業務委託先での個人情報の不適切な取り扱いが明らかになり、委託契約の解除を経て、委託先が破産に至った事例があります。本記事では公表情報をもとに経緯を整理し、委託元と委託先の双方が平時から確認しておきたい点を考えます。委託先管理や情報管理の担当者の方にお読みいただけます。
要点
- 委託先の情報管理の不備は、委託元の顧客への影響と、委託先自身の事業継続の両方に関わります。
- この事例は、外部からの申告をきっかけに発覚しています。
- 契約上のルールを定めるだけでなく、運用の実態を継続的に確認することが重要です。
何が起きたか
ソフトバンクの公表内容
ソフトバンク株式会社は2025年6月11日、業務委託先の株式会社UFジャパンから、同社の携帯電話サービスを契約する個人の顧客情報が流出した可能性があると発表しています。
同社によると、2025年3月下旬に社外の第三者から申告を受けて調査した結果、UFジャパンの協力会社の元従業員による持ち出しの可能性や、従業員によるクラウドサービスへのアップロードなどが判明したとしています。流出した可能性がある情報は、氏名、住所、生年月日、電話番号、契約内容などで、現在判明しているものは13万7,156件（約14万件）とされています。クレジットカード情報や口座情報、マイナンバーカードに関する情報は含まれていないとしています。
また同社は、UFジャパンが許諾なしに協力会社と契約していたことや、契約上のルールに反した情報の取り扱い、同社のセキュリティ監査への虚偽の報告があったことが判明したと説明しています。
ソフトバンクの対応
ソフトバンクは、6月3日に監督官庁および関係機関へ報告し、警察への相談を進めるとともに、5月20日に当該業務を停止し、6月9日付で業務委託契約を解除したとしています。
UFジャパンの破産
帝国データバンクによると、UFジャパンは2026年1月に破産手続き開始決定を受け、負債は約7億3400万円とされています。
なぜ重要か
この事例では、情報の取り扱いの不備が、委託元の顧客への影響だけでなく、契約の解除や委託先自身の事業継続にまで影響しています。情報管理は、取引を続けるための前提条件でもあります。
また、問題は外部からの申告をきっかけに発覚しています。契約でルールを定めていても、実際の運用が守られているかを確認する手段がなければ、委託元は状況を把握できません。
確認すべきこと
- 再委託の把握：委託先が再委託や協力会社を使っているか、許諾の手続きが守られているかを確認します。
- 運用の実態確認：入退室管理、外部記録媒体の利用制限、クラウドサービスへのアップロード制限など、契約上のルールが現場で守られているかを確認します。
- 監査の方法：自己申告の回答だけに頼らず、現地確認や記録の確認など、根拠を伴う監査の方法を組み合わせます。
- 申告・通報の窓口：社外からの申告を受け付け、速やかに調査につなげる手順を整えます。
- 委託先側の備え：委託を受ける側も、委託元のルールを自社の運用に落とし込み、説明できる記録を残します。
継続的な管理につなげる
委託先の確認を年に一度の書類提出で終わらせず、確認の結果と是正の経緯を記録し、定期的に見直す運用にすることで、委託元として説明責任を果たしやすくなります。
PIPELINEの支援
PIPELINEは、外部から観測できる情報をもとに、自社や取引先のサイバーリスクを継続的に把握するための支援を行っています。RiskSensorでは、外部公開資産や設定不備などの状況を可視化し、優先して確認すべき点の整理に役立てることができます。
インシデント発生時には、ログ分析と専門家による確認を組み合わせ、状況把握や対応判断を支援しています。
なお、外部から確認できる情報だけですべての構成や侵害状況を判断できるわけではありません。社内の資産管理情報や担当者による確認と組み合わせることが重要です。
ご相談について
外部リスクの確認についてのご相談は、お問い合わせからご連絡ください。SCS評価制度★3の進め方を解説したオンデマンドセミナーはこちらでご案内しています。
出典
- ソフトバンク株式会社「業務委託先企業による個人情報漏えいの可能性について」2025年6月11日 https://www.softbank.jp/corp/news/press/sbkk/2025/20250611_01/
- 帝国データバンク「株式会社UFジャパン｜倒産速報」 https://www.tdb.co.jp/report/bankruptcy/flash/5203/
※本記事は公表情報および報道に基づいており、今後の調査により内容が更新される可能性があります。
