【注意喚起】「直したはず」が9か月続いた ― 設定不備で他社の従業員情報13,460人分が閲覧可能に。Googleドライブで同じことが起きる3つの条件

問題は設定ミスではなく「直っていないことに気づけなかった」こと。共有権限は是正後の確認まで仕組み化を

2026年9月、大手福利厚生サービスの運営会社が、企業の担当者向けプラットフォームのアンケート機能に設定の不備があり、本来はアクセスできないはずの他の企業・団体の従業員情報が、ダウンロードしたファイルに含まれる状態になっていたと公表しました。対象は2,322の企業・団体、13,460名分の社員・職員番号、氏名、性別、生年月日、企業・団体名、所属/役職、入退社情報です。この不具合は2025年6月のシステム改修で生じ、同年10月の社内調査で把握されていましたが、その後の修正作業が適切に行われないまま、2026年7月に利用企業の担当者からの連絡で発覚しました(出典:ScanNetSecurity 2026年10月6日)。

■ この事案の本質は「設定ミス」ではなく「直っていないことに気づけなかった」こと

アクセス権限の設定ミスは、どの組織でも起こり得ます。今回の事案が示しているのは、その先にある問題です。

⚫︎見えていたのは、攻撃者ではなく同じサービスを使う別の企業の担当者だった

権限の線引きが1本ずれただけで、日常の操作から情報が出ました。

⚫︎社内では不具合を把握していた

それでも修正が完了せず、完了したかどうかの確認も行われませんでした。

⚫︎最終的に気づいたのは外部だった
自社側に、直っていない状態を検知する手段がありませんでした。

対策として語られるのは多くの場合「設定を見直す」「教育を徹底する」ですが、今回のように一度見直した後でも、直っていない状態は残ります。必要なのは、直したかどうかではなく、直った状態が続いているかを確かめ続ける仕組みです。

■ Googleドライブで同じことが起きる3つの条件

Google Workspaceをお使いの組織でも、同じ構図は起こり得ます。

1. 「組織内の全員」で開いたフォルダ

社内の誰かに渡すために共有範囲を広げると、社内の全員が到達できる状態になります。部署をまたいで見えてはいけない情報(人事・給与・評価)が同じ場所に入っていても、設定した本人以外は気づきません。

2. Googleグループ経由で付いた権限

グループに対してファイルを共有すると、その後そのグループに追加された人も自動的に閲覧できるようになります。異動でグループに入った人が、異動前のファイルまで見られる状態は、ファイル単位の共有画面を見ているだけでは分かりません。

3. 一度直した共有が、また戻る

「リンクを知っている全員」を「制限付き」に戻しても、同じファイルが別の場面で再び共有されれば元に戻ります。今回の事案と同じく、一度の是正は、続いていることを確かめなければ一時的な処置で終わります。

いずれもGoogleドライブの不具合ではなく、設定として正しく機能している状態です。問題は、組織としてその状態を確認し続ける手段が標準では用意されていないことにあります。

■ 対策:直すことより、直った状態が続いているかを見る

DriveChecker株式会社が提供する「DriveChecker」は、Google Workspace上のファイルの共有状態を管理者が一覧で確認し、ルールから外れた共有を自動で解除するSaaS型のサービスです。

組織内の全ファイルを横断して、誰にどの権限で共有されているかを検索・可視化できます

「リンクを知っている全員」など、あらかじめ定めたルールから外れた共有を自動で解除します。解除は人の作業を介さないため、対応漏れが起きません

共有件数の推移を定期的にレポートで確認できます。是正した後に再び増えていないか、直った状態が続いているかを数字で追えます

他のメンバーのマイドライブ内のファイルも管理対象に含められます

導入はGoogle Workspaceの特権管理者アカウントでAPI連携の設定を行うだけで、現場の利用者が普段の使い方を変える必要はありません。ファイルの中身は取得せず、共有状態などのメタデータのみを参照します。

14日間の無料トライアルをご用意しています。

https://drivechecker.co.jp/

■ 会社概要

DriveChecker株式会社

所在地:〒550-0013 大阪府大阪市西区新町1丁目5-7 四ツ橋ビルディング3階

事業内容:Googleドライブ向けセキュリティ管理サービス「DriveChecker」の開発・運営、および導入・運用サポート

URL：https://drivechecker.co.jp/

■ 本件に関するお問い合わせ先

DriveChecker株式会社

Email：[e-mail]