カナダの小児病院で、第三者製ソフトの脆弱性から職員と応募者の個人情報が漏洩

何が起きたか

この事故で流出した、または流出したおそれがある情報は、病院、関連財団、小児クリニックの現職・元職員と求人応募者の個人情報。項目と件数は公表されていないです。その後の対応と影響は、外部の採用サイトを一時止め、のちに再開した。外部の専門家と調査し、対象になりうる人に連絡し、24か月分の信用情報監視と個人情報保護サービスを無料で提供した。診療は通常どおり続けたです。

原因になったのは「採用サイトと人事業務を支える第三者製ソフトの脆弱性」です。公表された内容では、生成AIは事故に関わっていません。

なぜ起きたか

病院の説明では、病院や他の組織が使っている第三者製ソフトの脆弱性が原因だった。報道によると、影響を受けたのは採用サイトと給与などの人事業務を支えるシステムで、7月9日に見つかった。

原因の種類は「不正アクセス」です。第三者がシステムに入り、情報を見たり持ち出したりした事故を指します。このサイトに掲載している事故のうち、同じ種類の原因で起きた事故は131件あります。

事故が起きてから公表されるまで

1. 2026年7月9日人事業務のシステムでの事故が見つかる（報道）
2. 2026年8月20日病院が公表し、採用サイトを一時止める
3. 2026年8月下旬対象になりうる人への連絡と、信用情報監視の提供が始まる

どうすれば防げたか

上の流れでは、最初から公表まで、途中で異常に気づいて止める仕組みが働いていません。

止められた可能性がある所（当社の見立て）

採用や給与など外部製のシステムに置く個人情報を必要な期間だけ保存し、提供元の脆弱性情報を受け取って早く修正する取り決めがあれば、流出の範囲を小さくできた可能性がある。

この見立ては、公表された原因から当社が考えたものです。当事者の調査の結果とは異なる場合があります。

自社で確認する3つの手順

上から順に、短い時間で確認できるものを並べています。

1. 採用・給与・人事で使っている外部製のシステムを一覧にし、どんな個人情報が入っているかを確認する
2. 退職者や不採用者の情報を何年保存するかを決め、期間を過ぎたものを消す
3. 提供元から脆弱性の連絡を受け取る窓口と、修正までの期限を契約で決める

自社に同じ原因があるか

当てはまるものを選んでください。1つでも当てはまれば、この事故と同じ原因が自社にもある可能性があります。

出典と更新の履歴

• SickKids responding to cybersecurity incident which compromised personal information of current, former employees（CP24）2026.08.20
• SickKids data breach exposes employee and job applicant info（BleepingComputer）2026.08.21