iDAの「MyBRANDS」への不正アクセス（最大約13万5,000アカウントの個人情報漏えいのおそれ）
公表日
求人サイト「MyBRANDS」のサーバー環境が不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。を受け、退会者を含む最大約13万5,000アカウントの個人情報が漏えいしたおそれがあります。
対象者は？
「MyBRANDS」に登録していた求職者および求人企業の担当者（退会済み利用者を含む）。対象情報には氏名、メールアドレス、電話番号、住所、プロフィール、職歴、変換されたパスワードが含まれます。クレジットカードや銀行口座の情報は保有していないため含まれません。また「iDA」本体や「MyBRANDS新卒」は対象外です。
対象となる利用者には、2026年10月30日より株式会社iDAから順次メールで通知が行われています。
いますぐできること
- 「MyBRANDS」と同じパスワードを他のWebサイトやサービスでも使い回している場合は、速やかに他サービスのパスワードを変更してください。
- iDAやMyBRANDSを装った不審なメールや連絡（フィッシング銀行・通販サイト・宅配業者・公的機関などを装ったメールやSMSを送り、本物そっくりの偽サイトに誘導して、IDやパスワード、カード番号などを入力させる手口です。SMSを使うものは「スミッシング」、電話を使うものは「ビッシング」とも呼ばれます。詐欺など）に注意し、不審なリンクや添付ファイルを開かないようにしてください。
何が起きたのか
2026年10月21日から22日にかけて、求人サイト「MyBRANDS」のサーバー環境で、委託先が使用していた管理用のアクセスキーが悪用される不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。が発生しました。複製されたデータベースから外部へデータが送信された記録が見つかり、同社は10月21日夜からシステム点検のためサービスを一時停止、10月26日に不正アクセスを把握して10月30日に公表しました。
なぜ起きたのか・なぜ広がったのか
委託先が使用していたクラウドの管理用アクセスキーが第三者に不正利用されたためです。氏名などの個人情報は暗号化されていましたが、復号に必要な鍵も取得されたおそれがあり、情報が閲覧可能な状態にされたリスクが生じました。
いまの状況2026-10-31 時点続報待ち
「MyBRANDS」のサービスは一時停止中であり、再開日時は決まり次第Webサイト上で案内される予定です。個人情報保護委員会への報告一定の個人情報の漏えいが起きた場合、企業は国の機関である個人情報保護委員会への報告と、本人への通知が法律で義務づけられています（2022年4月から）。漏えいの通知が届くことが多いのは、このためです。と警察への相談が行われ、対象となる利用者へ順次メールによる連絡が進められています。
企業として考えたいこと
委託先へ提供しているクラウドのアクセス権限に過剰な権限や固定のアクセスキーが残っていないか、またデータと暗号化の鍵が同時に漏えいしない権限分離ができているか確認できていますか？
技術的な要約
株式会社iDAが運営する求人サイト「MyBRANDS」のサーバー環境に対し、第三者による不正アクセスが発生した。委託先が使用していたクラウドの管理用アクセスキーが不正利用され、複製されたデータベースから外部へデータが送信された記録が確認されている。これにより、退会済み利用者を含む求職者や求人企業の担当者の最大約13万5,000件のアカウント情報が外部へ漏えいしたおそれがある。氏名や連絡先などは暗号化されていたものの、復号に必要な鍵も取得された可能性がある。同社は「MyBRANDS」のサービスを一時停止し、個人情報保護委員会への報告と警察への相談を実施した。
攻撃の分類
- 侵入口
- 委託先経由報道・研究者公式は推定として記載。委託先が使用していたクラウドの管理用アクセスキーが第三者に不正利用された。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 安全に利用するためのシステム点検に伴い、求人サイト「MyBRANDS」が2026年10月21日20:00よりサービスを一時停止。「iDA」や「MyBRANDS新卒」など他のサービスは影響なし。期間：2026-10-21〜
- データ
- おそれ上限 135,000確定 —アカウント氏名メール電話住所業務データその他退会済み利用者を含む求職者や求人企業担当者のアカウント。漏えいのおそれがある情報は、氏名、メールアドレス、電話番号、住所（以上は暗号化されていたが復号鍵取得のおそれあり）、登録プロフィール、職歴、変換した値で保存されたログイン用パスワードなど。クレジットカード情報および銀行口座情報は非保有。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 委託先が使用していたクラウドの管理用アクセスキーが不正利用され、iDAのサーバー環境へ不正アクセスが行われた。
時系列
- 2026-10-21委託先が使用していたクラウド管理用アクセスキーの第三者による不正利用が発生（10月22日まで）1
- 2026-10-21 20:00安全に利用するためのシステム点検に伴い、MyBRANDSのサービスを一時停止2
- 2026-10-22クラウド管理用アクセスキーの不正利用期間が終了1
- 2026-10-26iDAがサーバー環境への不正アクセスの事実を把握1
- 2026-10-30iDAが求人サイト「MyBRANDS」への不正アクセスと個人情報漏えいのおそれを公表1
- 2026-10-30個人情報保護委員会への報告と警察への相談を実施1
- 2026-10-30対象となる利用者へ順次メール通知を開始し、他サービスで使い回しているパスワードの変更を呼びかけ1
- 2026-10-31セキュリティ対策Labが本不正アクセス事案について報道1
技術解説
委託先アクセスキーの不正利用とデータ持ち出しの経緯 事実
2026年10月21日から22日にかけて、委託先が使用していたクラウド管理用アクセスキーが第三者により不正利用される事態が発生した。第三者は複製したデータベースから外部へデータを送信しており、送信の記録自体は確認されたものの、送信された具体的なデータ内容は公表時点で特定されていない。株式会社iDAは10月21日20時よりシステム点検として求人サイト「MyBRANDS」のサービス提供を一時停止し、10月26日に不正アクセスの事実を把握した。その後、個人情報保護委員会への報告および警察への相談を実施し、10月30日に事案を公表した。
漏えい対象データの範囲と暗号化・復号鍵の状況 事実
漏えいのおそれがある対象は、退会済み利用者を含む求職者および求人企業担当者の最大約13万5,000件のアカウントである。対象となり得る情報には、氏名、メールアドレス、電話番号、住所、登録プロフィール、職歴、変換された値で保存されたログイン用パスワードなどが含まれる。クレジットカード情報および銀行口座情報は保有していないため対象外となっている。また、氏名や連絡先などは暗号化されていたものの、復号に必要な鍵も第三者に取得されたおそれがあると説明されている。なお、「iDA」や「MyBRANDS新卒」など他のサービスは影響を受けていない。
クレデンシャル管理と暗号化鍵の分離における課題 解釈
本事案は、委託先に払い出されたクラウドの管理用アクセスキーが悪用されたサプライチェーン起点の侵害である。データベースの複製および外部への送信が行われたことに加え、暗号化データの復号鍵まで取得された可能性がある点に重大なリスクが存在する。データを暗号化して保存していても、その復号鍵へのアクセス権限が同一の管理スコープ内に存在していた場合、特権的な認証情報の漏えいによって暗号化による保護機能が無力化してしまう。クラウド環境における認証情報の発行・失効管理の徹底とともに、暗号鍵の管理権限をデータアクセス権限から厳密に分離する設計が重要である。
対応
- 封じ込め
- 「MyBRANDS」のサービスを一時停止した。
- 公表の仕方
- 2026年10月30日に公表し、対象となる利用者へ順次メール通知を行い、使い回しているパスワードの変更を呼びかけている。再開日時は決まり次第Webサイトで案内予定。
- 当局対応
- 個人情報保護委員会
- 警察
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 委託先に対するクラウドアクセスキーの発行と長期利用に伴う漏えいリスク | 静的な長寿命アクセスキー（IAMユーザーキー等）の委託先への払い出しを廃止し、AssumeRoleによる一時クレデンシャルやOIDCフェデレーションを用いた認証方式へ移行する。 |
| 委託先アカウントに対する過剰な権限付与による広範な侵害リスク | 委託先が利用するIAMポリシーを業務に必要な最小限（Least Privilege）に絞り込み、データベースの複製・エクスポートやスナップショット作成権限を通常業務から除外または承認制にする。 |
| 暗号化データと復号鍵が同一のアクセス権限下にあることによる保護の無効化 | データの暗号化鍵は専用の鍵管理サービス（KMS等）で管理し、キーポリシーにより復号権限をデータ参照権限と分離した上で、復号APIを呼び出せる実行元IPやロールを限定する。 |
| データベース複製や外部へのデータ持ち出しに対する検知遅延 | CloudTrailなどの監査ログを常時監視し、データベースの新規スナップショット作成や通常と異なる送信先への大量データ送信ログを検知するアラートを整備する。 |
自組織などでの確認項目
- 自組織のクラウド環境で、外部委託先に静的な長寿命アクセスキーを払い出していないか、定期的なローテーションや一時クレデンシャルへの移行が行われているか。
- 委託先や開発者アカウントの権限に、データベースの複製・スナップショット作成や外部エクスポートなどの強力な権限が含まれていないか。
- 機微データを暗号化して保存している場合、その復号鍵の管理権限がデータアクセス権限と分離され、同時に奪取されない設計になっているか。
未解明点
- 委託先が使用していたクラウド管理用アクセスキーはどのような経路で第三者に漏えい・悪用されたのか。
- 外部へ送信されたデータの中に、実際に暗号化データや復号鍵、個人情報が含まれていたかどうかの調査結果。
出典
- 1セキュリティ対策Lab2026-10-31報道本文確認済
- 2MyBRANDS公式本文確認済