チームスピリットの開発用サーバーへの不正アクセス
- カテゴリ
- 不正アクセス
チームスピリットの2026年11月6日の発表によると、第三者がソフトウェア開発用サーバーに不正ログインし、保管されていた認証情報でクラウド環境からデータを取得したことを10月27日に確認した［1］。流出した個人情報等は、「TeamSpirit」の顧客（過去の契約を含む）の担当者・利用ユーザー、資料請求や問い合わせをした人、従業員（退職者を含む）のもので、確認できた範囲で重複を除き28,824件である［1］。
経緯
チームスピリットの発表によると、不正ログインとデータの取得を確認したその日のうちに、サーバーを停止して外部からの接続経路を遮断した［1］。その後は外部のセキュリティ専門機関の支援を受け、弁護士とも連携して調査を進めている［1］。
原因についてチームスピリットは、未知の脆弱性によるものではなく、開発用に運用していたサーバーで設定と情報管理の不備が重なって起きたと説明した［1］。不正アクセスの手法などの詳細は、模倣攻撃を防ぐ観点から公表を差し控えるとした［1］。
影響範囲
チームスピリットの沿革では、「TeamSpirit」のサービスの提供開始は2012年4月である［2］。2024年12月の発表では、「チームスピリット」をはじめとする提供サービスの導入企業数が、2024年11月末で2,000社55万ユーザーを突破した［3］。
| 区分 | 項目 | 資料 |
|---|---|---|
| 「TeamSpirit」を契約している、または過去に契約していた顧客の一部 | 担当者・利用ユーザーの氏名、メールアドレス、ログインID、チームスピリットが管理する識別番号・アカウント情報 | ［1］ |
| 「TeamSpirit」を契約している、または過去に契約していた顧客の一部 | 問い合わせ・依頼の記録の一部、顧客企業の従業員の勤怠記録の一部、企業に関する情報（契約や利用環境に関する情報の一部を含む） | ［1］ |
| 資料請求、問い合わせ、セミナーへの申し込み等をした人の一部 | チームスピリットが管理する識別番号、企業に関する情報（会社名等） | ［1］ |
| 従業員と退職者 | 氏名、社員番号、業務用メールアドレス、入社日・退職日、誕生日（月・日）、社内システムのユーザー名・ID・アカウント情報、業務管理システムの記録 | ［1］ |
項目は対象者によって異なり、流出した情報には要配慮個人情報35件が含まれていた［1］。流出した勤怠記録は、サービスの本番環境とは別に、サービスの提供・維持を目的としてチームスピリットの管理下の環境で保管していたものである［1］。
チームスピリットは発表の段階で、顧客が「TeamSpirit」のサービス上で運用している勤怠・工数等のデータへの不正アクセスは確認されていないと説明した［1］。流出した情報の不正利用や、外部のウェブサイト・SNS等での公開といった二次被害も確認されていない［1］。
対応と現状
チームスピリットは11月6日の発表で、サーバーの停止と接続経路の遮断のほか、措置の状況を項目ごとに挙げた［1］。
- 流出が疑われる認証情報の無効化（概ね完了）［1］
- 外部のセキュリティ専門機関によるセキュリティ対策支援（実施中）［1］
- 個人情報保護委員会への報告（10月30日付けで完了）［1］
- 対象者への個別の連絡（11月6日から順次実施）［1］
個別の連絡では、対象者ごとに流出した項目を伝える［1］。連絡先を確認できない人には、発表をもって個別の連絡に代えるとした［1］。
発表では、流出した情報を悪用してチームスピリットやその従業員を装った不審なメール、電話、SMS等が届くおそれがある［1］。チームスピリットは、心当たりのない連絡にあるURLのクリック、添付ファイルの開封、ID・パスワード等の入力をせず、メッセージを削除するよう求めた［1］。メールや電話でパスワード等の認証情報を尋ねることはないとも説明した［1］。再発防止策は、セキュリティ管理体制の強化、開発環境の再構築、監視体制の強化を中心に検討している［1］。
未公表の事項
- 開発用サーバーの設定と情報管理の不備の具体的な内容
- 区分ごとの件数の内訳と、影響を受けた顧客企業の数
- データを取得されたクラウド環境の種類
- 攻撃者
- 具体的な再発防止策（チームスピリットは、調査結果を踏まえて策定し、改めて知らせるとした［1］）
出典
当事者
- ［1］株式会社チームスピリット『不正アクセスによる情報漏えいに関するお詫びとお知らせ』（2026年11月6日公開）
背景資料
- ［2］株式会社チームスピリット『沿革』（2025年9月10日公開）
- ［3］株式会社チームスピリット『チームスピリット、導入企業数が2,000社を突破』（2024年12月17日公開）
更新記録
- 2026年11月8日：公開した。