OfferBox、開発者ツールで学生の氏名が見える状態 最大31万人

何が起きたのか

i-plugは2026年10月5日、新卒向けの就活サービス「OfferBox（オファーボックス）」でシステムの設定不備があったと公表しました。

利用企業向けの特定のページで、裏側の通信データに学生の氏名とメールアドレスが含まれていました。通信データ上の項目は姓、名、ログインIDの3つで、ログインIDはメールアドレスにあたります。普通の画面には出ませんが、ブラウザに備わる開発者ツール（ページの仕組みを調べる機能）で通信の内容を開くと見える状態でした。氏名は文字コードの形になっていて、変換して初めて読めるものでした。

同社は、学生がオファーを承諾するまで企業に氏名を見せないとしています。つまり、画面では隠していた氏名が、通信の中では隠れていなかったことになります。

開発者ツールで見える状態は2026年5月12日から8月28日まで続きました。8月27日に利用企業から問い合わせがあって発覚し、翌28日に不備を解消しました。9月11日に個人情報保護委員会へ速報しています。

漏れた情報

項目は学生の氏名とメールアドレスです。対象者は特定できていません。

理論上の最大はこの期間に検索できた2027年卒と2028年卒の学生の総数である31万4,009人で、実際に企業が見た人数とは一致しません。企業が学生一覧を開いた回数や、開発者ツールを実際に開いたかどうかは、発表に書かれていません。

見ることができたのは利用企業に限られ、それ以外への流出は確認されていないとしています。二次被害のおそれは極めて低いとしています。

会社の対応

原因は確認の範囲にありました。機能を出す前に確認していたのは画面の表示までで、通信データの中身は見ていませんでした。画面に出ない個人情報が通信の中に残っていても、この確認では見つかりません。

同社はすべての通信内容を調べ、同じ事象がないことを確認しました。連絡先の分かる学生には個別に通知しています。登録してある連絡先が今と違う学生には、通知が届かない場合があります。

再発防止として、リリースの判定基準を定期的に見直し、ガイドラインも整え直します。外部の専門機関による脆弱性診断を行い、個人情報の取り扱い全体も見直すとしています。

中小企業が学べること

画面に出ていなくても、通信データに載っていれば調べようとする人には見えます。Webサービスを外注している場合は、次の点を開発会社に確かめると安心です。

• 公開前の試験で、画面の見た目だけでなく、ブラウザの開発者ツールの「ネットワーク」で通信の中身も見ているか
• 画面に出さない項目を、サーバーが返していないか。氏名のように伏せる項目は、サーバーの側で送らない作りにする。画面の側で隠すだけでは足りない
• 個人情報を扱う画面を、外部の脆弱性診断の対象にしているか。委託先への聞き方はシステムの委託先に聞くべき5つのことにまとめています