チームスピリット、開発用サーバ侵入で2万8824件流出　顧客企業の従業員の勤怠記録も

　チームスピリットは2026年11月6日16時、同社が利用するソフトウェア開発用サーバの一部が第三者による不正アクセスを受け、勤怠管理クラウド「TeamSpirit」の契約者らの個人情報が外部に流出したと発表した。

　同社の発表によると、2026年10月27日に第三者が開発用サーバへ不正ログインし、サーバ内に保管されていた認証情報を使って、同社が利用するクラウド環境からデータを取得したことを確認した。同社は同日中に当該サーバを停止し、外部接続を遮断したという。

　流出した個人情報は、現時点で確認できた範囲で重複を除き2万8824件。うち要配慮個人情報が35件ある。対象は大きく3種類に分かれる。

　1つ目は、TeamSpiritの契約者（過去分を含む）の一部だ。担当者や利用ユーザーの氏名、メールアドレス、ログインID、アカウント情報のほか、問い合わせ記録の一部、契約企業に関する情報が含まれる。さらに、同社が保有していた顧客企業の従業員の勤怠記録の一部も流出した。

　2つ目は、資料請求や問い合わせ、セミナー申し込みなどをした人の一部で、識別番号と会社名などが対象。3つ目は同社の従業員と退職者で、氏名、社員番号、業務用メールアドレス、入社日・退職日などが含まれる。

　原因について同社は、未知の脆弱性によるものではなく、開発用に運用していたサーバにおける設定と情報管理の不備が重なったためと説明している。具体的な手法は、模倣攻撃を防ぐ観点から公表していない。

　流出した勤怠記録は、サービスの本番環境とは別に、同社の管理下にある環境で保管していたものだという。同社は、顧客がサービス上で運用する勤怠データなどへの不正アクセスや、流出した情報の不正利用、外部のWebサイトやSNSでの公開は、現時点で確認していないとしている。

　流出が疑われる認証情報の無効化は概ね終え、外部の専門機関の支援を受けて調査を進めている。個人情報保護委員会へは10月30日付で報告した。対象者への個別連絡は11月6日から順次行う。再発防止策は改めて公表するという。

　同社は、流出した情報を悪用した不審なメールや電話が届くおそれがあるとして、心当たりのない連絡のURLや添付ファイルは開かないよう呼びかけている。