業務委託先での個人情報の不適切な取り扱いが明らかになり、委託契約の解除を経て、委託先が破産に至った事例があります。本記事では公表情報をもとに経緯を整理し、委託元と委託先の双方が平時から確認しておきたい点を考えます。委託先管理や情報管理の担当者の方にお読みいただけます。
ソフトバンク株式会社は2025年6月11日、業務委託先の株式会社UFジャパンから、同社の携帯電話サービスを契約する個人の顧客情報が流出した可能性があると発表しています。
同社によると、2025年3月下旬に社外の第三者から申告を受けて調査した結果、UFジャパンの協力会社の元従業員による持ち出しの可能性や、従業員によるクラウドサービスへのアップロードなどが判明したとしています。流出した可能性がある情報は、氏名、住所、生年月日、電話番号、契約内容などで、現在判明しているものは13万7,156件（約14万件）とされています。クレジットカード情報や口座情報、マイナンバーカードに関する情報は含まれていないとしています。
また同社は、UFジャパンが許諾なしに協力会社と契約していたことや、契約上のルールに反した情報の取り扱い、同社のセキュリティ監査への虚偽の報告があったことが判明したと説明しています。
ソフトバンクは、6月3日に監督官庁および関係機関へ報告し、警察への相談を進めるとともに、5月20日に当該業務を停止し、6月9日付で業務委託契約を解除したとしています。
帝国データバンクによると、UFジャパンは2026年1月に破産手続き開始決定を受け、負債は約7億3400万円とされています。
この事例では、情報の取り扱いの不備が、委託元の顧客への影響だけでなく、契約の解除や委託先自身の事業継続にまで影響しています。情報管理は、取引を続けるための前提条件でもあります。
また、問題は外部からの申告をきっかけに発覚しています。契約でルールを定めていても、実際の運用が守られているかを確認する手段がなければ、委託元は状況を把握できません。
委託先の確認を年に一度の書類提出で終わらせず、確認の結果と是正の経緯を記録し、定期的に見直す運用にすることで、委託元として説明責任を果たしやすくなります。
PIPELINEは、外部から観測できる情報をもとに、自社や取引先のサイバーリスクを継続的に把握するための支援を行っています。RiskSensorでは、外部公開資産や設定不備などの状況を可視化し、優先して確認すべき点の整理に役立てることができます。
インシデント発生時には、ログ分析と専門家による確認を組み合わせ、状況把握や対応判断を支援しています。
なお、外部から確認できる情報だけですべての構成や侵害状況を判断できるわけではありません。社内の資産管理情報や担当者による確認と組み合わせることが重要です。
外部リスクの確認についてのご相談は、お問い合わせからご連絡ください。SCS評価制度★3の進め方を解説したオンデマンドセミナーはこちらでご案内しています。
※本記事は公表情報および報道に基づいており、今後の調査により内容が更新される可能性があります。