退職者の情報持ち出し発覚｜あすか製薬に学ぶ内部不正対策

あすか製薬ホールディングスは2026年7月3日、同社グループの元従業員が退職時に従業員リストを社外へ持ち出していたと公表しました。攻撃を受けたのは自社ではありません。元従業員の再就職先（同社の業務委託先）のPCが不正アクセスを受け、その調査の過程で持ち出しが判明した、という異例の発覚経路です。サイバー攻撃対策だけでは防げない「内部不正」と「退職時の管理」の弱点が凝縮された事例として、情シスが学べる点を整理します。

この記事でわかること

  • 何が起きたのか（持ち出された情報と発覚の経緯）
  • なぜこの事例が情シスの「盲点」を突いているのか
  • 退職者の情報持ち出しに備えるための実務上の勘所

何が起きたのか

公表内容によると、昨年（2025年）に退職した元従業員が、人事部在職中に従業員リストを個人のPCで管理していました。退職時にそのデータを社外へ持ち出し、再就職先（あすか製薬の業務委託先にあたる企業）のPCへ移していたとされます。そのPCが第三者から不正アクセスを受け、委託先側で行われたフォレンジック調査の中で、リストの存在が明らかになりました。

持ち出された従業員リストには、以下の項目が含まれていたとされます。

区分 含まれていた情報
対象 従業員および退職者
基本情報 氏名、所属部署、役職、社員番号
日付情報 生年月日、入社年月日、退職年月日

件数は公表されていません。同社はフォレンジック調査により、リストが閲覧・ダウンロードされた痕跡は確認されていないとし、個人情報が流出した可能性は低いと判断しています。連絡が取れる関係者には書面で通知したとしています。

ただし、ここは冷静に読む必要があります。「痕跡が確認されていない」ことは「流出していない」ことの証明ではありません。ログが十分に残っていなかった可能性や、確認しきれない範囲があることは、この種の調査では常に付きまといます。安全が保証されたと受け取るのではなく、「現時点で二次被害の兆候は確認されていない」という限定的な事実として扱うのが妥当でしょう。

なぜこの事例が「盲点」なのか

この事案は、情シスが日ごろ想定している脅威モデルの外側で起きています。ポイントは三つあります。

①「正規の権限」で持ち出された

持ち出したのは人事部の担当者、つまり従業員リストを業務上正規に扱う立場の人物です。不正アクセスもマルウェアも介在していません。正規のアクセス権を持つ人が、正規に見られるデータをローカルにコピーして退職した——ログイン監査やアクセス制御「だけ」では検知が難しい典型パターンです。IPAの調査でも、情報漏えいの原因として内部不正や誤操作といった「内部要因」は一貫して上位を占めています。

②発覚が「他社経由」だった

自社の監視で気づいたのではなく、持ち出し先である委託先の侵害調査から判明しました。裏を返せば、その委託先が攻撃を受けていなければ、持ち出しは長期間表面化しなかった可能性があります。「自社のログを見ていれば気づけた」という話ではないところに、内部持ち出しの検知の難しさが表れています。

③「委託先＝再就職先」という利益相反的な構図

元従業員の再就職先が、たまたまあすか製薬の業務委託先でもありました。委託先管理（サプライチェーン）と退職者管理が交差する、想定しづらい構図です。委託先のセキュリティ水準を評価していても、「そこに自社の元従業員がいて、自社のデータを持ち込む」というシナリオまでは、契約や点検の観点から抜けがちです。

情シスはどうすべきか

あすか製薬が公表した再発防止策は、秘密保持誓約書の取得（在職時・退職時）、個人情報の適正取り扱いに関する研修の追加、退職・異動時の業務資料の削除確認の徹底——と、いずれも地道な運用面の施策です。派手なツール導入ではなく「オフボーディング（退職時手続き）の実効性」に踏み込んでいる点は現実的だと感じます。

実務者の視点で言えば、退職時のチェックは形骸化しやすい領域です。アカウント停止やバッジ回収はやっても、「本人が個人フォルダやローカルPCに業務データを溜め込んでいないか」までは、限られた人員で全員分を追い切れない——これが現場の率直な実感ではないでしょうか。だからこそ、技術対策と運用・啓発の両輪が必要になります。

  • 持ち出し経路を技術で狭める：機微データへのアクセスは最小権限に絞り、ローカル保存・外部媒体・個人クラウドへのコピーをDLPやデバイス制御で抑制する。人事・経理など機微情報を扱う部署は優先度を上げる。
  • オフボーディングを手順化する：退職・異動時の「アカウント無効化」「端末回収・データ削除確認」「誓約書」をチェックリスト化し、実施を記録として残す。権限の残置は別の事故にもつながります（関連記事も参照）。
  • 委託先管理に「人」の観点を加える：委託先の技術水準だけでなく、自社データの取り扱い・保存範囲・返却/削除の取り決めを契約と点検で明確にする。
  • ログと検知を整える：大量ダウンロードや通常と異なるデータ操作を検知できるよう、機微データの操作ログを取得・保全しておく。今回のように「痕跡が追えない」事態を避けるための備えです。

より体系的に取り組むなら、公的な枠組みを起点にするのが近道です。内部不正防止はIPA「中小企業の情報セキュリティ対策ガイドライン」や、IPAが公開する組織向けの内部不正防止ガイドラインが参考になります。あわせて、従業員一人ひとりの意識づけにはIPA「対策のしおり」のような啓発資料が使えます。

まとめ

  • あすか製薬HDで、元人事担当者が退職時に従業員リスト（氏名・社員番号・生年月日等）を持ち出していたことが判明。再就職先（委託先）の侵害調査から発覚した。
  • 正規権限による持ち出し・他社経由での発覚・委託先＝再就職先という構図は、通常の攻撃対策では捕捉しにくい内部不正とオフボーディングの盲点を突いている。
  • 対策は特効薬ではなく、最小権限・DLP・退職時手続きの手順化・委託先管理・ログ整備の積み重ね。公的ガイドラインを起点に、運用と啓発の両輪で固めるのが現実的。

関連記事

出典

タイトルとURLをコピーしました