マイナビの社給端末管理クラウド環境でのアクセス権限誤設定（社員情報14,762件にアクセス可能な状態）
公表日
マイナビが、社員に貸す端末を管理するクラウド環境で、第三者がアクセスできる状態になっていたと発表しました。報道では14,762件の社員情報が対象とされ、不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。の形跡は確認されていません。
対象者は？
マイナビおよびグループ企業が社給端末(PC／携帯電話)を貸した社員(退職者を含む)、派遣社員、委託先社員です。対象の情報は、社員氏名、社員番号・役職・所属部署名・就業場所、マイナビが付与したメールアドレスです。顧客や応募者の情報が含まれるとは、公表されていません。
対象かどうかを個別に調べる方法は、公表された範囲では確認できていません。詳細はマイナビの公式のお知らせをご確認ください。
いますぐできること
- 対象に当てはまる可能性がある方は、マイナビの公式のお知らせを読んで、内容を確認する。
- 社員を名乗るメールや電話で不自然な依頼を受けたら、すぐに応じず、社内の窓口に確認する。
何が起きたのか
マイナビは、社員に貸している端末を管理するクラウド環境で、アクセスの権限の設定に誤りがあったと発表しました。そのため、第三者がアクセスできる状態になっていました。この状態は2022年11月26日から2025年9月2日まで続きました。誤りは2025年9月2日に見つかり、その日のうちに設定が直されました。発表は2025年10月3日です。
なぜ起きたのか・なぜ広がったのか
原因は、社給端末管理システムのアクセス権限の誤設定とされています。誤設定が起きた詳しい経緯や、約2年9か月続いた理由は、まだ発表されていません。
いまの状況2025-10-15 時点
2025年10月15日時点で、現時点では第三者による不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。の形跡は確認されていないとされています。マイナビは、確認体制の見直しで再発防止に努めるとしています。流出が確認された件数は、まだ発表されていません。
企業として考えたいこと
自社の端末管理システムなどの社内向けクラウドについて、誰がどこからアクセスできるかを、最後に確認したのはいつでしょうか。
技術的な要約
株式会社マイナビは2025年10月3日、社員に貸与する社給端末（PC／携帯電話）を管理するクラウド環境で、アクセス権限の誤設定により第三者がアクセス可能な状態になっていたと発表した。対象期間は2022年11月26日から2025年9月2日である。事象は2025年9月2日に発覚し、同日中にアクセス権限を再設定して第三者が閲覧できないようにした。漏洩の可能性がある情報は社員氏名、社員番号・役職・所属部署名・就業場所、付与メールアドレスで、報道によれば14,762件の社員情報がアクセス可能な状態だった。現時点では第三者による不正アクセスの形跡は確認されていないとしており、同社は確認体制の見直しによる再発防止を掲げている。
公開情報が限られている点について
攻撃の分類
- 侵入口
- クラウド設定不備公表で確認公式発表では、社給端末を管理しているクラウド環境（社給端末管理システム）のアクセス権限の誤設定により、第三者がアクセス可能な状態となっていた。第三者による不正アクセスの形跡は現時点で確認されていない。
- 脆弱性
- CVE 非公表公表で確認社給端末管理システム（クラウド環境）ソフトウェアの脆弱性ではなく、アクセス権限の誤設定が原因とされている。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 業務停止に関する記載は公表されていない。
- データ
- おそれ上限 14,762確定 —件氏名メール従業員情報14,762件は報道記事の見出しによる「アクセス可能な状態だった社員情報」の件数。公式発表の本文では件数は確認できていない。漏洩の可能性がある情報は社員氏名、社員番号・役職・所属部署名・就業場所、マイナビが付与したメールアドレス。対象者はマイナビおよびグループ企業が社給端末を貸与した社員（退職者含む）、派遣社員、委託先社員。現時点で第三者による不正アクセスの形跡は確認されていない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 対象にグループ企業の社員、派遣社員、委託先社員が含まれるが、委託先経由の侵害ではなく自社クラウド環境の設定不備とされている。
時系列
- 2022-11-26
- 2025-09-02
- 2025-09-02同日中にアクセス権限を再設定し、第三者による閲覧ができないよう対応を完了した。アクセス可能だった期間はこの日で終了した。3
- 2025-10-03
- 2025-10-03公式発表で、確認体制の見直しを図り再発防止に努めるとした。3
- 2025-10-15ScanNetSecurityが、14,762件の社員情報にアクセス可能な状態だったと報じた。1
- 2026-02-12マイナビが、同社が利用するクラウドサービスへの不正アクセスについて発表した。ユーザーおよび取引先担当者の個人情報が流出した可能性が判明したとされる。本件との関係は出典から読み取れない。2
- 2026-02-24ScanNetSecurityが、2026年2月の別発表の内容を報じた。2
技術解説
公表された事象の構造 事実
マイナビは2025年10月3日、社員に貸与する社給端末(PC／携帯電話)を管理するクラウド環境で、アクセス権限の誤設定があり、第三者がアクセス可能な状態となっていたと発表した。対象期間は2022年11月26日から2025年9月2日である。原因は社給端末管理システムのアクセス権限の誤設定とされている。事象は2025年9月2日に発覚し、同日中にアクセス権限が再設定され、第三者による閲覧ができないよう対応が完了したと公表されている。
対象となる情報と範囲 事実
漏洩の可能性がある情報は、社員氏名、社員番号・役職・所属部署名・就業場所、マイナビが付与したメールアドレスである。該当者は、マイナビおよびグループ企業が社給端末を貸与した社員(退職者含む)、派遣社員、委託先社員とされている。件数について、報道記事の見出しは14,762件の社員情報にアクセス可能な状態だったと伝えている。公式発表では、第三者による不正アクセスの形跡は現時点で確認されていないとされている。
件数の読み方と確定情報の違い 解釈
14,762件は報道記事の見出しにある数字であり、本件で提供された公式発表の引用からは件数を確認できない。この数字は「アクセス可能な状態だった」社員情報の件数であり、実際に閲覧・取得された件数ではない。公式発表は不正アクセスの形跡は確認されていないとしており、流出が確定した件数は示されていない。そのため、この数字は公表された上限に近いものとして扱い、流出確定数とは区別して読む必要がある。
公表のタイミングと情報の限界 解釈
発覚は2025年9月2日、公表は10月3日で、間隔は約1か月である。対象期間は約2年9か月と長いが、公表された範囲では、誤設定がどの時点でどのように生じたのか、どのような経路でアクセス可能だったのかは示されていない。なお、2026年2月にマイナビが別のクラウドサービスへの不正アクセスを発表したと報じられているが、本件との関係は出典から読み取れない。両者を結び付けて評価することは避けるべきである。
対応
- 封じ込め
- 2025年9月2日の発覚同日中に、アクセス権限の再設定を実施し、第三者による閲覧ができないよう対応を完了した。
- 公表の仕方
- 2025年10月3日に自社サイトで「クラウド環境の誤設定に伴う個人情報の漏洩可能性について」を公表した。漏洩の可能性がある情報、対象者、対象期間、原因、再発防止策（確認体制の見直し）を記載している。発覚から公表まで約1か月である。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| クラウド管理基盤の権限設定は、導入時だけでなく継続的に点検する必要がある。誤設定の状態は約2年9か月続いた。 | CSPM等でクラウド設定を定期スキャンし、外部公開や広範な共有設定を検知したら担当者へ自動通知する。 |
| 端末管理システムには社員情報が集まる。業務用の管理ツールも個人情報の保管先として扱う必要がある。 | 管理システムに保存される属性(氏名、所属、メール等)を棚卸しし、データ分類に応じたアクセス制御とログ記録を設定する。 |
| 不正アクセスの形跡が見つからなくても、閲覧された可能性は残る。ログの保存範囲が調査の確度を左右する。 | アクセスログを十分な期間保存し、匿名・外部からのアクセスを後から検索できるようにしておく。 |
| 対象にグループ企業の社員、派遣社員、委託先社員が含まれていた。関係者の範囲が広いと、通知対象の特定も複雑になる。 | システムごとに対象者区分(社員、退職者、派遣、委託先)を台帳化し、事故時に通知先を素早く抽出できるようにする。 |
| 再発防止として確認体制の見直しが掲げられている。設定変更の確認は人手に頼らない仕組みも要る。 | 権限設定の変更をコードで管理してレビューを必須にし、公開設定を禁止するポリシーを自動適用する。 |
自組織などでの確認項目
- 自組織の端末管理(MDM等)のクラウド環境で、外部から匿名または広い範囲でアクセスできる設定が残っていないか、直近でいつ確認したか。
- 自組織のクラウド環境に保存されている社員情報の項目と対象者(退職者、派遣、委託先を含む)を一覧で説明できるか。
- 設定の誤りが見つかったとき、第三者のアクセスの有無を判断できるだけのログを、必要な期間保存しているか。
未解明点
- 誤設定が具体的にどの設定項目で、どのような条件で第三者がアクセス可能だったのかは公表されていない。
- 14,762件の内訳と、公式発表側の件数は、確認できた範囲では示されていない。
- 誤設定が2022年11月26日から続いた経緯と、発覚のきっかけは公表されていない。
- 2026年2月に発表された別のクラウドサービスへの不正アクセスと本件との関係は、出典から読み取れない。
出典
- 1ScanNetSecurity2025-10-15報道本文確認済
- 2ScanNetSecurity2026-02-24報道本文確認済
- 3株式会社マイナビ2025-10-03公式本文確認済