10月21日の夜から22日の朝にかけて、国内の多くのWebサービスが一斉にメンテナンスに入りました。Webサイトやシステムの土台として広く使われている部品に、重大な欠陥が見つかったためです。勤怠や給与のクラウドでも、給与計算や電子契約の画面に一晩ログインできなくなったものがありました。

同じ時期、採用応募や雇用契約の情報が委託先から漏れたという公表も続いています。今回から8回に分けて、サイバー攻撃と労務管理の関係を考えます。初回は「いま何が起きているか」と「自分の事業所で何を確かめるか」です。

先に、要点を三つ

  1. 攻撃を受ける場所は、自社のパソコンだけではなくなっています。 勤怠・給与・採用で使っているクラウドや、その委託先で起きる例が目立ちます。
  2. 漏えいの公表の後には、役所や取引先を名乗る「なりすまし」の連絡が続きやすいと考えられます。 従業員や応募者にも一言伝えておくと安心です。
  3. 今日できる確認は三つです。 使っているサービスの一覧、止まったときの代わりの手順、契約を終えたサービスに情報が残っていないか。

10月21日の夜に起きたこと

欠陥が見つかったのは、Webの仕組みを作る部品の一つです。悪用されると外部から勝手にプログラムを動かされるおそれがあるとされ、情報処理推進機構(IPA)なども対策を呼びかけました。修正版の公開に合わせて各社が夜のうちにサービスを止めて直した、というのが一斉メンテナンスの多くだとみられます。直すのは運営会社の側ですが、「止まる」こと自体は利用者の仕事に響きます。給与の締め日に重なっていたらどうなったか、一度考えておく値打ちはありそうです。

自社のWebサイトも無関係ではありません。筆者が関わるある事業所では、ホームページがこの部品の上で動いていました。発表の当日に設定で守りを固め、翌日の夜には、部品を動かさない形のサイトへ切り替えました。見た目やアドレスは変わっていません。更新を自分たちで追い続けられるかを考えた末の、「直す」より「減らす」選択でした。

参考までに、当事務所のサイトは、AIと一緒に管理することを想定して、もともと同じ形で作っています。サーバーでプログラムを動かさず、外から入れるログイン画面もなく、手元で作ったページを置くだけです。狙いは管理のしやすさでしたが、結果として攻撃を受ける入口が小さいという副次的な効果もありました。

採用と雇用契約の情報も狙われている

ある採用管理のクラウドサービスでは、8月から9月にかけて不正アクセスがあり、暫定で約39万人分が対象になったと公表されました。うち約3万人分は雇用契約を電子で結ぶ機能の利用者で、マイナンバーや基礎年金番号、口座の情報も対象に含まれるとされています。委託を終えて2年以上たっても、応募者のデータが残っていた企業もありました。Webサイトを作るサービスへの不正アクセスで、各社の応募フォームの送信内容が漏れた可能性がある、という公表も出ています。自社が攻撃されていなくても、預け先を通じて漏えいの当事者になり得るということです。

漏えいの後には、名乗りの連絡が届きやすいと考えられます。日本年金機構は10月19日、機構を装う偽メールの例を更新し、メールで口座番号を尋ねたり支払いを促したりすることはないとしています。年末調整の時期でもありますので、「会社からメールでマイナンバーや口座を聞くことはありません」と従業員に伝えておくのが現実的ではないでしょうか。

まとめ — 自分の事業所で確かめる三つ

  • 一覧: 勤怠・給与・採用・年末調整・電子申請で使っているサービスと、その管理者を紙一枚に書き出す
  • 止まったときの手順: 打刻できない日の記録の残し方と、締め日に給与計算が止まったときの連絡先を決めておく
  • 契約を終えたサービス: 解約した先に応募者や従業員の情報が残っていないかを確かめる

次回は、狙われ始めている採用の入口、応募フォームと採用管理の話です。サイトの作り替えの経緯は以前の記事に書きました。

ご相談は、当事務所の無料相談をご利用ください。

参考(一次情報)

  • 情報処理推進機構(IPA)「PHPの脆弱性対策について(CVE-2026-109618、CVE-2026-109619:PHP2shell)」2026年10月22日: https://www.ipa.go.jp/security/security-alert/2026/alert20261022.html
  • 採用管理サービス運営会社の公式告知(2026年9月9日公表・10月9日更新): https://applynow.co.jp/news/20260909
  • 日本年金機構「日本年金機構を装った不審なメール・SMSにご注意ください。」(2026年10月19日更新): https://www.nenkin.go.jp/oshirase/gochui/20200609.html

※本記事は一般的な情報提供であり、個別の法的助言やセキュリティ診断ではありません。記載した事実は2026年10月23日時点の公表内容で、今後の調査により変わることがあります。