バイトルに不正アクセス、会員のメールアドレス最大388万件が漏えい

何が起きたのか

ディップは2026年10月9日、求人情報サイト「バイトル」「バイトルNEXT」が不正アクセスを受け、会員のメールアドレスの一部が漏えいしたと公表しました。

経過は次のとおりです。

• 10月6日：Webサイトの一部機能で、第三者による不正アクセスを確認。同じ日に海外からのアクセスをすべて遮断し、プログラムを改修した。サービス上でも対象会員向けの告知を出した
• その後：対象の会員へメールなどで順次個別に案内し、個人情報保護委員会と総務省関東総合通信局に報告、警察に相談
• 10月9日：お知らせを公開

原因は、一部の機能にあった仕様上の不備を突いた海外からのアクセスとしています。どの機能か、どんな手順だったか、アクセスがいつ始まったかは、お知らせには書かれていません。

漏れた情報

項目はメールアドレスだけで、漏えいした可能性がある会員登録者数は最大388万5,771件です。最大の数で、実際に漏れた件数は確定していません。

氏名、電話番号、パスワード、クレジットカード情報は含まれないとしています。メールアドレス以外の個人情報の流出は確認されておらず、インターネット上への公開や不正利用も確認されていません。

「仕様の不備」とは、ソフトの古い部品に見つかった欠陥ではなく、機能そのものの作りに隙があったという意味です。部品を最新にしていても防げないため、利用している機能の動きを点検する必要があります。

会社の対応

同社は該当する箇所を修正して、同じ方法での再度のアクセスを防ぎ、監視の体制を強めました。サービスは続けて使えます。

利用者向けの問い合わせは専用のフォームで受け付けていて、報道機関向けは広報部の問い合わせフォームです。電話の窓口は、お知らせには書かれていません。

対象のメールアドレスが悪用されると、迷惑メールやなりすましのメールが届く恐れがあります。同社は、不審なメールの添付ファイルや身に覚えのないリンクを開かないよう呼びかけています。同社がメールでパスワードやカード情報を尋ねることは一切ないとしています。

中小企業が学べること

機能の作りそのものの不備は、部品の更新だけでは防げません。次の作業を自社の状況に置き換えて確かめます。

• Webサービスを外注している場合は、想定外の使い方をされたときの動きも点検してもらう。たとえば入力欄に想定外の値を入れたときや、短時間に大量のアクセスが来たときの動きです
• 国内向けのサービスで、必要なときに海外からの接続を止める手順があるかを確かめる。この件の同社は、確認と同じ日に遮断しています。なお、全面的に止めると海外に住む利用者や出張先からの接続も止まるので、止める範囲を事前に決めておく
• メールアドレスだけの漏えいでも、偽メールの宛先に使われる恐れがあります。自社がメールでパスワードやカード番号を聞かないことを、会員に日ごろから伝えておく。自社を名乗る偽メールを防ぐ設定は自社の名前で偽メールを送らせない DMARCの始め方にまとめています