ベネワン・プラットフォーム13,460名分の情報漏えい、漏れた社員番号・生年月日で何をされるのかまとめました

2026年9月30日、株式会社ベネフィット・ワンは、福利厚生サービスの企業・団体の担当者向け機能「ベネワン・プラットフォーム」のアンケート機能で、本来アクセスできない他の企業・団体の従業員の個人情報の一部が表示される状態になっていたと公表しました[1]。対象は2,322企業・団体の13,460名で、社員・職員番号、氏名、性別、生年月日、企業・団体名、所属・役職、入退社情報です。クレジットカード情報、銀行口座情報、メールアドレス、パスワードなどは含まれていないとしています。

同社によると、データをダウンロードしたのは連絡をくれた1社1名だけで、データの削除も確認済み、二次被害も確認されていないとのことです[1]。ただ、それで安心とは言い切れません。今回出た項目は、社内のシステムや窓口で「本人かどうか」を確かめる材料として使われやすい組み合わせだからです。

「自分の社員番号や生年月日が他社に見えてしまったが、何をされうるのか」。「福利厚生や社内システムを運営する会社として、どこから手を打つか」。この記事では、その2つに答えるために、漏れた情報が悪用されうる場面と、認証が使われる場所を公開情報から整理しました。事故の経緯は短くとどめます。

この記事の要点

• 今回、外部からの攻撃は公表されておらず、表示されたデータは削除が確認されています。ただし社員番号・氏名・生年月日・所属は、なりすましの材料になりうる組み合わせです。
• 利用者の方は、勤務先や福利厚生サービスをかたる連絡で、社員番号や生年月日を聞かれても、その場で答えず公式の窓口で確かめると安心です。
• 会社側がまず見直したいのは、社員番号や生年月日を本人確認や初期パスワードに使っていないか、そして担当者向け管理画面のログインです。

なお、本記事は公表文など公開情報だけをもとにしています。ログイン画面を実際に試すような調査はしていません。確認できなかった点は「確認できず」と書いています。

何が起きたか（要約）

公表文[1]によると、概要は次のとおりです。

漏れた情報で、何ができてしまうか

今回は外部からの侵入ではなく、仕組みの不備で「見えてしまった」事故です。表示された先も1社1名で、削除が確認されています。そのうえで、項目の組み合わせがどんな場面で効いてしまうかを、一般論として整理します。

一方で、メールアドレスや電話番号、パスワードは含まれていないと公表されています[1]。直接メールやSMSを送りつけられる材料は出ていない、という点は分けて考えてよいでしょう。

大事なのは、今回の項目が「知っていれば本人らしく見える情報」だという点です。知っていることだけで本人と見なす仕組みは、その情報が一度でも他人の目に触れた時点で弱くなります。

このサービスで認証が使われる場所

福利厚生サービスには、従業員が使う会員側と、企業・団体の担当者が使う管理側があります。公開情報で確認できた範囲で並べました。

※「狙われやすさ」は、公開情報をもとにした当社の見立てです。実際のしくみを確かめたものではありません。

会社がまず見直すとよい所（優先順）

公表文では、原因究明、情報セキュリティ体制と個人情報保護の管理体制の強化、外部専門家の評価助言をもとにした対策が挙げられています[1]。ログインや本人確認の方法を変えるといった記載はありませんでした。認証の観点からは、次の順で見直すことが考えられます。

1. 社員番号や生年月日を「本人確認の答え」に使わない。パスワードの再設定、窓口での問い合わせ、初期パスワードの決め方を洗い出し、今回出た項目だけで本人と見なす手順が残っていないかを確かめます。福利厚生サービスを導入している企業の側でも、社内システムで同じ確認ができます。
2. 担当者向け管理画面のログインを固める。多数の従業員の情報を扱う管理側は、一つのアカウントが乗っ取られた時の影響が大きい場所です。ID・パスワードだけに頼らない確認を足すことが考えられます。
3. 気づいた不具合を、直るまで追いかける仕組みを持つ。今回は2025年10月に不具合を認知しながら、解消作業が適切に実施されていなかったと公表されています[1]。認証の話とは別ですが、仕組みの穴を「知っている」と「ふさいだ」の間を埋める運用も、守りの一部です。

認証の観点から：「知っている」から「持っている」へ

今回出たのは、社員番号、氏名、生年月日、所属といった「知っている」系の情報でした。こうした情報は、一度他人の目に触れると取り消せません。生年月日は変えられず、社員番号も在籍中はそのままです。

だからこそ、本人確認の土台を「知っているか」から「その人が持っているか」へ移すことが、漏えいの後にこそ効いてきます。情報が見えてしまっても、本人の手元にある物は変わらないからです。

SMSで届く認証コードも、「持っているか」を確かめる方式の一つです。米国NISTのガイドラインは、SMSなど電話網を使う確認方法を「制限付き（restricted）」の手段と位置づけています[3]。禁止ではありませんが、端末の入れ替えやSIMの変更、電話番号の乗り換え（ポーティング）といったリスクを踏まえ、それだけに頼りきらない設計が求められています。また、送り主を偽ったSMSが本物と同じ画面（スレッド）に並んで表示される手口も知られています[4]。

当社Infront Securityの電話番号認証は、利用者がワンタップで指定の番号に発信し、その発信者番号と端末の情報をサーバー側で照合して本人を確かめます。電話番号を知っていても、その回線から発信できなければ認証は通りません。偽サイトは利用者の電話回線を持っていないため、フィッシングに耐性のある方式です。

従業員や担当者のログイン、本人確認の手順に「持っているか」の確認を足す方法については、お気軽にご相談ください。

お問い合わせはこちら