速報：「ラフールサーベイ」約2.4万人の情報漏えい

ITmedia NEWSによると、ラフールは11月9日、不正アクセスによる個人情報の漏えいを発表しました。 対象は、組織改善ツール「ラフールサーベイ」の旧システムです。 利用企業182社の従業員2万4232人分の情報が、第三者に取得されたとしています。

ラフールサーベイは、従業員が設問に答え、企業が職場の状態を分析するツールです。 不正アクセスは7月から10月にかけて続きました。 7月30日に新システムへ移った後も、旧システムから情報が取られていました。

何が漏れたか： 主な項目は従業員番号、氏名、所属部署、サーベイの回答と結果です。 一部の人は、ストレスチェックの結果や回答も含みます。 医師による面談・面接指導の記録（要配慮個人情報）も一部含まれます。 住所、電話番号、パスワードの漏えいは、現時点で確認していないとしています。

原因（同社の推定）： 旧システムでは、エンジニアがアクセスキーをプログラムに書き込んでいました。 2019年、このプログラムを含むテスト用の環境が、委託先の開発者によってネットに公開されました。 そこから第三者がアクセスキーを手に入れたと、同社は推定しています。

何が変わるか： 10月27日に不審なアクセスを見つけ、その日のうちにキーを無効にしました。 今のシステムは別の管理単位で動いており、このキーでは接続できないとしています。 キーを直接書く方式はやめ、短時間で無効になる一時的な認証情報に切り替えました。 今後、外部の調査機関の調べを踏まえて再発防止策をとるとしています。

誰に効くか： ラフールサーベイを使っていた182社と、その従業員です。

出典：ITmedia NEWS