ウェルネス・コミュニケーションズ：当社子会社が販売するサービスの提供元における不正アクセス及び情報漏えいに関するお知らせ

経緯について、公表によれば、ラフールは2026年10月27日にシステム環境での不審なアクセスを検知し、不正に利用された認証情報の停止とアクセス元IPアドレスからの通信遮断を行い、社内対策委員会を設置して証拠保全と原因究明に着手した[s2]。その後の調査で個人情報の取得が確認され、10月30日にあしたのチームへ報告があった[s2]。公表は11月5日である[s2]。rocket-boys.co.jpの記事によれば、あしたのチームはラフールの「ラフールサーベイ」のOEM提供を受け、2025年3月から「あしたのサーベイ」を販売している[s3]。

侵入経路と影響について、公表によれば、不正アクセスが起きたのはラフールのシステム環境であり、ウェルネス・コミュニケーションズおよびグループのシステムへの不正アクセスは確認されていない[s2]。rocket-boys.co.jpの記事も、同社とあしたのチームの自社システムが侵害されたとする根拠は示されていないとしている[s3]。公表された原因・経路は、不正に利用された認証情報とOEM提供元の環境への不正アクセスにとどまる。smartscope.blogの一覧でも、侵入の入り口の分類は「記載なし」である[s4]。

対象は「あしたのサーベイ」を利用する顧客企業3社の209名で、氏名、所属部署、従業員番号、サーベイ回答情報、ショートサーベイ結果、ストレスチェック結果等が含まれる[s2]。rocket-boys.co.jpの記事は、209人という数字は同社グループが販売するサービスについて11月5日時点で確認した対象人数であり、ラフール全体の利用者や他のOEM提携先への影響人数と断定はできないとしている[s3]。また、公表は影響情報の項目を示すにとどまり、209人全員の全項目が取得されたとまでは説明していない[s3]。ウェルネス・コミュニケーションズは、把握している内容はラフールから受領した情報に基づくもので、対象範囲その他の事実関係は今後変更または追加される可能性があるとしている[s2]。2027年3月期の連結業績への影響は確認されていない[s2]。

二次被害について、公表によれば、情報の公開や不正利用等は確認されていないとの報告を受けている[s2]。攻撃者の名乗りやリークサイトへの掲載に関する情報は、今回の出典には含まれていない。

専門家の見解や注意点として、rocket-boys.co.jpは、ストレスチェック結果は本人の個別同意がないまま事業者に提供することが原則禁止されており、氏名や従業員番号と結び付いて第三者に取得された場合は慎重な対応が必要だと指摘している[s3]。同記事は、想定される悪用として、職場内での不当な情報共有、人事評価への不適切な流用、脅迫や嫌がらせ、再受検や結果確認を装うフィッシングなどを挙げているが、これらは防止すべき想定例であり、今回の攻撃者が実行したと確認されたものではないとしている[s3]。対象企業には、販売元からの通知内容の確認、従業員への連絡経路の設計、再委託先やOEM先を含めた委託先管理の見直しを勧めている[s3]。

同種事案との関係について、smartscope.blogの一覧では、2026年9月以降の公表が11月5日までに652件に上る。本件はその1件として、OEM提供元で発生した事案に分類されている[s4]。同じ11月5日には、アララ社のメール配信サービスへの不正アクセスに関連する公表も多数あるが[s4]、出典上、本件との関連は示されていない。なお、ウェルネス・コミュニケーションズはM&Aでストレスチェック事業の取得を決めるなど、従業員の健康・人事関連サービスに事業を広げている[s6]。