チームスピリットで個人情報28,824件が流出、開発環境と本番の対象範囲

株式会社チームスピリットは2026年11月6日、開発用サーバーへの不正アクセスにより、同社が利用するクラウド環境から個人情報が流出したと公表しました。

流出したのは重複を除いて28,824件で、うち35件が要配慮個人情報です。同社の発表に基づき、本番サービスとの違いと利用企業の確認事項を整理します。

開発用サーバーからクラウドへ広がった不正アクセス

10月27日、ソフトウェア開発用サーバーへの不正ログインが発生しました。攻撃者はサーバーに保存されていた認証情報を使い、同社が利用するクラウド環境からデータを取得したとしています。

同社は開発用サーバーの設定と情報管理の不備が原因と説明しています。未知の脆弱性が原因とはしていません。不正ログインの方法やログイン情報の取得方法の詳細は、模倣を防ぐため公表されていません。

対象は現在・過去の契約企業の担当者や利用者、問い合わせ・セミナー等の申込者、自社の従業員・退職者などの情報です。氏名、メールアドレス、ログインID等に加え、一部の問い合わせ内容や勤怠記録が含まれます。

本番のTeamSpirit環境への不正アクセスは確認されていません。流出した一部の勤怠記録は、本番とは別に同社環境で保有していたものと説明しています。11月6日時点で、流出情報の悪用による二次被害や、Web・SNSでの公開は確認されていません。

流出した個人情報の区分と主な対象情報（11月6日時点）
区分	主な対象情報
契約企業の担当者・利用者	氏名、メールアドレス、ログインID、識別子、アカウント情報、一部問い合わせ内容・勤怠記録等
問い合わせ・セミナー等の申込者	識別情報、会社名等
自社従業員・退職者	氏名、社員番号、業務メール、入退社日、誕生月日、社内システムのアカウント情報、勤務管理記録等

同社は10月27日に対象サーバーを停止し、外部接続を遮断しました。流出の可能性がある認証情報の多くを無効化し、外部専門家や弁護士と調査しています。

10月30日に個人情報保護委員会へ報告し、11月6日から対象者へ個別の案内を始めました。連絡先が分からない場合は公表をもって案内に代えるとしています。個別の流出項目は案内で確認してください。

同社や従業員をかたるメール・電話・SMSに注意し、心当たりのないURLや添付ファイルを開いたり、ID・パスワードを入力したりしないでください。専用問い合わせ先はsupport-2026@teamspirit.comです。

再発防止策として、セキュリティ管理の強化、開発環境の再構築、監視の見直しなどを検討しています。具体策は調査結果に応じて公表するとしています。

まず、開発環境に残る認証情報を棚卸ししてください。本番や別のクラウドへ接続できる鍵を開発サーバーに置いていないか、権限が必要以上に広くないかを点検することが重要です。

次に、開発用サーバーの外部ログイン経路と認証設定を確認します。本番サービスの対策だけでなく、開発・保守のために設けた入口も管理対象に含めてください。

三つ目は、開発・保守環境へコピーした顧客データの管理です。保管場所、利用目的、削除期限を確認し、開発用の認証情報で取得できるデータを必要最小限にしてください。

国内で公表された他のサイバー攻撃・不正アクセスの事例は、国内のサイバー攻撃・情報漏洩事例一覧で業種・原因・公表月から探せます。

緊急の場合AI攻撃リスク即点検サービス公開情報と、契約後すぐに用意できるアクセスの記録から先に調べ、被害や狙われやすい構成がないかを早く確かめます。

TeamSpiritの本番サービスにも不正アクセスがありましたか？

11月6日時点で、本番のTeamSpirit環境への不正アクセスは確認されていません。流出した一部の勤怠記録は、本番とは別の同社環境で保有されていたものです。

流出した個人情報は何件ですか？

重複を除いて28,824件です。このうち35件は要配慮個人情報に該当すると公表されています。対象者によって流出した項目は異なります。

自社や自分の情報が対象か、どこで確認できますか？

11月6日から始まった個別の案内で確認してください。問い合わせ先はsupport-2026@teamspirit.comです。連絡先が分からない場合は公表をもって案内に代えるとしています。

株式会社チームスピリットの2026年11月6日付発表に基づきます。被害範囲と対応状況は同日発表時点の情報です。