了していた勤怠管理システムについて95アカウントの情報漏えいを確認したと公表しました。内訳は実在する個人90人とテスト用5アカウントで、情報項目はログインID、ハッシュ化されたパスワード、氏名、業務用メールアドレスです。

同社は、このシステムに生徒・保護者の個人情報は含まれていないと説明しています。95件を生徒や保護者の情報流出件数として扱うのは公表内容と一致しません。初報で業務委託先を1人とした記載は2人に訂正されましたが、合計95アカウントは変わっていません。

• 資料 02株式会社栄光：不正アクセスによる個人情報漏えいについて（最終報）

当事者の説明

Ｚ会専用サイトでは953件の変更試行、13アカウントでパスワード変更を確認

Ｚ会は、Ｚ会専用サイトで953件のパスワード変更試行があり、13アカウントで実際に変更されたと公表しました。該当する13件について、氏名、Ｚ会専用ユーザーID、メールアドレスが閲覧された可能性があり、手続きがある場合は申込日も対象になり得るとしています。

一方、ログインパスワード、クレジットカード・口座情報、成績・学習履歴は影響を受けていないと説明しています。変更試行953件を、953人の個人情報流出やパスワード変更が確定した人数へ置き換えることはできません。13件の対象と分けて読む必要があります。

• 資料 03株式会社Ｚ会：Ｚ会専用サイトへの不正アクセスについて（最終報）

当事者の説明

認証基盤の脆弱性を修正し、旧勤怠システムは廃止済み

Ｚ会は認証プラットフォームの脆弱性を確認し、10月20日に修正とバージョン更新を完了したと説明しました。パスワード変更機能は対策強化後に再開し、監視も強化しています。攻撃に使われたユーザー名の一部は、栄光側の旧システムから得られたものとしています。

栄光は対象の旧勤怠管理システムを廃止済みとし、多要素認証やアクセス制限の見直しを案内しています。訂正箇所を残した最終報から、人数の内訳が更新されたことを確認できます。初報だけを引用すると、業務委託先の人数を誤って伝えるおそれがあります。

• 資料 02株式会社栄光：不正アクセスによる個人情報漏えいについて（最終報）
• 資料 03株式会社Ｚ会：Ｚ会専用サイトへの不正アクセスについて（最終報）

未確認の点

閲覧の実態、個人ごとの申込日、情報の二次利用は公表資料だけでは未確認

2026年11月10日の確認時点で、13件の各アカウントについてどの画面・情報が実際に閲覧されたか、申込日の対象者、攻撃者が取得した情報の保存・共有・二次利用、個別通知の受領状況は、公表資料だけでは確定できません。会社の可能性の説明と、JBJが確認した事実を混ぜません。

最終報は、クレジットカード情報などの漏えい、成績・学習履歴への影響、サーバー侵入は確認していないと説明しています。これは、すべての不審な連絡やアカウント被害が本件と無関係だと証明するものではなく、利用者ごとの被害をJBJが独立確認したものでもありません。

• 資料 01株式会社Ｚ会ホールディングス：当社グループへの不正アクセスによる個人情報漏えいについて（最終報）
• 資料 02株式会社栄光：不正アクセスによる個人情報漏えいについて（最終報）
• 資料 03株式会社Ｚ会：Ｚ会専用サイトへの不正アクセスについて（最終報）

確認の範囲

このコラムの確認範囲

本稿は2026年11月10日に、Ｚ会ホールディングス、栄光、Ｚ会の11月9日付最終報と、IPAの10月26日付一般向け案内を確認しました。JBJは各社、対象者、調査機関へ直接取材しておらず、アクセス記録、漏えい情報、個別通知、二次被害を独立確認していません。掲載画像は説明用イメージです。

• 資料 01株式会社Ｚ会ホールディングス：当社グループへの不正アクセスによる個人情報漏えいについて（最終報）
• 資料 02株式会社栄光：不正アクセスによる個人情報漏えいについて（最終報）
• 資料 03株式会社Ｚ会：Ｚ会専用サイトへの不正アクセスについて（最終報）
• 資料 04独立行政法人情報処理推進機構（IPA）：自分の個人情報等が漏えいした際の「対処」と「日頃の対策」

JBJの見解

システム別の単位と訂正履歴を残し、不審な連絡は公式窓口で照合する

今回の公表は、従業者向け旧システムと顧客向けサイトを横断した攻撃の連鎖を示しています。同時に、対象者と情報項目は同じではありません。「Ｚ会の生徒108人の学習情報が流出した」といった表現は、会社が示した内訳と非対象情報に反します。

対象者は、利用サービス、会社からの通知、パスワード変更時刻、不審なログインや連絡を保存し、メール内のリンクではなく公式サイトから確認してください。IPAも、漏えいした情報を把握し、便乗したメール・SMS・電話に注意し、公式情報を自分で開いて確かめるよう案内しています。

• 資料 01株式会社Ｚ会ホールディングス：当社グループへの不正アクセスによる個人情報漏えいについて（最終報）
• 資料 02株式会社栄光：不正アクセスによる個人情報漏えいについて（最終報）
• 資料 03株式会社Ｚ会：Ｚ会専用サイトへの不正アクセスについて（最終報）
• 資料 04独立行政法人情報処理推進機構（IPA）：自分の個人情報等が漏えいした際の「対処」と「日頃の対策」