要点
- 組織改善ツール「ラフールサーベイ」の旧システムから、182の企業の従業員2万4232人分の情報が取られた。
- 一部の人については、ストレスチェックの結果や、医師の面談の記録といった、とても private な健康に関わる情報も含まれる。
- 原因は、プログラムに書き込まれた「鍵」（アクセスキー）が、2019年に委託先の開発者によるテスト環境の公開で外に出たことだとされる。
何が起きたか
ラフールは2026年11月9日、「ラフールサーベイ」の旧システムが第三者による不正アクセスを受けたと発表した。ラフールサーベイは、従業員への調査で職場の状態を調べるサービスだ。
ラフールの発表によると、情報が取得された日は7月24日と8月8日である。不正なアクセスがあった期間は7月24日から10月25日までだ。
ラフールが不正に気づいたのは10月27日。社内の技術者がログ（利用の記録）を見直し、旧システムへの不審なアクセスを見つけた。悪用されていた鍵はこの日のうちに失効させた。翌28日には、攻撃に使われた海外のIPアドレスを遮断の対象にしたという。
漏れた可能性がある項目は次のとおり。
- 従業員番号
- 氏名
- 所属部署
- サーベイの回答と結果
- 一部の人：ストレスチェックの結果・回答、医師の面談・面接指導の記録
住所、電話番号、パスワードは、漏えいを確認していないという。
原因は2019年にさかのぼると、ラフールは推定している。旧システムでは、ラフール自身の技術者が、保管場所に入るための鍵をプログラムの中に直接書いていた。このプログラムを含むテスト環境のイメージ（環境をまるごと写したもの）を、委託先だったフランジア社（現 Sun Asterisk）の開発者がネット上に公開した。第三者はそこから鍵を入手したとみられている。委託元である自社の管理にも不備があったとの認識を、ラフールは示している。
数字は今後の調査で変わる可能性があるという。外部の調査機関に調査を依頼する予定で、警察と個人情報保護委員会には報告済みだ。
日本の利用者への影響
サービスの提供元は株式会社ラフールだ。発表では、対象のサービスに「他社を通じて提供しているサービス」も含まれるとされている。ラフールは、情報の取得が確認された企業へ、ラフールまたはサービスの提供元から順に個別連絡をしていると説明している。連絡がない企業は、取得が確認されていない企業だという。
別の報道では、「あしたのサーベイ」を提供するあしたのチーム（ウェルネス・コミュニケーションズの子会社）も、提供元であるラフールの被害を開示したとされる。こちらは顧客企業3社の209人分とされ、ラフールの182社に含まれるかどうかは、確かめられていない。
ラフールは、現在使っているシステムへの影響はないとしている。11月4日に設定と記録を確認し、攻撃元の操作の跡がないことを確かめたという。
今すぐやること
- 自社がラフールサーベイ（または、ラフールが提供元のサービス）を使っているか確認する。使っていれば、担当部署にラフールからの連絡が届いているかを確かめる。
- 従業員向けには、公式の連絡かどうかを見分ける方法を知らせる。ラフールは、メールや電話でパスワードや金銭を求めることはないと述べている。
- 「今回の件」をかたる不審なメールや電話は、リンクを開かず、添付も開かず、社内の窓口へ知らせる。
- 不明点は、ラフールサーベイ事務局（0120-285-061、平日10時〜17時、または privacy@lafool.co.jp）に問い合わせる。連絡先は、メールのリンクからではなく、公式発表で確かめる。
- 自社の開発では、鍵をプログラムに直接書いていないか、委託先が作ったテスト環境やイメージが公開されていないかを点検する。
背景
今回の原因は、他の会社にも当てはまる。鍵をプログラムに書き込むと、プログラムを誰かが見られた時点で、鍵も見られる。テスト用の環境は、本番より管理が甘くなりやすい。しかも今回は、2019年の公開に由来する鍵が、2026年の不正アクセスに使われたとされる。
委託先に開発を任せても、情報を守る責任は委託元に残る。ラフール自身も、自社の管理が不十分だったとの認識を示している。委託先に何を渡しているか、テスト環境をどこに置くか、鍵をどう発行し、いつ無効にするかは、契約の前に決めておきたい。
ラフールは、再発防止策を外部調査の結果を踏まえて今後講じるとしている。なお、現行システムについては、すでに鍵の直接記載をやめ、有効期間の短い一時的な認証情報を使う方式にしたと説明している。旧システムとは別のクラウド上の区画で動かしており、今回の鍵では接続できないという。
なお、鍵が外に出てから悪用されるまでの経緯の詳細は、ラフールの発表には書かれていない。外部調査の結果を待つ必要がある。
技術者向けの詳細
- 漏えい元: 旧システムのファイル保管領域（クラウドのストレージとみられる。サービス名は発表にない）。
- 時系列: 7/24 1回目の取得、7/30 新システムへ移行、8/8 2回目の取得、不正取得の期間 7/24〜10/25、10/27 ログ確認で発覚・鍵を無効化、10/28 海外IPを遮断、10/29 取得を確認、11/4 現行システムに痕跡なしを確認、11/9 公表。
- 点検の目安:
- リポジトリとイメージに秘密情報が入っていないか、シークレットのスキャンをかける。
- 公開されているコンテナレジストリやイメージ共有の場所に、自社や委託先の成果物がないか調べる。
- 長期有効の鍵をやめ、短期の一時認証情報に替える。古い鍵は無効化する。
- ストレージのアクセスログを有効にし、見慣れない IP や取得量を見張る。
- ラフールの現行システムの対策: 鍵の直接記載を廃止、一時的な認証情報へ切り替え、旧システムと分けたクラウド上の区画で運用。
- 詳細は公式発表を参照。
