Integral Security Reportインテグラル セキュリティ レポート
← 一覧に戻る
2026-dipIT/クラウド最終確認 2026-10-23 17:25

ディップの「バイトル」「バイトルNEXT」への不正アクセス（会員メールアドレス最大約388万件流出の可能性）

公表日

ディップ株式会社
続報あり不正アクセス脆弱性悪用

ディップ株式会社が運営する求人サイト「バイトル」「バイトルNEXT」が海外からの不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受け、登録会員のメールアドレスが最大3,885,771件流出した可能性があります。

対象者は？

「バイトル」および「バイトルNEXT」に登録している会員（流出の可能性があるメールアドレスは最大3,885,771件）。漏えいした可能性のある情報はメールアドレスのみで、氏名、電話番号、パスワード、クレジットカード情報などは含まれていません。

両サービスのWebサイト上に掲載されている案内および、ディップから対象会員へ順次送信されている個別メールなどの案内を確認してください。

「バイトル」「バイトルNEXT」不正アクセスによる一部メールアドレス漏えいに関するお知らせとお詫び（ディップ株式会社） ↗

いますぐできること

  • 「バイトル」などを装った不審なメールやフィッシング銀行・通販サイト・宅配業者・公的機関などを装ったメールやSMSを送り、本物そっくりの偽サイトに誘導して、IDやパスワード、カード番号などを入力させる手口です。SMSを使うものは「スミッシング」、電話を使うものは「ビッシング」とも呼ばれます。メール（迷惑メール）が届く可能性があるため、送信元アドレスを注意深く確認してください。
  • メール本文中の不審なURLやリンクを安易に開かず、心当たりのない添付ファイルは開かないようにしてください。

何が起きたのか

2026年10月6日、「バイトル」および「バイトルNEXT」の一部のWeb機能に対して海外からの不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。が確認され、登録会員のメールアドレスの一部が漏えいしたことが判明しました。ディップ株式会社は同日中に海外からのアクセスをすべて遮断し、原因となったプログラムの改修を行いました。その後、2026年10月9日に事案の経緯と影響範囲を公表しました。

なぜ起きたのか・なぜ広がったのか

Webサイトの一部機能にシステムの仕様上の不備があり、海外からのアクセスによってその不備が悪用されたためです。

いまの状況2026-10-09 時点続報待ち

すでに同様の手法によるアクセスを防ぐ改修と海外アクセスの遮断が完了しており、サイトのサービスは停止せず通常通り利用可能です。また、個人情報保護委員会や総務省関東総合通信局への報告、警察への相談が進められています。公表時点で情報のネット上への流出や不正利用は確認されていません。

企業として考えたいこと

自社のWebサイトや公開機能において、設計や仕様の抜け漏れにより、外部から会員リストや個人情報が意図せず抽出・取得できる状態になっていませんか？

技術的な要約

人材サービス大手のディップ株式会社は、運営する求人情報サイト「バイトル」および「バイトルNEXT」において第三者からの不正アクセスを受け、登録会員のメールアドレスが一部漏えいしたと2026年10月9日に公表した。漏えいした可能性があるメールアドレスは最大3,885,771件（約388万件）に上るが、氏名、電話番号、パスワード、クレジットカード情報などは含まれておらず、インターネット上への流出や不正利用は確認されていない。不正アクセスの原因は、Webサイトの一部機能におけるシステムの仕様の不備を突かれた海外からのアクセスであった。同社は2026年10月6日の検知直後に海外からのアクセス全遮断およびプログラムの改修を行い、防御措置を完了した。また、同日よりサイト上での案内やメール等での個別通知を開始し、個人情報保護委員会および総務省関東総合通信局への報告、警察への相談を進めている。

侵入
—
被害発生
2026-10-06
検知
2026-10-06
第1報公表
2026-10-09
最新続報
2026-10-09
侵入 → 検知
—
侵入日が非公表
検知 → 公表
3日
データ（上限）
388.6万件
確定 —
波及先
—

攻撃の分類

侵入口
Webアプリ脆弱性公表で確認
Webサイトの一部機能における仕様の不備を突いた海外からのアクセス
脆弱性
CVE 非公表公表で確認
「バイトル」「バイトルNEXT」Webサイトの一部機能
システムの仕様の不備（具体的な脆弱性種別やCVEは非公表）
攻撃者
特定・主張なし
ATT&CK
T1190 Exploit Public-Facing ApplicationT1213 Data from Information Repositories

影響

業務停止
なし サービス停止は発生しておらず、「バイトル」「バイトルNEXT」を含む各種サービスは引き続き利用可能とされている。
データ
おそれ上限 3,885,771確定 —件
メール
「バイトル」「バイトルNEXT」会員登録者のメールアドレス。全件の流出が確定したわけではなく一部の漏えいが確認されている状況。氏名、電話番号、パスワード、クレジットカード情報などは含まれていない。
波及先
—
金銭影響
—
サプライチェーン
—

時系列

  1. 2026-10-06
    「バイトル」「バイトルNEXT」のWebサイト一部機能において、海外からの不正アクセスを確認123456
  2. 2026-10-06
    事象確認を受け、海外からのアクセスを全面的に遮断2345
  3. 2026-10-06
    該当プログラムの改修を実施し、同様の手法によるアクセスを防ぐ技術的な防御措置を完了23456
  4. 2026-10-06
    「バイトル」「バイトルNEXT」両サイト上で対象会員に向けた案内を掲載2345
  5. 2026-10-06
    対象会員に対し、メール等による個別案内を順次開始2345
  6. 2026-10-09
    ディップ株式会社が、会員メールアドレスが最大3,885,771件漏えいした可能性がある旨を公式に発表・公表123456
  7. 2026-10-09
    セキュリティ対策と監視体制の強化、および個人情報保護委員会・総務省関東総合通信局への報告、警察への相談を進めていることを公表123456
  8. 2026-10-09
    漏えいした可能性のある情報のネット上への流出や不正利用は確認されていない旨を公表12346
  9. 2026-10-09
    「バイトル」「バイトルNEXT」を含む各種サービスは引き続き利用可能であることを案内235

技術解説

不正アクセスの検知と初動対応の経緯 事実

ディップ株式会社の公表によると、2026年10月6日に同社が運営する求人情報サイト「バイトル」および「バイトルNEXT」のWebサイトの一部機能において、海外からの不正アクセスが確認された。同社は事象確認後、直ちに海外からのアクセスを全面的に遮断するとともに、該当プログラムの改修を実施して同様の手法によるアクセスを防ぐ技術的対策を完了させた。同日より両サイト上に対象会員向けの案内を掲載し、メール等による個別案内を順次開始した。その後、2026年10月9日に公式発表を行い、漏えいした可能性のある会員メールアドレスが最大3,885,771件に上ること、個人情報保護委員会および総務省関東総合通信局への報告、警察への相談を進めていることを明らかにした。

仕様の不備と情報取得の構造 解釈

本事案における侵入経路・攻撃手法は、OSやミドルウェアの既知の脆弱性（CVE）ではなく、「Webサイトの一部機能における仕様の不備」を突かれたものと発表されている。Webアプリケーションにおいて、本来は個別の利用場面でのみ限定的に参照されるべきパラメータやエンドポイントにおいて、認可制御の漏れや網羅的な識別子の列挙・取得を許容する実装上の仕様が存在していた可能性が考えられる。攻撃者は海外から自動化スクリプト等を用いて当該機能を反復的に呼び出し、会員のメールアドレスを収集したとみられる。サービス自体を停止させずにプログラム改修と海外アクセスの全遮断で即座に対処を完了させている点からも、影響範囲が特定の機能やAPIエンドポイントに局所化していたことがうかがえる。

漏えい対象情報の限定性と二次被害リスク 解釈

漏えいした可能性がある情報がメールアドレスのみに限定されており、氏名、電話番号、パスワード、クレジットカード情報などは含まれていない点は、被害の局所化という観点で重要である。最大約388万件という母数は大きいものの、パスワードや決済情報が漏れていないため、直ちにアカウント乗っ取りや金銭的被害が生じるリスクは低いとみられる。公表時点ではネット上への公開や不正利用の事実は確認されていないが、漏えいしたメールアドレスが悪用され、バイトル等を装ったフィッシングメールや標的型迷惑メールが送付される懸念は残る。ディップが検知当日から個別通知を開始し、対象会員への警戒を促した対応は、二次被害の抑止において適切な初動であったと評価できる。

対応

封じ込め
不正アクセスを確認した2026年10月6日に海外からのアクセスを全面的に遮断し、該当プログラムの改修を実施して同様の手法によるアクセスを防ぐ技術的対策を完了した。あわせてセキュリティ対策と監視体制の強化を実施している。
公表の仕方
2026年10月6日より両サイト上でお知らせを掲載し、対象会員に向けて順次メール等で個別案内を実施。2026年10月9日に公式ウェブサイトにて「お知らせとお詫び」を公表した。
当局対応
  • 個人情報保護委員会
  • 総務省関東総合通信局
  • 警察

教訓と対策

教訓具体的な対策
Web機能の設計段階におけるデータ出力の最小化と認可検証の徹底会員情報や識別子を扱うすべてのエンドポイントにおいて、アクセス元の権限チェック（認可制御）を実装し、クライアントに返送するレスポンスデータに不要なメールアドレス等の識別情報が含まれないよう仕様をレビューする。
自動化ツールやスクレイピングによる大量データ収集の抑止公開エンドポイントに対して同一IPや特定セッションからのリクエスト頻度を制限するレートリミット（Rate Limiting）やWAFのボット対策機能を導入し、網羅的なデータ取得試行を即時遮断する。
緊急時の地域・IP帯域別アクセス制御の整備不正アクセス発生時にCDNやWAF上で特定の国・地域（海外IPアドレス群）からのトラフィックを迅速に一括遮断できるよう、緊急時のブロッキング手順と切り替えフローを事前に準備しておく。
検知当日の遮断・修正・告知を可能にする迅速な初動体制の確立異常検知から恒久改修完了までのインシデント対応プロセスを標準化し、被害拡大を防ぐためのプログラム修正とともに、影響対象者への迅速な通知チャネルを即座に動かせる体制を整える。

自組織などでの確認項目

  1. 自社のWebサービスや公開APIにおいて、認証不要または一般ユーザー権限で他者のメールアドレス等の情報を意図せず取得できてしまう『仕様上の不備』が存在しないか総点検されているか。
  2. 海外からの不正トラフィックや異常なアクセス急増を検知した際、短時間で海外IP制限やエンドポイント単位の遮断を実施できる運用体制が整っているか。
  3. 会員向けメールアドレスなどのリスト型収集攻撃に対して、レート制限やWAFによるボット遮断が機能しているかを定期的にテストしているか。

未解明点

  • Webサイトの一部機能に存在した「仕様の不備」の具体的な技術的詳細（APIの認可不備、パラメータ改ざん、ID列挙等）および、最大約388万件のうち実際に外部へ流出した件数は確定されたか。

出典

  1. 1
  2. 2
  3. 3
  4. 4
  5. 5
  6. 6