要点
発表された事実
- 株式会社資さんは2026年10月27日、サーバーの管理・運用を委託している株式会社カホエンタープライズで設定の一部に不備があり、従業員と退職者の個人情報が外部から閲覧可能になっていた可能性があると公表した。判明後に外部から閲覧できないよう設定を変え、個人情報保護委員会へ報告した（資さん）。
- 対象は2021年10月〜2026年10月に在籍した従業員と退職者。項目は氏名、生年月日、性別、電話番号、賃金履歴、勤怠実績で、一部の人は入社日・退社日、退職理由、社会保険加入履歴も含む（同）。
- カホエンタープライズは、自主点検で勤怠管理システムの設定不備を確認したと公表している（カホエンタープライズ）。
- 10月29日の第2報では、サーバーの入口は外部から到達可能だったが、データの格納領域には別途認証が必要で、第三者が自由に閲覧・取得できる状態ではなかったとした。改ざんの痕跡や実際の漏えいは確認されていない（資さん 第2報）。
- 退職理由は社内管理用の区分数字だけで、口座情報は含まれない。ただし格納領域へのアクセスを網羅的に確認するには技術的な限界があり、漏えいの可能性を完全には排除できないとしている（同）。
わかっていないこと
- 設定不備がいつから生じ、外部から到達可能だった期間はどれくらいか
- 格納領域の「別途の認証」がどんな仕組みか
- カホエンタープライズの他の顧客企業への影響
- 調査の最終結果と再発防止策
関係しそうな既知の手口
- （考察）管理用のサーバーやシステムが意図せずインターネットから届く状態になる設定不備は、攻撃を受けなくても公表が必要になる典型例だ。今回は入口だけが外に出ていたと説明されている。
概要
- 資さんうどんの従業員・退職者の給与や勤怠の情報が入った委託先のサーバーが、外から到達できる状態になっていた。
- 第2報では、中のデータには認証が必要で、実際の漏えいは確認されていないとした。
- 委託先は自主点検で不備に気づいた。
この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。
何が起きたか（時系列）
| 時期 | 出来事 |
|---|---|
| 2026-10-09（金） | 委託先の自主点検で設定不備を確認（ITmedia NEWS） |
| 10-27（火） | 資さんが公表。外部からの閲覧を不可とする設定変更、個人情報保護委員会への報告（資さん） |
| 10-29（木） | 第2報。格納領域には別途認証が必要で、実際の漏えいは確認されていないと説明（同） |
発表内容の整理
事実（資さん、10月27日・29日）
| 項目 | 内容 |
|---|---|
| 委託先 | 株式会社カホエンタープライズ（サーバーの管理・運用） |
| 原因 | 委託先サーバーの一部設定の不備 |
| 対象者 | 2021年10月〜2026年10月に在籍した従業員・退職者 |
| 項目 | 氏名、生年月日、性別、電話番号、賃金履歴、勤怠実績（一部は入社日・退社日、退職理由、社会保険加入履歴） |
| 含まれない情報 | 金融機関の口座情報 |
| 被害 | 不正利用・二次被害、改ざん痕跡、実際の漏えいはいずれも確認されていない |
考察
第2報の説明どおりなら、外に出ていたのはサーバーの入口までで、データそのものは認証で守られていたことになる。それでも「網羅的な確認には技術的な限界がある」と書いているのは、アクセスログが十分に残っていなかったか、確認できる範囲が限られていたためとみられる（考察）。
関係しそうな既知の手口
事実（既知の知見）
- JPCERT/CCは、国内で相次ぐ不正アクセスの類型として、機器の管理不備を突いた環境設定ファイルやバックアップファイルの窃取を挙げ、外部からの利用を想定していないシステムも被害に遭っているとしている（JPCERT/CC）。
考察
今回は攻撃の痕跡が確認されていない点で、上の類型とは異なる。ただ、外部に出ていた入口を攻撃者が先に見つけていれば同じ道をたどりえた。委託先の自主点検で見つかったことは、点検が機能した例といえる（考察）。
利用者・運用者がいまできること
- 資さんうどんの従業員・退職者は、同社や関係機関を名乗る不審な電話・SMSに注意する。
- 勤怠や給与のシステムを外部に委託する企業は、サーバーが外部からどこまで届くか、アクセスログがどれだけ残るかを定期的に確認する。