ベネフィット・ワン、1万3460人分の情報漏えい。他社の従業員情報が混在

ITmedia NEWSによると、ベネフィット・ワンで1万3460人分の情報が漏えいした。見出しでは、アンケート結果をダウンロードした利用者の手元に、他社の従業員の情報が含まれていたとされる。入手できたのは見出しのみで、漏えいした項目や、何社の情報が対象になったのか、いつから起きていたのかは分かっていない。

経緯からは、外部からの攻撃ではなく、アンケート結果を出力する仕組みで企業ごとのデータの切り分けが正しく働かなかったことが原因とみられる。複数の企業が1つの仕組みを共有するサービスでは、データを顧客ごとに分ける処理（テナント分離）が要になる。抽出条件やアクセス権の設定に誤りがあると、今回のように他社のデータが混ざって出力される。

福利厚生サービスは、多くの企業が従業員の情報を預ける仕組みである。委託先で事故が起きた場合でも、従業員への説明や対応は利用企業の側にも求められる。原因や再発防止策の公表を待つ必要があるが、SaaSを選ぶ際にデータの分離をどう担保しているかを確認する重要性を示す事例といえる。