スシローの従業員番号1117件が流出 管理画面への不正ログインで退職者にも影響

FOOD & LIFE COMPANIESは2026年11月5日、あきんどスシローのアルバイト・パート従業員向けポータルへの不正アクセスで、従業員番号1,117件が外部に流出したと発表しました。退職者の番号も含まれます。同社が流出を確認したのは従業員番号のみです。番号を示して個人情報やパスワードを尋ねる電話やメールに注意し、連絡の真偽は普段使う社内窓口や公式発表に掲載された窓口で確認してください。

10月の不正ログインを検知し翌日にポータルを再開

FOOD & LIFE COMPANIESの11月5日付発表によると、不正アクセスは10月8日から9日の間に行われ、同社が検知したのは10月30日です。検知後はポータルを非公開にしてアクセスを遮断し、対策と点検を経て10月31日に再開しました。その後、従業員番号が載ったページが閲覧され、番号が外部に流出したことが11月2日に判明しました。したがって、サイトの再開日と、調査で漏えいが確認された日は異なります。

会社は、第三者が管理画面のパスワードを推測して不正にログインしたと説明しています。推測に使われた手法や、アクセス遮断に用いた具体的な設定は公表していません。従業員番号が流出したことは確認されていますが、11月5日の発表時点では、流出情報が不正に利用された事実は確認していないとしています。同社は個人情報保護委員会に報告しています。

流出した番号と侵入に使われたパスワードは区別する

従業員番号は、侵入後に閲覧されたページに載っていた情報です。侵入に使われたのは管理画面のパスワードで、一般の従業員が使うパスワードの流出を確認したという発表ではありません。同社は、流出した番号だけでは氏名や連絡先などから個人を特定できる情報ではないと説明しています。また、公表された1,117という数字の単位は「件」です。全従業員が対象という意味でも、店舗利用者の会員情報が対象という意味でもありません。

一方で、従業員番号を知っている相手が、会社関係者を装って別の情報を求める可能性があります。同社は、番号を示して個人情報やパスワードを聞き出そうとする電話やメールに注意を呼びかけています。番号を言い当てられても、それだけでは相手が正規の担当者だと確認できません。不審な連絡にはその場で答えず、受け取った文面に書かれた番号ではなく、既知の連絡先から問い合わせることを本サイトは勧めます。退職者向けの問い合わせ先は、発表の専用欄に掲載されています。

運用者は管理ログインと番号を閲覧できる範囲を確認する

今回の公表から同種のポータル運用者が点検できるのは、管理画面のログインと、ログイン後に閲覧できるデータの二つです。前者では、管理者向け入口に誰が到達できるか、試行の急増を検知できるか、管理アカウントに追加の認証を適用できるかを確認します。後者では、通常の更新作業を行う管理者にも全拠点の従業員番号を参照する必要があるかを確認します。管理権限を一種類にまとめている場合は、日常運用と全件参照を分けられないかを検討します。これらは本サイトの提案であり、今回のシステムに各対策がなかったことを示すものではありません。

また、退職者の番号も含まれたことから、同種のサービスでは、退職後もどの業務のために番号を残し、誰が参照できるかを点検できます。たとえば記録を保管する必要があっても、現役の従業員を扱う管理画面から過去の番号を常時参照できる設計が必要とは限りません。保管が必要な範囲と、日常画面で閲覧できる範囲を分けて棚卸しすると、侵入後に見える情報を減らせます。サイトを再開する判断と、過去にどのページが閲覧され何が流出したかを確定する調査も別々に管理し、利用者向け案内では各日付を明示します。