スカイマーク、社員・退職者の個人情報が閲覧可能に　顔写真など漏えいのおそれ

　スカイマーク（SKY/BC、9204）は11月2日、社員や2008年以降の退職者の顔写真、氏名、ログイン用パスワードなどの個人情報が、社外または社内から閲覧できる状態になっていたと発表した。漏えいのおそれがあるとして、10月30日に個人情報保護委員会へ報告した。現在は閲覧できないよう対処済み。

社員・退職者の個人情報が閲覧できる状態だったスカイマーク＝PHOTO: Tadayuki YOSHIKAWA/Aviation Wire

　閲覧可能だった情報は、社員の顔写真▽社員向けシステムのログ・データ▽社員向けシステムの入力記録、の3種類。対象人数は種類により異なり、社員の顔写真と社員番号が6692人分、社員向けシステムのログ・データが4247人分、入力記録が5467人分だった。ログ・データには社員番号や氏名、ログイン用パスワード、ログイン履歴、災害時義援金や社内投票の申込内容が含まれていた。入力記録は社内ネットワークからのみ閲覧可能で、社員番号、氏名、生年月日、メールアドレスが含まれていた。対象人数には退職者を含み、3種類の情報で対象者が重複しているかは明らかになっていない。

　このうち顔写真と社員番号は10月21日まで閲覧可能で、開始時期は特定できていない。ログ・データは2008年7月から今年10月21日まで、入力記録は2008年5月21日から今年10月28日まで閲覧できる状態だった。住所や電話番号、クレジットカード情報は含まれていないという。

　同社によると、アクセス記録が残っている期間を調べた範囲では、第三者が個人情報を取得した形跡はなく、現時点でデータの流出や二次被害、不正アクセスの痕跡も確認されていない。一方、顔写真については2025年6月8日以前、ログ・データと入力記録については今年1月5日以前のアクセス記録が残っておらず、閲覧されていなかったことを確認できないため、漏えいのおそれがあると判断した。

　スカイマークは、トラブルの原因について、社内向けのファイルや記録をアクセス制限のない場所に保存していたことと説明。ファイルなどのURLは社内外に案内されておらず、同社サイトなどからのリンクもなかったが、URLを知っていれば閲覧できる状態だった。入力記録は、社内ネットワークからのみ閲覧可能だった。

　スカイマークは10月19日に、新卒・既卒採用の問い合わせフォームの管理画面でアクセス制限に不備があり、利用者488人の個人情報が社外から閲覧できる状態だったと発表。これを受けて同社が管理するサーバーを点検したところ、今回の社員・退職者の情報に関する問題が判明した。

　ログ・データに含まれていたパスワードのうち、今年1月5日以前に記録されたものは、定期的な変更を必須としているため、すでに使用できなくなっているという。同社は11月2日付で、対象の社員に個別に通知し、過去5年以内に退職した人のうち連絡先を把握している人には電子メールで連絡した。今回の不具合について調査と対応は完了しており、今後はサーバーの定期点検やアクセス制限の徹底などで再発防止を図る。

関連リンク
スカイマーク

・スカイマーク、採用問合せ画面に設定不備　10年超閲覧可能に（26年10月19日）
・スカイマーク、個人情報流出　入力フォームから最大41件、不正利用「確認なし」（25年10月14日）