TeamSpirit情報漏えいは自分も対象？退職者・勤怠記録・確認方法を解説

2026年11月6日、チームスピリットは勤怠管理サービス「TeamSpirit」に関わる個人情報28,824件（重複を除いた件数）の流出を公表しました。いわゆるTeamSpirit情報漏えいの対象者は、全利用者ではなく「一部の方」です。ただ、自分がその一部に入っているかどうかは、公式発表を読むだけでは分かりません。

結論から言うと、いちばん確実なのは個別通知と勤務先の案内を確認することだよ。ここで大事なのは「通知が来ない＝対象外」とは言えないこと。連絡先が分からない人には、公式発表をもって通知に代えると書かれているんだよね。

この記事では、2026年11月7日時点の公式発表だけを土台にして、対象になる人、流出した情報、通知が来ないときの動き方を整理するね。公式発表（チームスピリット）に書かれていないことは「書かれていない」と正直に区別するから、安心して読み進めてね。

私も毎日どこかのサービスで打刻や申請をしているから、ニュースを見たときは「え、うちの会社のも？」と一瞬ドキッとしたよ。落ち着いて、ひとつずつ確認していこうね。

TeamSpirit情報漏えいは自分も対象？

公式発表で対象に挙がっているのは、現在・過去の契約先の利用者、資料請求などをした人、そしてチームスピリット社の従業員と退職者です。ただし、どれも「一部」と書かれていて、全員ではありません。立場別に並べると、こうなるよ。

立場	対象になる可能性	公式発表に書かれている主な項目
契約中の企業の担当者・利用者	一部の方が対象	氏名、メールアドレス、ログインID、識別番号・アカウント情報、問い合わせ記録の一部
過去に契約していた企業の担当者・利用者	一部の方が対象	上と同じ範囲（対象の方ごとに項目は異なる）
契約企業の従業員（打刻する側）	勤怠記録の一部が含まれる	勤怠記録の一部（中身の詳細は記載なし）
資料請求・問い合わせ・セミナー申込をした方	一部の方が対象	識別番号、企業情報（会社名等）
チームスピリット社の従業員・退職者	対象に含まれる	氏名、社員番号、業務用メールアドレス、入社日・退職日、誕生日（月・日）など

どの項目が流出したかは、対象の方ごとに個別に連絡すると書かれています。この表は「公式発表にある範囲の一覧」であって、あなた自身の被害を示すものではない点には気をつけてね。

現在TeamSpiritを利用している人

今まさに会社でTeamSpiritを使っている人は、「契約企業の担当者・利用者」または「契約企業の従業員」に近い立場です。公式発表には、お客様企業の従業員の勤怠記録の一部が流出したと書かれています。

ここで押さえたいのは、全員の勤怠記録が漏れたとは書かれていないことだよ。毎日打刻するだけの一般の従業員が、自動的に全員対象になるわけではありません。

一方で、自分が一部に入っているかどうかは、公式発表からは判定できません。確認の入り口は、個別通知か勤務先の担当者への問い合わせになります。

転職・退職して過去に利用していた人

ここは誤解しやすいところだよ。公式発表にある「退職者」は、チームスピリット社自身の退職者のことです。別の会社を辞めた人が、全員「退職者として対象」という意味ではありません。

では、転職前の会社でTeamSpiritを使っていた人はどうか。公式発表には「過去にご契約いただいていたお客様」の担当者・利用者の一部が対象と書かれています。さらに、お客様企業の従業員の勤怠記録の一部も含まれます。

つまり、前の勤務先が過去にTeamSpiritを契約していた場合は、可能性がゼロとは言えません。ただ、個々の元従業員が対象かどうかは公式発表に書かれていないので、断定はできないよ。

資料請求やセミナーに参加した人

契約したことがなくても、資料請求、問い合わせ、セミナー申し込みをした人の一部が対象です。ここで流出したと書かれているのは、チームスピリット社が管理する識別番号と、会社名などの企業情報です。

氏名やメールアドレスまで含まれるかどうかは、この区分では書かれていません。心当たりがある人は、後ほど紹介する窓口で確認するのが安心だよ。

対象者を確認する3つのステップ

私なら、次の順番で確認するかな。

1. 個別通知を探す。 11月6日から順次メール等で連絡が出ているので、受信トレイと迷惑メールフォルダを見る
2. 勤務先の担当者に聞く。 TeamSpiritの管理を担当している人事や情報システム部門なら、自社が対象かを把握している可能性がある
3. 通知がなければ窓口へ。 退職済みなどで連絡が届きそうにないときは、公式窓口に問い合わせる

似た「自分は対象？」の確認の流れは、別の漏えい記事でも整理しています。考え方は共通だから、参考にしてね。

→ OZmall不正アクセスで44万人？自分が対象か確認する方法

流出した個人情報は何？勤怠記録や給与への影響

公式発表では、流出した個人情報は重複を除いて28,824件で、そのうち要配慮個人情報が35件含まれていると説明されています。項目は対象の方によって違うとも書かれているよ。

流出が確認された情報一覧

公式発表にある項目を、種類ごとにまとめるね。

• 本人を特定する情報： 氏名、メールアドレス、ログインID、当社が管理する識別番号・アカウント情報
• やり取りの記録： お問い合わせ・ご依頼の記録の一部
• 勤怠の記録： お客様企業の従業員の勤怠記録の一部
• 企業に関する情報： 会社名や、契約・利用環境に関する情報の一部
• チームスピリット社の従業員・退職者向け： 社員番号、入社日・退職日、誕生日（月・日）、社内システムのID、業務管理システムの記録

これ以外の項目は、公式発表の流出項目には載っていません。載っていないことと、漏れていないと言い切れることは別なので、そこは分けて読んでね。

勤務時間や残業記録は漏れた？

公式発表には、お客様企業の従業員の「勤怠記録の一部」が流出したと書かれています。ただ、出退勤の時刻なのか、残業時間なのか、休暇の記録なのか、どの項目が含まれるかは書かれていません。

そのため、「自分の残業時間が外に出た」とも「出ていない」とも、記事の側では言えないんだよね。

本番のサービスについては、お客様がTeamSpiritで運用している勤怠・工数などのデータへの不正アクセスは、現時点では確認されていないと説明されています。流出した勤怠記録は、本番環境とは別に、サービスの提供・維持のために会社の管理下で保管していたものだそうです。

「確認されていない」は「絶対に安全」という意味ではないので、今後の続報は見ておきたいところだね。

給与・銀行口座・パスワードはどうなる？

結論から言うと、給与情報、銀行口座、パスワードは、公式発表の流出項目に記載がありません。私が調べた範囲では、これらが流出したという説明も見つかりませんでした。

ただし、「流出していない」と断定した発表ではありません。あくまで「項目に挙がっていない」という状態です。

一方で、ログインIDとアカウント情報は流出項目に入っています。パスワード本体は載っていなくても、ID側の情報を知られると、偽のログイン画面に誘われやすくなるのが心配だよね。

公式発表には、チームスピリットがメールや電話でパスワード等の認証情報を尋ねることはない、とも書かれています。パスワードを聞いてくる連絡は、まず疑ってね。

要配慮個人情報35件とは？

要配慮個人情報は、個人情報保護法で特に慎重に扱うよう定められた情報のことです。一般には、病歴や犯罪の経歴など、差別や偏見につながるおそれのある情報が当たるとされています。

では今回の35件が何だったのか。具体的な中身は公式発表に書かれていません。想像で補うと間違った不安を広げてしまうので、この記事でも推測はしないよ。対象の方には、個別に連絡すると明記されています。

情報漏えいの通知が来ないときの確認方法

通知が来ていない人が気になるのは、「来ない＝対象外なのか」だよね。答えは、そうとは限りません。ここは公式発表の文言がそのまま手がかりになるよ。

個別通知はいつから？

公式発表では、対象となる方への個別の連絡は「本日より順次実施」とされています。本日とは公表日の11月6日です。

「順次」なので、全員に同じタイミングで届くわけではなさそうです。公表の翌日に届いていなくても、すぐ対象外とは考えないほうがいいよ。

さらに、連絡先が確認できない方には、公式発表をもって個別の連絡に代えるとも書かれています。つまり、連絡が届かない人が出る前提の書き方になっているんだよね。

退職してメールアドレスが変わった場合

一番困るのは、退職や転職でメールアドレスが使えなくなったケースだと思います。登録していたアドレスが無効だと、個別通知が届かない可能性があるからです。

ここからは公式発表ではなく、一般的な助言だよ。前の勤務先で使っていた可能性があるなら、元の勤務先の人事や情報システム担当に、自社が対象かどうかを聞いてみるのがひとつの方法です。

私の場合も、昔の会社のアドレスは使えなくなっているから、他人事じゃないなと思いました。似たケースの考え方は、こちらの記事にもまとめています。

→ 東京メトロ情報漏洩、自分は対象？

公式問い合わせ窓口

チームスピリットは、本件の窓口として「不正アクセス対応窓口」を設けています。

• メール： support-2026@teamspirit.com
• 個別に連絡を受けた方は、そのメールに書かれた案内に従って問い合わせる
• 報道関係の問い合わせは、別の広報窓口（公式発表ページに記載）

窓口がどのように本人確認をするかは、公式発表には書かれていません。連絡するときは、公式発表のページに載っているアドレスを使うようにしてね。メールに書かれたリンクや番号に飛ぶより、安全だと思うよ。

一般従業員が今すぐ取るべき3つの対策

ここからは、公式発表のお願いと、一般的なセキュリティ上の助言を組み合わせて紹介するね。公式の内容は「公式発表では」と書いて、私の助言とは分けています。

不審なメール・SMSを開かない

公式発表には、流出した情報を悪用して、チームスピリットや従業員を装った不審なメール、電話、SMS等が届くおそれがあると書かれています。心当たりのない連絡は、URLをクリックしたり添付ファイルを開いたり、ID・パスワードを入力したりせず、削除してほしいとのことです。

そのうえで私のおすすめ（一般的な助言）は、TeamSpiritにはメールのリンクからではなく、ブックマークや社内ポータルから入ること。偽のログイン画面に気づきやすくなります。

パスワードと多要素認証を確認する

公式発表には、パスワードの変更を求める案内は書かれていません。ただ、ログインIDは流出項目に入っています。

だから一般的な対策として、次の2つを見直しておくと安心だよ。

• ほかのサービスと同じパスワードを使い回していないか
• 多要素認証（パスワードに加えて、スマホなどで本人確認をする仕組み）が使える環境なら、オンになっているか

多要素認証が使えるかどうかは、勤務先の設定によります。自分で決められないことも多いので、次の「担当者に確認」にもつながるよ。

勤務先の情報システム担当者に確認する

自社が対象かどうかは、契約している会社側のほうが把握しやすい場合があります。人事や情報システム担当に、次のことを聞いてみてね。

• チームスピリットから会社に連絡は来ているか
• 社員向けに案内や注意喚起の予定はあるか
• 多要素認証やログイン制限の設定は適切か

情報漏えいが起きたときの動き方は、別の事例の記事でも整理しています。チェックの考え方が近いので、読んでみてね。

→ タイムズカー情報漏洩で何をすればいい？

今日できるチェックリスト

• □ 受信トレイと迷惑メールフォルダで、チームスピリットからの連絡を探した
• □ 心当たりのないメール・SMSのリンクは開かないと決めた
• □ ほかのサービスとパスワードを使い回していないか確認した
• □ 勤務先の担当者に、自社の状況を聞いた

不正アクセスはなぜ起きた？経緯と原因

公式発表で説明されている経緯と原因を、専門用語をかみ砕いて整理するね。

10月27日から11月6日までの経緯

公式発表の流れは次のとおりです。

• 10月27日： 第三者が開発用サーバーに不正ログインし、データを取得したことを確認。同日中にサーバーを停止し、外部からの接続経路を遮断
• 10月30日： 個人情報保護委員会への報告が完了
• 11月6日16時： 公式発表を公表。対象の方への個別連絡を順次開始

その後は、外部のセキュリティ専門機関の支援を受けながら、弁護士とも連携して調査を進めているそうです。

本番環境と別の環境で何が起きた？

「本番環境」は、私たちが毎日打刻するための、実際に動いているサービスのこと。「開発用サーバー」は、新しい機能を作ったり試したりする、いわば作業場のような場所です。

公式発表によると、第三者がこの開発用サーバーに不正ログインし、そこに保管されていた認証情報（入り口を開けるカギのようなもの）を使って、会社が利用するクラウド環境からデータを取得しました。流出した勤怠記録は、本番環境とは別に、会社の管理下で保管していたものです。

なぜそのデータを別の環境に置いていたのか、その経緯は公式発表には書かれていません。 原因は「未知の脆弱性ではなく、開発用サーバーにおける設定と情報管理の不備が重なったこと」と説明されています。詳しい手口は、模倣を防ぐため公表を控えるそうです。

再発防止策については、調査結果を踏まえて策定し、改めて知らせると書かれています。続報が出たら、この記事も更新するね。

件数と日数を数字に直してみた

公式発表の数字を、自分でも計算してみたよ。

• 流出件数は28,824件。うち要配慮個人情報は35件で、35÷28,824×100＝約0.12%（1,000件あたり約1.2件）
• 要配慮個人情報ではない件数は、28,824−35＝28,789件
• 不正ログインの確認（10月27日）から個人情報保護委員会への報告（10月30日）までは3日
• 同じく10月27日から公表（11月6日）までは10日

割合で見ると35件はごくわずかですが、件数は人数とは書かれていませんし、1件1件が誰かの大事な情報です。私は「少ないから大丈夫」とは言えないなと感じました。

TeamSpirit情報漏えいに関するよくある質問

Q. 毎日打刻するだけの従業員も対象？

可能性はありますが、全員ではありません。公式発表では、お客様企業の従業員の勤怠記録の「一部」が流出したと書かれています。自分が含まれるかは、個別通知か勤務先への確認で調べてね。

Q. 過去の勤務先で使っていた場合も対象？

前の勤務先が過去にTeamSpiritを契約していた場合、可能性はゼロとは言えません。公式発表に「過去にご契約いただいていたお客様」の一部が対象と書かれているためです。個々の元従業員が対象かは、書かれていません。

Q. 通知が来ない場合は対象外？

そうとは限りません。連絡先が確認できない方には、公式発表をもって個別の連絡に代えると書かれています。退職などで連絡が届かない人もいるので、心当たりがあれば窓口に問い合わせてね。

Q. 給与・銀行口座は漏れた？

給与情報や銀行口座は、公式発表の流出項目に記載がありません。ただし「流出していない」と断定されたわけではなく、項目に挙がっていないという状態です。

Q. パスワード変更は必要？

公式発表には、パスワード変更を求める案内は書かれていません。ログインIDは流出項目に入っているので、使い回しの見直しや多要素認証の確認は、一般的な対策としておすすめだよ。

Q. 情報の悪用は確認されている？

2026年11月6日の公表時点では、不正利用や外部サイト・SNSでの公開といった二次被害は確認されていないとされています。これは今後も起きないという意味ではないので、不審な連絡には注意してね。

Q. 退職してメールアドレスが変わった場合はどうする？

個別通知が届かない可能性があります。前の勤務先の人事や情報システム担当に自社の状況を聞くか、公式窓口に問い合わせる方法があります。

Q. 公式の問い合わせ窓口はどこ？

チームスピリットの不正アクセス対応窓口で、メールアドレスは support-2026@teamspirit.com です。個別連絡を受けた方は、そのメールに書かれた案内に従ってね。

Q. 勤務先のシステム担当者は何を確認すればいい？

チームスピリットから自社に連絡が来ていないか、社員への注意喚起は済んでいるか、多要素認証やログイン制限の設定は適切か、の3点が基本です。ここは一般的な助言だよ。

Q. チームスピリットを名乗る不審なメールが届いたら？

URLのクリック、添付ファイルの開封、ID・パスワードの入力はせず、削除してほしいと公式発表に書かれています。勤務先にも共有しておくと安心だよ。

まとめ｜対象者は公式情報と勤務先の案内を確認

今回のTeamSpirit情報漏えいは、一部の方が対象で、勤怠記録の一部も含まれます。給与情報やパスワードは流出項目に載っておらず、本番サービスへの不正アクセスも現時点では確認されていません。それでも、読者が取るべき行動は次の3点です。

1. 個別通知と勤務先の案内を確認する。 来ていなくても対象外とは決めつけない
2. 不審なメール・SMSは開かない。 TeamSpiritにはブックマークから入る
3. ログインまわりを見直す。 パスワードの使い回しと多要素認証を確認する

この記事は2026年11月7日時点の公式発表に基づいています。再発防止策などの続報が出たら、内容を更新するね。

不安な人ほど、まずは公式発表を一度読んでみてね。

おすすめアイテム

パスワード管理は1Password

今回のニュースで気になったのは、ログインIDが流出項目に入っていることだったよ。パスワードを使い回していると、どこか一か所のトラブルが広がりやすいんだよね。1Passwordならサービスごとに別々の長いパスワードを作って覚えてくれるから、使い回しの見直しにちょうどいい道具だと思うよ。

ビサイユのトートバッグ

打刻やログインのために、スマホや社員証を出し入れする通勤の朝って、荷物がごちゃつきがちだよね。ビサイユのトートバッグは超軽量で撥水加工、スキミング防止ポケットも付いているから、仕事の日の相棒にしてみてね。

軽量ショルダーBCS-140

ニュースを追っていると肩に力が入るから、せめて持ち物くらいは身軽でいたいなって思うんだ。軽量ショルダーBCS-140は撥水・スキミング防止・多収納で、通勤やお出かけの小さな味方になってくれるよ。