発覚から8カ月、ようやく届いた「第3報」 #
ギグワークスは2025年12月19日、自社サーバへの不正アクセスを確認した。公表は12月23日。そこから約8カ月が経過した2026年8月31日、同社は調査の進捗を伝える「第3報」を発表した。対象は扶養控除申請を扱うデータベースサーバで、氏名・住所・生年月日・給与や税務情報に加え、扶養控除申請情報や銀行口座番号までもが「攻撃者に目視で閲覧された可能性を完全には否定できない」という。
2025-12-19 侵入確認
扶養控除申請DBサーバへの不正アクセスを検知。
2025-12-23 初報公表
外部専門機関へフォレンジック調査を依頼。
2026-08-31 第3報
口座情報等の目視閲覧の可能性を否定できず。
なぜ「否定できない」としか言えないのか #
多くの不正アクセス事案で使われるこの言い回しは、ログが攻撃者の閲覧範囲を証明できるほど残っていないことの裏返しだ。フォレンジック調査は侵入経路とアクセス痕跡は追えても、「画面に何が表示され、誰の目に触れたか」までは通常再現できない。だからこそ企業は最悪のケースを想定して開示し、対象者に通知する。今回のデータが厄介なのは、単なる連絡先ではなく銀行口座と税務情報という、なりすまし詐欺やフィッシングに直結する組み合わせだからだ。
注意
扶養控除データには家族構成・口座番号・税務情報が紐づく。漏洩時はフィッシングやなりすまし詐欺の起点になりやすい。
中小企業のセキュリティ対応が問われる #
ギグワークスはネットワーク遮断や異常検知システム導入、権限・認証方式の見直しを進めているが、初報から第3報まで8カ月を要した事実は、調査体制の薄さを物語る。人事給与系のバックオフィスサーバは後回しにされがちだが、扶養控除データのように家族構成や口座情報まで抱える以上、攻撃者にとっては金融詐欺の起点になり得る「宝の山」だ。同種のデータベースを持つ企業は、アクセス権限の棚卸しと保存データの最小化を今一度見直すべきだろう。
COMMENTS 0
まだコメントはありません。最初のコメントを投稿しよう。