JP労組の委託先に不正アクセス、組合員2万7,139人の情報が漏えい

何が起きたのか

日本郵政グループ労働組合（JP労組）は2026年11月6日、組合員の情報の漏えいについてお知らせを更新しました。

組合のホームページ上のシステムで提供している組合員向けサービスのうち、メールマガジンの配信システムの運用を、業者に任せていました。この業者のサーバーが第三者の不正アクセスを受け、システムに保存されていた組合員の情報が漏れました。組合は委託業者とともに詳しい調査を進めています。不正アクセスのあった日や侵入の経路は、更新後のお知らせにも書かれていません。

第一報からの変化

ScanNetSecurityの記事（11月5日付）によると、組合は10月26日に最初の発表をしています。その内容は、2019年ごろまで運用していたメールマガジン配信システムへの不正アクセスで、配信先リスト4万件以上が漏れた可能性があるというものでした。この記事では、ホームページの運営を委託している業者からの報告で分かったとされています。

更新後の組合のお知らせでは、対象者は2万7,139名となっています。「可能性がある」という書き方から「漏えいしていた」に変わり、件数も4万件以上から2万7,139名になりました。この違いの理由は、お知らせには書かれていません。

漏えいした項目も変わりました。報道によると最初の発表の項目は、地方本部名、組合員氏名、組合員番号、性別、メールアドレスでした。更新後は、これに生年月日が加わっています。

漏れた情報

対象は2万7,139人で、項目は地方本部名、氏名、組合員番号、性別、生年月日、メールアドレスです。

住所、電話番号、パスワード、金融機関の口座情報、要配慮個人情報は含まれないとしています。

組合の対応

組合は10月29日に個人情報保護委員会へ報告しました。組合員には、組合や関係者を装った不審なメールが届く恐れがあるとして、本文のURLや添付ファイルを開かないよう呼びかけています。問い合わせは、組合の中央本部が平日の9時から17時に受けています。

報道によると、メールマガジンを配信できない設定にし、組合員のID申請のときに、メールマガジンの配信の希望を聞く手続きも止めています。外部サイトへのリンクを含む一部の内容は、安全を確かめるまで公開を止めるとしています。

中小企業が学べること

会員向けのサービスをやめたあとも、名簿が委託先のサーバーに残っていることがあります。報道では、今回の対象のシステムは2019年ごろまで運用していたものとされていて、使わなくなってからの年月が長いデータでした。

契約には、サービスをやめたときに名簿のデータを消すこと、消したら消去の記録を渡すことを入れておきます。今動いている委託先のシステムだけでなく、以前に使っていた配信や会員向けのシステムが、委託先のサーバーに残っていないかを一度洗い出して、残っていれば消してもらうと、古い名簿から漏れる事故を防げます。委託先との決め方はシステムの委託先に聞くべき5つのことにまとめています。