ココナラスキルマーケットへの不正アクセス（履歴書449件・職務経歴書関連書類1,845件の外部持ち出し）
公表日
スキルマーケット「ココナラ」が不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受け、会員が登録した履歴書449件と職務経歴書の関連書類1,845件が外部に持ち出されました。
対象者は？
ココナラスキルマーケットで履歴書・職務経歴書を登録していた会員の一部です。書類に含まれていた具体的な項目は公表されていません。クレジットカード情報やパスワードは対象外とされています。
対象の方には、会社が内容を確認したうえで順次個別に連絡するとしています。
いますぐできること
- ココナラを名乗るメール・SMS・電話でパスワードやカード情報を聞かれても答えない。会社はこうした方法で聞くことはないとしています
- 登録した履歴書・職務経歴書にどんな情報を書いたかを確かめ、そこに書いた連絡先に不審な連絡や勧誘が増えていないか気をつける
何が起きたのか
2026年10月8日の午前2時ごろ、ココナラは不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を見つけ、外部からのアクセスを遮断しました。しかし同じ日の13時ごろに再び不正アクセスがあり、15時ごろには個人情報が外部に持ち出された跡が確認されました。会社は15時44分に侵入の経路をもう一度遮断し、その日の夜にシステムの弱点の再検査と対策を行いました。10月9日に公表し、サービスは続けています。
なぜ起きたのか・なぜ広がったのか
どこから、どのように侵入されたかは、まだ公表されていません。会社は対象システムの脆弱性（弱点）を再検査したとしていますが、どの弱点が使われたのかは明らかにされていません。一度遮断したあとに再び侵入されており、持ち出しがどちらの侵入のときに起きたのかも公表されていません。
いまの状況2026-10-09 時点続報待ち
サービスは対策を行ったうえで続いています。持ち出された情報が広く公開されたり、不正に使われたりしたことは確認されていません。会社は警察への通報と個人情報保護委員会への報告一定の個人情報の漏えいが起きた場合、企業は国の機関である個人情報保護委員会への報告と、本人への通知が法律で義務づけられています（2022年4月から）。漏えいの通知が届くのはこのためです。を行うとしています。侵入の経路、影響を受けた人数、書類に含まれていた項目は、まだ発表されていません。
企業として考えたいこと
自社のサービスで利用者から預かっている履歴書や書類のファイルは、どこに保存され、外から取り出せる経路が残っていないでしょうか。
技術的な要約
スキルマーケット「ココナラスキルマーケット」が2026年10月8日に第三者による不正アクセスを受け、同日2時05分の検知・遮断後も13時ごろに再びアクセスされ、15時ごろ個人情報が外部に持ち出された形跡が確認された。持ち出されたのは履歴書・職務経歴書を登録した会員の一部の履歴書449件と職務経歴書関連書類1,845件で、クレジットカード情報やパスワードは対象外とされる。同社は15時44分に経路を再遮断、21時27分に脆弱性の再検査とセキュリティ強化を実施し、10月9日に公表、サービスは継続している。
攻撃の分類
- 侵入口
- 不明公式発表は『第三者による不正アクセス』とのみ記載し、侵入経路・攻撃手法は非公表。10/8 21:27に『対象システムの脆弱性の再検査およびセキュリティ強化措置の実施』を行ったとしており、ITmedia NEWSは脆弱性修正の完了と報じたが、どの脆弱性が悪用されたか、侵入口がWebアプリか認証情報かは明らかにされていない。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 攻撃経路の遮断と脆弱性対応を行ったうえでサービス提供を継続。エージェント事業など他サービス・サイトへの影響はないとしている
- データ
- 確定上限 2,294確定 2,294件その他（履歴書・職務経歴書関連書類）公式発表は『会員様の個人情報が外部に漏洩した事実を確認』とし、履歴書449件、職務経歴書関連書類1,845件（合計2,294件はITmedia NEWSの合算）。対象は履歴書・職務経歴書を登録した会員の一部。書類に含まれる具体的項目（氏名・住所・電話番号・顔写真等）は公表されていない。クレジットカード情報、各種パスワード等は対象外。不特定多数への公開や不正利用は確認されていない。人数ベースの件数は非公表
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- —
時系列
- 2026-10-08 02:05
- 2026-10-08 13:00
- 2026-10-08 15:00
- 2026-10-08 15:44
- 2026-10-08 21:27
- 2026-10-09
- 2026-10-09IPAが、国内で相次ぐ不正アクセスを踏まえ、Webサービスなどの緊急点検を求める注意喚起を公表（報道による）3
技術解説
初回遮断後に再侵入され、その後に持ち出しが確認された 解釈
公式発表の時系列では、2時05分に不正アクセスを検知・遮断したにもかかわらず、約11時間後の13時ごろに再びアクセスされ、15時ごろに個人情報の持ち出し形跡が確認されている。最終的な経路遮断は15時44分、脆弱性の再検査とセキュリティ強化は21時27分である。初回の遮断が侵入元IPのブロックなど表層的な対処にとどまり、根本原因（悪用された脆弱性や認証情報）が残っていた可能性がある（推測）。持ち出しが初回と2回目のどちらの侵入で起きたかは公表されていない。
持ち出された書類の機微性 解釈
対象は履歴書449件と職務経歴書関連書類1,845件で、クレジットカード情報やパスワードは含まれないとされる。ただし履歴書・職務経歴書は一般に氏名・住所・連絡先・生年月日・学歴職歴・顔写真などを一括で含む文書であり、件数は少なくても標的型のなりすまし連絡に使われやすい。同社も身に覚えのない連絡のURLにアクセスしないよう注意喚起している。書類内の具体的項目は公表されていない。
対応
- 封じ込め
- 10/8 2:05に初回遮断、15:44に不正アクセス経路を再遮断、21:27に脆弱性の再検査とセキュリティ強化措置を実施し監視を継続。サービスは対策を講じたうえで提供継続。
- 公表の仕方
- 10/9に公式サイトで公表（件数・時系列・対象外の情報を明記）。対象者には精査のうえ順次個別に連絡。メール・SMS・電話でパスワードやクレジットカード情報を尋ねることはないと注意喚起。
- 当局対応
- 警察：所轄警察署へ通報予定（10/9時点、予定形）
- 個人情報保護委員会：関係省庁へ報告予定（10/9時点、予定形）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 初回検知・遮断の約11時間後に再侵入され、その後に持ち出しが確認された | 初回検知時点でIPブロックだけでなく、悪用された機能の一時停止（該当エンドポイントのWAFルールでの遮断や機能フラグでの無効化）、関連セッション・APIトークンの失効、根本原因の特定までの強化監視を同時に実施する初動手順を定める |
| 履歴書などの機微な添付ファイルが外部から取得可能な状態にあった | 応募書類等のアップロードファイルは非公開バケットに保存し、所有者・取引相手のみが短期限の署名付きURLで取得できる認可チェックを必須化。ファイル取得APIに利用者単位のレート制限と大量ダウンロード検知を設け、保存期間経過後は自動削除する |
自組織などでの確認項目
- 自社サービスで初回の不正アクセスを検知・遮断した後、『同じ攻撃者が別経路または同じ脆弱性で戻ってくる』ことを前提にした手順になっているか。遮断から根本対策までの間に何を止めるか。
未解明点
- 侵入経路と悪用された脆弱性の内容、21:27に再検査した対象システムの範囲
- 持ち出しが2:05前と13時以降のどちらの侵入で起きたか、影響人数
- 履歴書・職務経歴書に含まれていた具体的な項目
出典
- 1ココナラ2026-10-09公式本文確認済
- 2ITmedia NEWS2026-10-10報道本文確認済
- 3セキュリティ対策Lab（合同会社ロケットボーイズ）2026-10-13報道本文確認済
- 4サイバーセキュリティラボ（USEN ICT Solutions）2026-10-13報道本文確認済