2026年5月、ジェイアール東海高島屋のシステムが不正アクセスを受け、アルバイトスタッフ約1300人分の個人情報が流出した可能性が報じられました。顧客情報や商品情報の流出は確認されていない一方で、従業員（とりわけ短期・アルバイトを含む）の個人情報は、攻撃者にとって「不正利用しやすい素材」であり、二次被害の起点になり得ます。本稿では、今回のような事案で起こりやすい被害シナリオ、企業に求められる初動対応、そして再発防止の実務ポイントを整理します。
不正アクセスで狙われる「従業員データ」の価値
従業員の個人情報は、顧客データほど直接的な売上影響が見えにくい反面、攻撃者にとっては次の攻撃を拡大するための踏み台として有用です。氏名、住所、電話番号、メールアドレス、勤務情報などが含まれる場合、以下のような悪用が想定されます。
なりすまし・ソーシャルエンジニアリング
「人事」「労務」「給与」「シフト管理」などを装い、SMSやメール、電話で本人確認情報を追加で引き出す手口が典型です。特にアルバイトは入退社頻度が高く、社内手続きの連絡が多いため、不審連絡に気づきにくい構造があります。
フィッシングの精度向上
流出した情報を用いて、宛名や勤務先を含む“本物らしい”メールを作成されると、一般的な一斉配信型フィッシングよりもクリック率が上がります。結果として、個人端末や他社サービスのアカウント乗っ取りに連鎖する恐れがあります。
企業システムへの再侵入
従業員のメールアドレスが把握されると、パスワードリスト攻撃（過去漏えいパスワードの使い回し狙い）や、ログインページへの標的型攻撃が起こり得ます。顧客情報が無事だったとしても、侵害範囲の見誤りは危険です。
「顧客情報の流出なし」でも安心できない理由
報道では顧客や商品情報の流出はないとされていますが、これは現時点の確認結果であり、調査の深度によって評価が変わる可能性があります。ログが十分に残っていない、あるいは攻撃者が痕跡を消している場合、「流出を確認できない」ことと「流出していない」ことは同義ではありません。企業側は、侵入経路・権限の到達範囲・データ参照の有無を、証跡に基づいて段階的に確度を上げていく必要があります。
企業に求められる初動対応の勘所
不正アクセスが疑われた場合、最初の数時間〜数日での判断が被害の拡大を左右します。ポイントは「止血」「証拠保全」「影響評価」「関係者対応」を並行して進めることです。
封じ込めと復旧を急ぎすぎない
サーバ停止やアカウント削除など強い措置は、攻撃者の活動を止める一方で、ログやメモリ上の証拠を失わせることがあります。まずはネットワーク分離、該当アカウント無効化、認証情報のローテーションなど、証拠を保ちやすい方法で封じ込め、フォレンジック可能な形で段階的に対応するのが望ましいです。
影響範囲の可視化と第三者の活用
侵入点（VPN、リモート管理、メール、委託先経由など）と横展開（AD、共有サーバ、クラウドストレージ）を短時間で洗い出すには、EDR/SIEMのログ統合や外部専門家の支援が有効です。とくに人事・労務系は業務継続の制約が強く、内部だけで抱えるほど判断が遅れがちです。
被影響者への連絡は「具体」と「再被害防止」中心に
従業員・アルバイトへの通知は、漏えいの可能性がある項目、想定される詐欺の手口、企業が行う対策、本人が取るべき対策（不審連絡の見分け方、パスワード変更、二要素認証の有効化、金融機関や携帯キャリアの追加認証など）を具体的に示すことが重要です。曖昧な案内は混乱を招き、問い合わせが殺到して対応能力を削ります。
再発防止で重視すべき技術対策
個人情報を扱うシステムは、単体の防御ではなく多層防御で設計すべきです。ここでは、比較的効果が高く、実装優先度が高い対策を挙げます。
認証の強化と特権管理
多要素認証（MFA）の徹底は最優先です。加えて、特権IDの棚卸し、最小権限、管理者操作の分離、PAM（特権アクセス管理）や条件付きアクセス（端末準拠、場所、時間帯）を組み合わせることで、侵入後の横展開を抑止できます。
ログ設計と検知運用
「侵入は起こり得る」前提で、検知と追跡ができるログが必要です。認証ログ、ファイルアクセス、エクスポート操作、API呼び出し、管理画面操作などを統合し、異常な大量参照や深夜帯アクセス、普段使わない端末からの操作をアラート化します。ログ保持期間は、調査が長期化する現実を踏まえ、十分な期間を確保すべきです。
人事・労務データの最小化と分離
アルバイトを含む従業員情報は、業務上必要な範囲に絞って保存し、不要になったデータは速やかに削除する「データ最小化」を徹底します。また、業務システム間で安易に連携・共有されている場合、1つの侵害が全体に波及します。人事系はネットワークセグメント分離、アクセス経路の限定、エクスポート権限の制御が有効です。
委託先・サプライチェーン管理の落とし穴
百貨店や小売業では、給与計算、勤怠、採用、研修、派遣管理など、外部サービスや委託が絡むことが多く、侵入経路が自社に限定されません。契約面では、事故時の通知義務、ログ提供、再委託の制限、脆弱性対応SLA、監査権限を明確にする必要があります。技術面では、委託先接続をゼロトラスト的に扱い、専用アカウント・MFA・接続元制限・作業時間制限・セッション記録などでリスクを下げるのが現実的です。
アルバイトを含む従業員向けの実効的な教育
教育は「年1回のeラーニング」だけでは効果が限定的です。短期雇用を含む現場では、入社時の短時間教育（10〜15分）と、定期的なワンポイント注意喚起が有効です。テーマは、フィッシング、SMS詐欺、パスワード使い回し禁止、MFAの重要性、会社が求めない情報（暗証番号・認証コード等）を明確にし、実例ベースで伝えることが定着につながります。
まとめ
今回のようにアルバイトスタッフの個人情報が流出した可能性がある事案は、当事者の生活リスク（詐欺・なりすまし）に直結し、企業としての説明責任も重くなります。「顧客情報が無事」であっても、従業員データは攻撃者の次の手に利用されやすく、企業への再侵入や信用低下につながりかねません。認証強化、ログと検知、データ最小化、委託先管理、そして短期雇用者も含めた実効的な教育を組み合わせ、平時から“侵入後”まで見据えた備えを進めることが、同種の被害を抑える近道です。