スカイマーク、社員の顔写真など6,692名分が閲覧できる状態に

何が起きたのか

スカイマークは2026年11月2日、社員と2008年以降の退職者の個人情報の一部が、社外または社内から閲覧できる状態にあったと公表しました。

きっかけは、10月19日に発表した新卒・既卒採用の問い合わせフォームの件です。管理画面のアクセス制限が正しく設定されていなかったため、同社は管理するサーバーの点検を進め、その中で今回の件が分かりました。

原因は、社内向けのファイルや記録をアクセス制限のない場所に保存していたことです。ファイルや記録の場所を示すURLは社内外のどちらにも案内しておらず、ホームページからのリンクもありませんでしたが、URLを知っていれば誰でも開ける状態でした。

漏れた情報

対象は3つの区分に分かれ、閲覧できた期間も区分ごとに違います。

区分	人数	含まれる情報	閲覧できた期間
社員の顔写真	6,692名	顔写真、社員番号	2026年10月21日まで（閲覧できるようになった時期は特定できていません）
社員向けシステムのログ・データ	4,247名	社員番号、氏名、ログイン用のパスワード、ログイン履歴、災害時義援金と社内投票の申込内容	2008年7月から2026年10月21日まで
社員向けシステムの入力記録	5,467名	社員番号、氏名、生年月日、メールアドレス	2008年5月21日から2026年10月28日まで

人数には退職者も含まれ、退職者の社員番号は在籍当時のものです。入力記録は、社内ネットワークからだけ閲覧できる状態でした。住所、電話番号、クレジットカード情報は含まれていません。

会社の対応

いまはいずれも閲覧できない状態にしています。アクセス記録が残っている期間を確認した範囲では、第三者が情報を取得した形跡はなく、二次被害も確認されていません。

ただし、記録が残っていない期間があります。社員の顔写真は2025年6月8日以前、ログ・データと入力記録は2026年1月5日以前です。この期間は閲覧がなかったことを確認できないため、同社は「漏えいのおそれ」があるものとして、10月30日に個人情報保護委員会へ報告しました。

ログイン用のパスワードは定期的な変更を必須としているため、記録のない2026年1月5日以前に保存されたものは、すでに使えなくなっているとしています。

対象の社員には11月2日に個別に通知し、過去5年以内に退職して連絡先が分かる人にはメールで知らせました。連絡先が分からない人には、ホームページに載せたお知らせで案内しています。自分が対象かどうかは、個人情報の問い合わせ窓口（メール）で確かめられます。同社や公的機関を名乗る不審なメールや電話でパスワードや個人情報を求められても応じないよう、呼びかけています。

再発防止として、管理するサーバーの定期点検と、管理用の画面やファイルへのアクセス制限を、あらためて徹底するとしています。

中小企業が学べること

この件では、アクセス記録が残っている期間と残っていない期間で、同社が言えることが変わりました。記録が残る間は「取得の形跡はない」と言え、残らない期間は「確認できない」ため、おそれとして報告することになりました。Webサーバーのアクセス記録を何か月分残しているかは、事故のときに調べられる範囲を決めます。自社の保存期間を一度確かめておいてください。

次の3点は、そのまま自社の作業にできます。

• 公開用のWebサーバーに、社内用のファイルやログ、書き出したデータを置いていないか、制作会社や運用会社と一覧にして確かめる
• URLを知らせていないだけのページや、ファイルの置き場所に、パスワードかIPアドレスによるアクセス制限をかける
• 1か所で見つかったら、同じ担当者や同じ時期に作った別の置き場所も同じ観点で調べる

パスワードを定期的に変える運用は、この件では古い記録に残ったパスワードを使えなくしていました。変更の周期を決めておくと、漏れた場合に古い分が自然に無効になります。