2014年6月27日に発覚、日本、通信教育

ベネッセ顧客情報漏えい事件

内部の不正
委託
権限
検知

業務委託先の元社員が顧客データベースの情報を持ち出し、名簿業者に売却した

何があったか

2014年6月27日、株式会社ベネッセコーポレーション（BC）は、顧客からの問い合わせにより顧客情報が社外に漏えいしている可能性を認識し、緊急対策本部を設置して社内調査を始めた。7月7日、BCからの漏えい情報であることが確認され、株式会社ベネッセホールディングス（BHD）の危機管理本部が外部の情報セキュリティ専門家を招いて緊急対策に当たった。7月15日、BCは警視庁に刑事告訴し、同日、外部の専門家による個人情報漏えい事故調査委員会を設置した。

7月17日、警視庁はBCのシステム開発・運用を担うグループ会社シンフォームの業務委託先の元社員を、不正競争防止法違反の容疑で逮捕した。元社員は、担当業務で付与されていたデータベースへのアクセス権限を使って顧客情報を抽出し、クライアントPCからUSBケーブルで私用のスマートフォンに書き出して持ち出し、名簿業者3社に売却していた。警察から提供されたデータを分析した結果、延べ約2億1,639万件の個人情報が確認され、重複を除き名寄せすると約3,504万件、人数では約4,858万人の個人情報が漏えいしたとみられた。

調査委員会は9月12日に最終報告書をまとめ、ベネッセは9月25日に概要を公表した。翌26日、経済産業省は個人情報保護法に基づき、委託先の管理監督を怠った同法第22条違反と、個人情報の管理に責任を持つ部門を置かなかった同法第20条違反を認定し、再発防止を勧告した。ベネッセは10月24日、改善報告書を経済産業省に提出した。

入口: 業務委託先（株式会社シンフォーム）の元社員が、担当業務で付与されていたデータベースへのアクセス権限を使い、顧客情報をクライアントPCに抽出した
決め手の失敗: 個人情報のダウンロードを監視する情報システムの対象範囲が委託先の監査対象に含まれておらず、委託先に対する必要かつ適切な監督が行われていなかった。ベネッセグループ全体として、保有する個人情報の利用・管理に責任を持つ部門も置かれていなかった
被害: 名簿業者3社に売却された顧客情報は、重複を除く名寄せ後で約3,504万件、人数にして約4,858万人にのぼった。情報は複数の名簿業者を通じて流通し、ベネッセの顧客に対する不審な勧誘が相次いだ

攻撃の流れ

入口業務委託先の元社員が、担当業務で付与されていたデータベースへのアクセス権限を使い、顧客情報をクライアントPCに抽出して保存した
持ち出しクライアントPC内に保存した顧客情報を、USBケーブルで私物のスマートフォンに転送し、内蔵メモリに保存する方法で持ち出した
検知をすり抜けた仕組みクライアントPCとデータベースの間の通信量が一定の閾値を超えるとアラートを送る仕組みがあったが、対象範囲が明確に定められておらず、このデータベースは対象に設定されていなかった。外部メディアへの書き出しを禁じる制御システムも、新機種のスマートフォンの一部に対応できておらず機能しなかった
売却持ち出した個人情報の全部または一部を、名簿業者3社に対してそれぞれ売却した
影響売却された情報は複数の名簿業者を通じて転々と流通し、ベネッセの顧客に対する不審な勧誘が相次いだ

数字で見る

約2億1,639万件名簿業者に売却されたとみられるデータの延べ件数[1] 警察から鑑定目的で提供されたデータをベネッセコーポレーションが分析した件数
約6,984万件完全に重複する情報を除いた件数[1]
約3,504万件名寄せ後の漏えい件数[1] 同一人物の情報をまとめた後の件数
約4,858万人名寄せ後の漏えい人数[1]
約2,895万件実際の被害が見込まれる推計件数[2] ベネッセお客様本部が示した推計
43日最終報告書の提出から経済産業省への改善報告書提出まで[1] 9月12日から10月24日。資料の日付から数えた

気づいたきっかけ

2014年6月27日、BCは顧客からの問い合わせにより、顧客情報が社外に漏えいしている可能性を認識した。問い合わせで提供された情報を手がかりに社内調査を行い、7月7日にBCからの漏えい情報であることを確認した

対応と復旧

BHDは危機管理本部を設置して外部の情報セキュリティ専門家を招き、データベースの安全確保の緊急対策と顧客情報の拡散防止の活動を始めた。7月15日に警視庁へ刑事告訴し、同日、外部の専門家からなる個人情報漏えい事故調査委員会を設置した。委託先のシンフォームでは、全てのサーバとクライアントPCの間の通信をアラートシステムの対象とする設定変更を行い、外部メディアへの書き出しを一切認識させない設定への変更とシンクライアントシステムの導入を進めた。8月4日には顧客対応の専門組織「お客様本部」を設置し、9月中旬から対象の顧客にお詫びの手紙と金券を送った

組織が認めた原因と、決めた対策

認めた原因

委託先（シンフォーム）において、個人情報のダウンロードを監視する情報システムの対象範囲が、今回の不正持ち出しの対象となったデータベースを含んでいなかったが、委託先に対する定期的な監査でもこの情報システムの対象範囲を監査の対象としておらず、委託先に対する必要かつ適切な監督を怠っていた（個人情報保護法第22条違反）
業務の全過程において、保有する個人情報の利用・管理に責任を持つ部門を設置せず、安全管理のために必要かつ適切な措置を講じることを怠っていた（個人情報保護法第20条違反）
クライアントPCとデータベースの間の通信量に応じてアラートを送る仕組みの対象範囲が明確に定められておらず、当該データベースへの通信が対象として設定されていなかった
外部メディアへの書き出しを制御するシステムが、特定の新機種のスマートフォンを含む一部の外部メディアに対応できておらず、機能しない状態が生じていた
個人情報にアクセスしうる内部者による漏えいを想定した、二重、三重の対策を講じるといった徹底的な体制までは構築できていなかった

公表した再発防止策

データベースを含む全てのサーバとクライアントPCの間の通信をアラートシステムの対象とする設定に変更し、設定手続と監査の対象範囲をマニュアル化する
外部メディアへの書き出しを一切認識させない設定に変更し、クライアントPCへのデータダウンロードができないシンクライアントシステムを導入する
委託先の担当者について、二次委託先、三次委託先を含めた契約上の位置づけを把握し、アクセス権限の付与と見直しを適切にコントロールする
本件データベースへのアクセス・通信ログを定期的かつ効果的にモニタリングする体制を整える
委託先も含めた個人情報の保護に関する実施体制を明確化し、情報セキュリティ対策の取り組みをスケジュールとともに具体化する

自分のサービスで確かめること

個人情報を保有するサーバやデータベースが、ダウンロードや通信量を監視する仕組みの対象に漏れなく入っているか確かめる
外部メディアへの書き出し制御が、新しい機種の端末やテザリングのような無線接続にも対応できているか確かめる
委託先や再委託先の担当者について、契約上の位置づけとアクセス権限を把握し、定期的に見直しているか確かめる
個人情報の利用・管理に責任を持つ部門が組織内に明確に置かれているか確かめる
アクセスログや通信ログを、事後の検証だけでなく定期的にモニタリングしているか確かめる

関わる攻撃とレッスン

学べるレッスン

時系列

6月27日発覚顧客からの問い合わせにより、顧客情報が社外に漏えいしている可能性を認識し、緊急対策本部を設置した[2]
7月7日対応 BCからの漏えい情報であることを確認し、BHDが危機管理本部を設置した[2]
7月15日対応警視庁に刑事告訴し、外部の専門家による個人情報漏えい事故調査委員会を設置した[2]
7月17日対応警視庁が、シンフォームの業務委託先の元社員を不正競争防止法違反の容疑で逮捕した[2]
8月4日対応顧客対応の専門組織「お客様本部」を設置した[2]
9月12日対応個人情報漏えい事故調査委員会が最終報告書をまとめ、ベネッセホールディングスに提出した[1]
9月25日公表調査委員会による調査結果の概要（公表版）を公表した[1]
9月26日処分経済産業省が、個人情報保護法第34条第1項に基づき、委託先の監督義務違反と安全管理措置義務違反を認定して勧告した[4]
10月24日対応経済産業省に対し、再発防止策の実施体制を明確化した改善報告書を提出した[2]

攻撃した側について

個人を特定する実名は、本件が内部不正であることを踏まえて記載しない。警視庁は、BCのシステム開発・運用を担うグループ会社シンフォームの業務委託先に所属していた元社員を、不正競争防止法違反（営業秘密の複製・提供）の容疑で逮捕した。経済産業省の勧告は、ベネッセコーポレーション自身の法違反（安全管理措置義務違反・委託先監督義務違反）を認定したものであり、攻撃者側への行政処分ではない

出典

2026年10月24日に開いて確かめました。本文の [1] などの数は、この一覧の番号です。

個人情報漏えい事故調査委員会による調査結果のお知らせ（調査報告公表版）株式会社ベネッセホールディングス（個人情報漏えい事故調査委員会）、2014年9月25日、調査委員会の資料
事故の概要株式会社ベネッセホールディングスお客様本部、2014年9月26日、被害組織の資料
(株)ベネッセコーポレーションに対して個人情報保護法に基づく勧告を行いました経済産業省、2014年9月26日、公的機関の資料
個人情報の保護に関する法律第34条第1項の規定に基づく勧告について経済産業省、2014年9月26日、公的機関の資料