ユナイテッドアローズ情報漏洩事件とは｜誰が何を持ち出したか・時系列と続報、企業の対策

ユナイテッドアローズの情報漏洩事件は、2025年12月31日付で退社した元従業員が、広報・PR活動で使う取引先の個人情報 約1万人分を持ち出した内部不正です。同社は2026年3月16日に公式サイトで公表し、翌17日に1月19日の警察相談を追記しました。漏えいしたのは取引先担当者の氏名や勤務先、メールアドレスなどで、オンラインストアの購入者情報やクレジットカード情報は公表文の対象項目に含まれていません。2026年10月23日時点で続報は出ておらず、公表した会社は10月1日に持株会社「TABAYAホールディングス」へ商号を変えています。この記事では、公式発表の記載をもとに「誰が・何を・いつ・どうやって」持ち出したのかを整理し、退職後も利用された共有リンクの経路と、企業が取るべき対策まで解説します。

まとめ

• 持ち出したのは2025年12月31日付で退社した元従業員です。氏名・役職・転職先の社名は公表されていません。
• 元従業員は退職前にクラウドの外部連携機能で資料をアップロードし、個人のメールアドレスへリンクを送っていました。退職後の2026年1月4日にそのリンクから外部PCへダウンロードし、1月6日に発覚しています。
• 漏えいした項目は氏名・勤務先企業名・所属部署・所属部署電話番号・メールアドレス・事業場の住所・事業用電話番号の7つで、件数は約1万人です。
• 個人情報保護委員会への報告は3月9日付です。「1月9日に報告」とする解説がありますが、1月9日は転職先との面談日です。
• 同社は外部機関の調査で使用実績・第三者の閲覧可能性がないことを確認し、二次被害やそのおそれはないとしています。転職先PCの調査は継続中とされたまま、2026年10月23日時点で続報はありません。
• 2026年10月1日の持株会社移行で、公表した旧ユナイテッドアローズは「株式会社TABAYAホールディングス」に商号を変え、事業は子会社の新しい株式会社ユナイテッドアローズが引き継ぎました。ブランド名や店舗名は変わっていません。
• 企業側の教訓は、退職時にアカウントを止めるだけでは足りないことです。退職予定者が作った外部共有リンクを棚卸しし、失効させる手順が要ります。

事件の概要：持ち出した元従業員と漏えい情報の範囲

持ち出した元従業員：2025年12月31日付の退社と氏名・所属の公表状況

公式発表は、当事者を「弊社の元従業員（2025年12月31日付退社）」と書いているだけです。氏名、所属部署、役職、転職先の社名はいずれも公表されていません。持ち出した資料が「広報・ＰＲ活動のお取引に関する資料」であることから、広報・PR業務に関わっていた人物と推測する報道や解説もあります。ただし同社の公表文に、所属を明記した記載はありません。

転職先については、同社が2026年1月9日に面談し、「当該漏洩に関与しておらず、元従業員が持ち出した情報を使用していないことを確認」したとしています。「引き抜き」や「裏切り」といった検索語で調べる人もいますが、転職先が組織的に関与したことを示す記載は公表文にありません。

漏えいした7項目と約1万人の範囲：広報・PR活動に係る取引先関係者

漏えいした情報は次の7項目です。氏名以外の項目は、対象者によって含まれるものが異なります。

公表された項目は氏名や勤務先の連絡先ですが、各情報が公開済みかどうかは示されていません。ただし、約1万人分の氏名と勤務先・部署・メールアドレスが一度に持ち出された点は、名刺1枚の流出とは重みが違います。「ユナイテッドアローズ広報」を名乗る偽のプレス案内や展示会招待メールを、実在の担当者名と部署名を宛名に入れて送れる材料になるからです。

発覚から公表までの時系列と、その後の続報・社名変更

公式発表に書かれた日付（2025年12月31日〜2026年3月17日）

公式発表「お取引先様の個人情報漏えいに関するお詫びとご報告」（2026年3月16日付、3月17日更新）に書かれた日付を並べると次のとおりです。

外部機関が調べたのは、元従業員に貸与していたPCと元従業員の個人PCの計2台です。2月27日の結果では、この2台で「当該データの使用実績がないこと、及び元従業員以外に当該データの閲覧可能性がないこと」を確認しています。転職先PCは「外部への流出可能性は低い」という見解にとどまり、調査の継続と、転職先PCを含めたデータの削除対応中と書かれています。

発覚の1月6日から公表の3月16日までは69日です。同社が公表前に済ませたと書いているのは、事情聴取、転職先との面談、警察への相談、外部機関の調査、個人情報保護委員会への報告です。

報告日には注意が要ります。旧版の本記事を含め、「1月9日付で個人情報保護委員会に報告」と書いた解説が出回りましたが、公式発表の記載は「2026年３月９日付で報告済です」です。INTERNET Watchの記事も3月9日としています。1月9日は転職先との面談日で、報告日ではありません。

2026年10月時点の続報と、TABAYAホールディングスへの社名変更

2026年10月23日に同社の企業サイトのニュース一覧（2026年分の全ページ）とトップページの重要なお知らせ欄を確認しましたが、本件の続報や転職先PCの調査結果は掲載されていません。公表文のタイトルも「【3/17情報更新】」のままです。

この間に会社の形が変わっています。同社は2026年5月11日、会社分割で持株会社体制へ移る吸収分割契約の締結と商号変更を開示しました。2026年4月1日に設立した100%子会社「株式会社ユナイテッドアローズ」に事業を承継させ、本件を公表した会社自身は10月1日付で「株式会社TABAYAホールディングス」に商号を変えて上場を続けるという内容です。新しい株式会社ユナイテッドアローズの会社概要には、設立2026年4月1日、TABAYAホールディングス100%出資と記載されています（2026年10月1日現在）。

お客様向けの「持株会社体制への移行について」（2026年5月14日）は、株式会社ユナイテッドアローズがホールディングスの子会社として続くこと、ブランド名や店舗名は変わらないことを案内しています。本件の公表文は移行後も同じURLに残っており、問い合わせ先の [email protected] も書き換えられていません。社名変更は持株会社化によるもので、本件との関係は同社の発表に書かれていません。

持ち出しの経路：退職前の個人メールへのリンク送付と退職後のダウンロード

本件でいちばん実務的な教訓は、持ち出しの経路にあります。公式発表（2026年3月17日更新版）の記載は次のとおりです。

弊社が使用するクラウドサーバーシステム上の外部連携機能を利用して、電子データ（個人情報を含むお取引先様リストや広報・ＰＲ活動のお取引に関する資料の一部）をアップロード、退職前に個人のメールアドレスへリンクを送付し、退職後の2026年1月4日にそれらを外部PCにダウンロードして持ち出した

公表文が説明する経路は、在職中に作った共有リンクを個人のメールアドレスで受け取り、退職後にそのリンクからダウンロードしたというものです。ダウンロード時の認証方法や、社内アカウントの停止状況は公表されていません。ただ、共有の設定によっては、退職日に社内アカウントを止めても、外部へ渡したリンクから引き続きダウンロードできます。たとえば「リンクを知っている全員」が閲覧できる共有や、個人のメールアドレスを共有相手に指定した共有は、ダウンロードに社内アカウントのログインを必要としません（Googleドライブのファイル共有ヘルプ）。本件がどの設定だったかは公表されていません。公式発表も、この行為を「不正アクセス」とは表現していません。

同社が使うクラウドのサービス名も公表されておらず、製品上の問題があったかどうかは判断できません。ただし、共有相手の権限が所有者のアカウント停止後も残る製品はあります。例としてGoogle Workspaceの管理者ヘルプは、ユーザーを停止したときの挙動を「Collaborators who have been granted access to shared documents will retain their ability to view, edit, and collaborate on those documents.」と説明しています。停止されたユーザーが共有したドキュメントを、共有相手は引き続き閲覧・編集できるという意味です。

IPAの「組織における内部不正防止ガイドライン」（第5版・2022年4月）は、「異動又は退職により不要となった利用者 ID 及びアクセス権は、ただちに削除しなければならない」と定めています。この原則を実施する際は、退職者のIDだけでなく、外部共有によって残るアクセス権も確認する必要があります。退職者が作った共有リンクと、そのリンクを受け取った外部アドレスの権限も対象です。

同社が示した原因と再発防止策の読み方：外部共有への対策と調査範囲

公式発表は、原因を「元従業員に取引情報及び個人情報の重要性に対する認識に不足があったこと、弊社において情報の外部持ち出しを防止する措置が十分とは言えなかったこと」の2点としています。再発防止策は「適切なアクセス制限を含むシステムのセキュリティ強化、監視体制の見直し、社員教育の徹底」です。

3つの対策は方向として妥当ですが、どれも抽象度が高く、本件の経路を塞ぐ具体策は書かれていません。前章で見たとおり、持ち出しは「個人メール宛ての外部共有」と「退職後も生きていたリンク」の2点で成立しています。社員教育だけでは、共有設定やアクセス権を技術的に遮断できず、意図的に持ち出そうとする退職予定者は止めきれません。同じ構成のクラウドを使う企業は、同社の再発防止策をそのまま写すのではなく、次章の技術的対策に落とす必要があります。

初動は、持ち出しから2日で発覚し、翌日に本人へ事情聴取しています。一方で調査範囲には注意が要ります。外部機関が使用実績なしと確認した対象は貸与PCと個人PCの2台です。転職先PCは継続調査中とされており、調査済みの範囲と分けて読む必要があります。

個人情報保護法上の位置づけ：本件の報告義務と本人通知の公表状況

個人情報保護法26条1項と同法施行規則7条は、個人情報保護委員会への報告が必要な漏えいを4類型に定めています。

約1万人という件数だけで4号に当たるため、報告義務があったことは明らかです。個人情報保護委員会のガイドライン（通則編）は、3号の「不正行為」の主体に従業者も含まれるとし、報告を要する事例に「従業者が顧客の個人データを不正に持ち出して第三者に提供した場合」を挙げています。3号に当たれば、確報の期限は事態を知った日から30日ではなく60日になります（規則8条2項）。速報は条文上「速やかに」で、委員会は漏えい等報告の案内ページで発覚日から3〜5日以内を目安に示しています。ただし公表文は、どの号で報告したか、3月9日の報告が速報か確報かを書いていません。ここを推測で断定する解説には注意してください。報告の期限と手順は個人情報保護委員会への報告義務の解説で詳しく整理しています。

同法26条2項は原則として本人への通知を求めており、ウェブサイトでの公表とは区別されます。本件公表文だけでは、個別通知の実施状況や、通知が困難な場合の代替措置に該当するかは確認できません。同社は公表文を「お取引先様各位」宛てとし、問い合わせ先として [email protected] を示しています。

取引先リストは、秘密として管理され、事業に有用で、公然と知られていなければ、不正競争防止法2条6項の「営業秘密」に当たりえます。同社が公表しているのは1月19日の警察への相談までで、刑事告訴や民事訴訟の有無は公表されていません。

取引先と一般顧客の確認事項：不審メールへの警戒と会員情報への影響

通知を受けた取引先担当者：同社を名乗る不審メールへの警戒と真偽の確認

同社は二次被害のおそれはないとしていますが、転職先PCの調査は継続中です。漏えいした項目は氏名・部署・メールアドレスの組み合わせなので、警戒すべきなのは、宛名が正確な標的型攻撃メールです。「ユナイテッドアローズ広報」を名乗る添付ファイル付きのメールや、展示会・サンプル貸し出しを口実にしたログイン誘導が届いたら、メール本文の連絡先ではなく、既知の窓口に電話して真偽を確かめてください。本件そのものの問い合わせ先は、上記のプライバシー窓口です。

同社は本件の前の2025年12月24日にも、「弊社名・弊社代表者名を騙った迷惑メールにご注意ください。」を掲載しています。社名と代表者名を騙り、LINEグループの作成やQRコードの送付を求めるメールが確認されたという内容で、同社は「取引先様や個人の方に対し、LINEグループの作成依頼やQRコードの送付をお願いすることは一切ございません」としています。持ち出しは2026年1月4日なので、この迷惑メールは本件の漏えいとは別の事案です。ただ、取引先担当者を狙う手口として同社がすでに確認しているものなので、「社長からの依頼」の形でLINEやQRコードへ誘導されたら、指示に従わず、返信もしないでください。この型のビジネスメール詐欺（BEC）は、送金や口座情報の聞き取りに進みます。

オンラインストアの利用者：本件の対象外と、別件の偽サイト注意喚起

本件の対象は取引先関係者で、公表文の漏えい項目に購買履歴・カード情報・会員IDはありません。オンラインストアやUAクラブの会員がこの件を理由にパスワードを変える必要は、公表文からは読み取れません。

別件として、同社は2025年11月21日に「『ユナイテッドアローズ オンライン』偽サイトにご注意ください」を掲載しています。「UNITED ARROWS」に似た商標を使い、不自然な日本語や価格表示、限定された決済方法の悪質サイトを確認したという内容です。公式オンラインストアのURLは https://store.united-arrows.co.jp/ のみとされています。不審なサイトを見つけたときの問い合わせ先は、カスタマーサービスデスク（0120-559-652、土日祝・年末年始を除く10時〜17時）です。

ユナイテッドアローズ オンラインのパスワード条件：8〜20文字と使える記号

パスワードを変更する場合、同社FAQの条件は「半角英数記号それぞれ1文字以上含む8～20文字」です。英字・数字・記号のどれかが欠けていると登録できません。英字は大文字・小文字のどちらでもよく、使える半角記号は ! # $ % & ' * + - / = ? { } @ _ の16種類に限られます（公式FAQ「パスワード設定のルール」）。ピリオド（.）、丸括弧、スペースはこの一覧に含まれていません。ほかのサービスで使っているパスワードの使い回しは避けてください。

退職者による持ち出しの技術的対策：外部共有制限・検知・権限解除

IPAの「企業における営業秘密管理に関する実態調査2024」報告書（2025年8月公表）では、過去5年以内に営業秘密の漏えい事例・事象があったと答えた割合が35.5%で、2020年度調査の5.2%を大きく上回りました。ただし報告書は、両調査は調査方法が異なるため差は参考に留めるべきだと注記しています。漏えいがあった426人に複数回答で聞いた漏えいルートでは、サイバー攻撃（36.6%）と並んで、現職従業員等のルール不徹底（32.6%）、金銭目的等の具体的な動機（31.5%）、誤操作・誤認（25.4%）が上位に入りました。本件と同じ「中途退職者（役職員・正規社員）による漏えい」は17.8%で、2020年度の36.3%から下がっています。

本件の経路は3段階に分かれます。各段階に対策を当てると次のようになります。

本件の退職後のダウンロード経路に直接対応するのは3です。退職手続きのチェックリストに「アカウント停止」しかない企業は、「退職者が所有するファイルの外部共有を一覧化し、業務に要るファイルは後任へ所有権を移したうえで、移管したファイルも含めて不要な外部共有と退職者のアクセス権を解除する」手順を足してください。Google Workspaceのヘルプも、管理者がオーナー権限を移管しても「そのファイルにアクセスできるユーザーに影響はありません」と説明しています。移管と共有解除は別の作業です。Microsoft 365のOneDriveも、既定ではアカウント削除から30日の保持期間を経て削除に進む仕組みで、退職日にファイルが消えるわけではありません。保持期間と退職前の移管手順はSharePointとOneDriveの違いと退職時に消えるファイルで整理しています。人事システムの退職日とIDを自動で連動させるなら、SCIMによるプロビジョニングが使えます（WorkOSのSSOとSCIMの解説）。ただし、SCIMによる無効化後の処理は連携先の実装に依存します。共有リンクや外部ユーザーの権限が解除されるかは、別途確認してください。

2は検知の対策です。退職届の受理から退職日までの期間に、フリーメールのドメイン宛ての共有設定変更や大量ダウンロードがあればアラートを出します。クラウドの監査ログをSIEMに集約し、共有先・操作主体・操作種別を取得できるか確認したうえで、人事情報との照合や通常業務の除外条件を含む検知ルールを設計します。本件のように退職直前の共有が起点になる場合、退職後のアクセスログを見るだけでは検知のタイミングが遅れるためです。

検知ルールを作る前に、過去のログで傾向をつかむだけなら、管理コンソールから書き出したCSVだけで傾向の確認は可能です。Google Workspaceのドライブのログイベントには、操作の種類や、公開設定を変えたときの対象ドメインが記録されます。次の Python（3.9以降・標準ライブラリのみ）は、退職予定者本人の操作に絞り、退職日の前後30日にあったフリーメール宛ての共有の追加・変更（共有の削除は除く）、1日あたりの大量ダウンロード、退職後に残った操作を一覧にします。CSVを読むだけで、共有の解除やアカウントの変更はしません。列名、日付の形式、共有に当たるイベント名は、書き出したCSVに合わせて先頭の定数を書き換えてください。

# 退職予定者のドライブ操作ログ（CSV）から、退職日の前後30日の
# フリーメール宛て共有と大量ダウンロード、退職後の操作を洗い出す読み取り専用スクリプト
# 使い方: python offboard_share_check.py drive_log.csv
import csv
import sys
from collections import Counter
from datetime import date, datetime, timedelta

# 書き出したCSVの列名に合わせて変更する
COL_USER, COL_EVENT, COL_TARGET, COL_DATE = "user", "event", "target", "date"
DATE_FORMAT = "%Y-%m-%d"  # 日時付きなら "%Y-%m-%dT%H:%M:%S" など実データに合わせる
# 退職予定者と退職日（人事の一覧から転記する）
LEAVERS = {"[email protected]": date(2025, 12, 31)}
FREEMAIL = ("gmail.com", "yahoo.co.jp", "outlook.jp", "icloud.com")
DOWNLOAD_LIMIT = 50  # 1日あたりの件数の目安（自社の通常業務に合わせて調整）
# 共有の追加・変更に当たるイベント名の一部（書き出したCSVの表記に合わせる）
SHARE_WORDS = ("access", "acl", "share", "共有")
REMOVE_WORDS = ("remove", "削除")

downloads = Counter()
with open(sys.argv[1], encoding="utf-8-sig", newline="") as f:
    for row in csv.DictReader(f):
        user = row[COL_USER].strip().lower()
        if user not in LEAVERS:
            continue
        day = datetime.strptime(row[COL_DATE].strip(), DATE_FORMAT).date()
        leave = LEAVERS[user]
        if not leave - timedelta(days=30) <= day <= leave + timedelta(days=30):
            continue
        if day > leave:
            # 退職後に操作が残っていること自体が異常
            print(f"退職後の操作 {day} {user} {row[COL_EVENT]}")
        event = row[COL_EVENT].lower()
        is_share = any(w in event for w in SHARE_WORDS) and not any(w in event for w in REMOVE_WORDS)
        domain = row[COL_TARGET].strip().lower().rsplit("@", 1)[-1]
        if is_share and domain in FREEMAIL:
            print(f"要確認 {day} {user} {row[COL_EVENT]} 共有先={row[COL_TARGET]}")
        if "download" in row[COL_EVENT].lower() or "ダウンロード" in row[COL_EVENT]:
            downloads[(user, day)] += 1

for (user, day), n in sorted(downloads.items()):
    if n >= DOWNLOAD_LIMIT:
        print(f"要確認 {day} {user} ダウンロード {n}件")

このスクリプトが拾うのは、退職予定者のアカウントが行った操作だけです。本件のように退職後に外部のアドレスやリンク経由でダウンロードされた操作は、退職者ではなく外部の利用者の操作として記録されるため、ここには出ません。その経路まで追うには、要確認として出た共有のファイルIDを起点に、外部の利用者によるアクセスを別途抽出する必要があります。

1の外部共有を一律に禁止するのは、広報部門には向きません。プレスリリースや画像素材をメディアへ渡すのが本来の業務だからです。広報は、共有先を取引のあるドメインに絞り、リンクに有効期限を付ける運用にとどめるのが現実的です。そのうえで、取引先リストのような台帳ファイルだけは外部共有を禁止する区分に入れます。情報の区分とラベリングの決め方は機密文書管理の実務で解説しています。

IPAのガイドラインは、秘密保持契約を退職時だけでなく、入社時や異動時、重要プロジェクトの配属時・終了時にも交わすよう勧めています。退職予定者が誓約書の提出を拒むことがあるためです。技術的対策と契約の両方を用意しておくと、発覚後に本人へ返還・削除を求める根拠がはっきりします。退職時のアカウント停止・権限解除を人事情報と連動させる仕組みから見直す場合は、認証基盤・ID管理システム開発で現状の運用から相談できます。

よくある質問

ユナイテッドアローズの情報漏洩は誰が起こしたのですか？

2025年12月31日付で退社した元従業員です。氏名、役職、転職先の社名は公表されていません。同社は転職先と面談し、転職先は漏えいに関与していないと確認したとしています。

顧客の購買履歴やクレジットカード情報は漏れましたか？

公表文の漏えい項目には含まれていません。対象は広報・PR活動に係る取引先関係者で、氏名・勤務先企業名・所属部署・所属部署電話番号・メールアドレス・事業場の住所・事業用電話番号の7項目です。

二次被害や続報は出ていますか？

同社は、外部機関の調査で使用実績と第三者の閲覧可能性がないことを確認し、「二次被害又はそのおそれがない」としています。転職先PCの調査は継続中とされていますが、2026年10月23日時点で続報は掲載されていません。

ユナイテッドアローズは社名変更したのですか？

本件を公表した株式会社ユナイテッドアローズは、2026年10月1日の持株会社移行で「株式会社TABAYAホールディングス」に商号を変えました。事業は2026年4月1日設立の子会社が「株式会社ユナイテッドアローズ」の名前で引き継いでおり、ブランド名や店舗名は変わっていません。

ユナイテッドアローズ オンラインのパスワードは変えるべきですか？条件は？

本件の漏えい項目に会員情報は含まれていないため、本件を理由とした変更は求められていません。変更する場合の条件は、半角の英字・数字・記号をそれぞれ1文字以上含む8〜20文字です。

関連記事

• 情報漏洩対策とは：原因別4類型の防ぎ方と発生時の報告義務【2026年10月版】
• 個人情報保護委員会への報告義務｜対象4類型・速報3〜5日と確報30日の実務
• 第一生命の不正アクセスと従業員12万人分の情報｜退職者データを残さない人事システムの設計
• 村田製作所の情報漏洩｜約8.8万件に取得のおそれ・2026年不正アクセスの原因と時系列
• マイナビ個人情報漏洩の一覧（2020〜2026年の7件）：11万件の対象確認・登録は危険か・偽連絡の見分け方
• アンドエスティ不正アクセス：250万件の流出項目と対象確認、ポイントと偽メール