マイナビが業務で利用する外部クラウドサービスへの不正アクセス（ユーザー・取引先担当者・従業員の個人情報 計111,505件流出のおそれ）
公表日
マイナビが業務で使っている外部のクラウドサービスに不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。があり、利用者や取引先の担当者、従業員の個人情報 最大111,505件が流出したおそれがあります。
対象者は？
マイナビの各種サービスの一般の利用者74,224件（氏名、メールアドレス、住所など）、法人の担当者21,609件（氏名、勤務先、メールアドレスなど）、マイナビとグループ会社の従業員15,672件（氏名、会社の電話番号・メールアドレスなど）です。いずれも流出した「おそれ」で、確定ではありません。人によって含まれる項目は異なり、クレジットカード情報とマイナンバーは含まれていません。マイナビと共催した「JOINフェア」の2024年度の出展団体のうち、64団体の情報も対象になっています。
対象の方には順次個別に連絡し、連絡がつかない場合は公表をもって連絡に代えるとしています。問い合わせはWebフォームの臨時窓口で受け付けています。
いますぐできること
- マイナビを名乗るメールで、ログインや個人情報の入力を求められても、リンクは開かずに公式サイトやアプリから確認する
- 就職・転職活動や取引の連絡を装った不審なメールや郵便物に注意する
何が起きたのか
2025年12月5日、マイナビは業務で使っているクラウドサービスで異常に気づき、すぐに外部からのアクセスを遮断しました。調べた結果、2026年1月16日に、第三者の不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。で個人情報の一部が流出した可能性があることを確認しました。2月12日の第一報、2月20日の第二報を経て、3月31日の第三報で件数を公表しました。マイナビの各サービスのサイトやそのデータベースへの不正アクセスではないと説明しています。
なぜ起きたのか・なぜ広がったのか
会社は原因を「通常のセキュリティ対策を回避する不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。」と説明していますが、どのクラウドサービスか、どんな手口かは、まだ公表されていません。このクラウドサービスには、利用者の情報に加えて、取引先の担当者や従業員の情報、グループ会社の委託業務の情報、共催イベントの出展団体の情報も置かれていました。そのため、影響はマイナビ以外の組織にも及びました。
いまの状況2026-03-31 時点続報待ち
外部のセキュリティ会社や警察などと連携して調べており、二次被害は確認されていないとしています。再発防止として、監視する範囲を広げて早く気づけるようにすること、日々の運用の手順を決めること、定期的な点検、従業員教育を順に行うとしています。実際にどこまでの情報が持ち出されたのか、侵入の手口は、まだ発表されていません。
企業として考えたいこと
自社が使っているクラウドサービスに、どの部署が、どんな個人情報や取引先の情報を置いているでしょうか。一覧にして把握できているか確認しましょう。
技術的な要約
マイナビが業務で利用する外部クラウドサービス（名称非公表）に第三者による不正アクセスがあり、2025年12月5日に異常を検知して外部アクセスを遮断した。2026年1月16日に個人情報の一部が流出した可能性を確認し、2月12日に第一報、2月20日に第二報（精査に一定の時間を要すると説明、警察への報告を明記）、3月31日の第三報で件数を公表した。流出のおそれがあるのは一般ユーザー74,224件、法人の担当者21,609件、マイナビ及びグループ会社の従業員15,672件の計111,505件で、クレジットカード情報・マイナンバーは含まれないとされる。第三報は外部セキュリティ企業・警察等と連携して精査したとし、原因は『通常のセキュリティ対策を回避する不正アクセス』とのみ説明され、サービス名・侵入手口（認証情報窃取・設定不備・脆弱性のいずれか）は非公表。共催イベント『JOINフェア』の主催団体も2026年4月1日に2024年度出展64団体の情報流出の可能性を公表しており、他組織への波及が確認されている。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明公式説明（第三報、原文確認）は『当社が利用するクラウドサービスに対し、通常のセキュリティ対策を回避する不正アクセスが行われたことに起因するものと確認しております』のみ。第一報〜第三報とも、侵害されたのは業務で利用するクラウドサービスで、マイナビの各サービスサイトおよびそのデータベースへの不正アクセスではない（サービス利用への影響はない）と明記している。クラウドサービスの名称・種別（CRM、ストレージ、MA等）、侵害がクラウド事業者側の基盤かマイナビのテナント（アカウント）か、手口が認証情報の窃取・流用か、MFA回避か、設定不備か、脆弱性悪用かはいずれも非公表。『通常のセキュリティ対策を回避する』という表現からMFAやIP制限等の迂回を想起させるが、これは推測であり公表事実ではない。
- 脆弱性
- CVE 非公表不明マイナビが業務で利用する外部クラウドサービス（名称非公表）脆弱性悪用が関与したかどうか自体が非公表。第三報（原文確認）は『通常のセキュリティ対策を回避する不正アクセス』とのみ記載し、製品名・CVE・設定不備の有無は示していない（2026-10-10時点、第四報以降の続報なし）。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし サービス停止の公表はない。2025年12月5日の検知時に当該クラウドサービスへの外部アクセスを遮断したが、マイナビの各種サービス提供の停止は公表されていない。
- データ
- おそれ上限 111,505確定 —件氏名メール住所電話取引先情報従業員情報業務データ第三報（2026-03-31、原文確認）の内訳：マイナビ各種サービスの一般ユーザー74,224件（氏名、メールアドレス、住所など）、法人の担当者21,609件（氏名、勤務先法人名、メールアドレスなど）、マイナビ及びグループ会社の従業員15,672件（氏名、社用電話番号、社用メールアドレスなど）。各個人により含まれる項目は異なるとされる。合計111,505件は3区分の単純合算（第三報は合計を記載していない）。単位は『件』で、人数換算や重複排除の方法は非公表。クレジットカード情報・マイナンバーは含まれない。株式会社マイナビワークス、株式会社マイナビパートナーズ、株式会社マイナビグローバルの委託業務に関する情報を含む（第三報に明記）。いずれも『流出した可能性』であり流出確定ではない。二次被害・不正利用は確認されていないとされる。JOINフェア出展者分（団体名・氏名・メール・電話番号）が上記区分のどれに含まれるかは非公表。
- 波及先
- 64 団体（2024年度JOINフェア出展団体）
- 移住・交流推進機構（JOIN）：マイナビと共催した2024年度JOINフェア出展団体のうち64団体の団体名・氏名・メールアドレス・電話番号が流出した可能性を公表（ページに掲載日表示なし、メタ情報の日時は2026-04-01）。該当団体にはマイナビから別途連絡
- マイナビグループ会社（マイナビワークス、マイナビパートナーズ、マイナビグローバル）の委託業務に関する情報（第三報）
- 金銭影響
- —
- サプライチェーン
- 二重の構造を持つ。(1) マイナビ自身は外部クラウドサービスの利用者であり、侵害されたのは自社開発システムではなく業務用SaaS/クラウド上のデータ（クラウド事業者側の侵害かマイナビのテナント侵害かは非公表）。(2) そのクラウド上にはマイナビが共催するイベント（JOINフェア）の出展団体情報や取引先担当者情報、グループ会社の委託業務情報が置かれており、共催団体JOINが独自に出展64団体への影響を公表した。台帳上は他組織へ波及させた側として『起点』とする。
時系列
- 2025-12-05
- 2026-01-16
- 2026-02-12
- 2026-02-20
- 2026-03-31
- 2026-04-01
技術解説
公表された事実：自社サービスではなく『業務用クラウド』からの流出 事実
マイナビの第三報によれば、侵害されたのはマイナビが業務で利用する外部のクラウドサービスであり、原因は『通常のセキュリティ対策を回避する不正アクセス』とされる。2025年12月5日に異常を検知して外部アクセスを遮断し、2026年1月16日に個人情報流出の可能性を確認、2月12日に第一報を出した。第三報は外部セキュリティ企業や警察等と連携して精査した結果として、流出のおそれがあるのは一般ユーザー74,224件、法人担当者21,609件、マイナビ及びグループ会社従業員15,672件の計111,505件で、クレジットカード情報とマイナンバーは含まれない。第一報から一貫して、各サービスサイトとそのデータベースへの不正アクセスではないと説明している。クラウドサービスの名称、侵害されたのがクラウド事業者の基盤かマイナビのテナントか、使われた手口は非公表である。共催イベントの主催団体JOINが4月1日に出展64団体分の情報流出の可能性を独自に公表しており、業務用クラウドに置かれた共同事業のデータを通じて他組織に影響が及んでいる。
検知から第一報まで約70日、件数確定まで約4か月 解釈
検知（2025-12-05）から流出可能性の確認（2026-01-16）まで約6週間、そこから第一報（2-12）までさらに約4週間、件数を含む第三報（3-31）まで検知から約4か月を要した。第二報で『精査に一定の時間を要する』と説明していることから、クラウド上のどのオブジェクト（ファイル、レコード）に攻撃者がアクセスしたかを特定するためのログが十分でなかった、または非構造データ（ファイル）に個人情報が散在しており中身の棚卸しから始める必要があった可能性がある。これは公表文からの推測であり、マイナビは理由を具体的に説明していない。業務用SaaSに置かれたファイルは、本番DBと違ってスキーマが無く『何件・何の項目が入っているか』が事前に把握されていないことが多く、侵害時の件数特定が遅れやすい典型例と言える。
『通常のセキュリティ対策を回避』の読み方と、再発防止策の抽象度 解釈
第三報の原因説明は一文のみで、再発防止策も『監視範囲の拡充とアラート基準の見直し、運用ルールの標準化、定期点検の仕組み化、従業員教育』という方向性の記載にとどまる。監視範囲とアラート基準の見直しが筆頭に挙がっていることから、侵入そのものよりも、侵入後の異常なアクセス（大量ダウンロード、通常と異なる場所からのアクセス等）を早期に捉えられなかった点を課題と認識していると読める。『通常のセキュリティ対策を回避』は、セッショントークン窃取によるMFA回避、API/連携アプリ経由のアクセス、条件付きアクセスの例外経路などを想起させるが、いずれも推測で公表事実ではない。エンジニアにとっては、手口が不明なまま『再発しない』と判断する材料が乏しく、同種SaaSを使う他社が自社の設定を点検する手がかりも得にくい公表である。
対応
- 封じ込め
- 2025年12月5日に異常を検知し、速やかに当該クラウドサービスへの外部アクセスを遮断（以後、当該クラウドから個人情報が流出する可能性はないとする）。影響範囲を調査し、2026年1月16日に流出可能性を確認。外部セキュリティ企業および警察等の関係機関と連携して精査（第三報）。再発防止策として、(1)監視範囲の拡充とアラート基準の見直しによる早期検知、(2)日常運用の手順・確認プロセスの明確化と標準化、(3)対策の形骸化を防ぐ定期点検・改善プロセスの新設、(4)最新の攻撃手法に対応する従業員教育を順次実施するとした。
- 公表の仕方
- 第一報（2026-02-12）は件数・項目なし、第二報（2-20）は精査中との説明、第三報（3-31）で区分別件数と項目を公表。対象者には順次個別連絡し、連絡がつかない対象者には公表をもって連絡に代えるとした。問い合わせはWebフォームの臨時問い合わせ専用窓口と操作方法用メールアドレスのみで、電話窓口の案内はない。二次被害は確認されていないとする。2026-10-10時点でトピックス一覧に第四報以降は見当たらない。
- 当局対応
- 警察：第二報（2/20）時点で報告済み、第三報では警察等の関係機関と連携と記載
- 関係機関：第一報（2/12）時点で報告済み（機関名は非公表。個人情報保護委員会への報告は公式発表に明記なし）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 業務用SaaS/クラウドストレージは本番DBより個人情報の所在が把握されにくく、侵害時の件数特定に数か月かかった | 業務用SaaS（ストレージ、CRM、MA、フォーム等）ごとに個人情報の保管有無・項目・概算件数をデータマップ化し、DLP/自動分類（例: Microsoft Purview、Google DLP、Box Shield等）で個人情報を含むファイルにラベルを付ける。四半期ごとに不要データを削除し、侵害時に『どのファイルに何件』を即答できる状態にする |
| 検知から流出可能性の確認まで約6週間を要し、アクセス対象の特定が遅れた | SaaSの監査ログ（ログイン、ファイル閲覧・ダウンロード、API呼び出し、共有リンク作成）をSIEMへ転送し、SaaS既定の保持期間（30〜180日が多い）より長く1年以上保管する。ログの有償オプション（例: 詳細監査ログ）を契約時に確認しておく |
| 原因は『通常のセキュリティ対策を回避する不正アクセス』とされ、MFA等の前提が迂回された可能性がある | IdP経由のSSOに一本化しフィッシング耐性MFA（FIDO2/パスキー）を必須化、セッション有効期間の短縮とトークン再利用検知、条件付きアクセスの例外ルール・ローカル管理者アカウント・APIトークン/OAuth連携アプリの棚卸しを定期実施する |
| 共催イベントや取引先の情報も同じ業務クラウドに置かれ、他組織への波及（JOIN出展64団体）を生んだ | 共同事業・委託業務のデータは用途ごとにテナント/フォルダ/ワークスペースを分離し、契約書に保管場所・保持期間・インシデント時の通知期限（例: 72時間以内）を明記する。共催先・委託元への通知フローを事前に合意しておく |
自組織などでの確認項目
- あなたの会社で、顧客や取引先の個人情報が入ったファイルが置かれている業務SaaS（ストレージ、スプレッドシート、CRM、フォーム）をすべて挙げられるか。それぞれ何件・何の項目かを1日で答えられるか。
- 業務SaaSの監査ログを、何日分・どこに保管しているか。攻撃者が3か月前にダウンロードしたファイルを、今日特定できるか。
- MFAを導入していることを理由に『安全』と判断しているSaaSのうち、APIトークン、OAuth連携アプリ、MFA例外アカウントなど、MFAを経由しないアクセス経路はいくつあるか。
- 共催・委託で預かっている他社のデータが漏れたとき、相手先へ誰が・何時間以内に・何を伝えるかを契約で決めているか。
未解明点
- 侵害されたクラウドサービスの名称と種別、および侵害がクラウド事業者側の基盤かマイナビのテナント（アカウント）かの区別
- 『通常のセキュリティ対策を回避する不正アクセス』の具体的な手口（認証情報窃取、MFA回避、API/連携アプリ悪用、設定不備、脆弱性悪用のいずれか）と侵入開始日
- 検知（2025-12-05）から流出可能性確認（2026-01-16）まで約6週間を要した理由と、実際に攻撃者がアクセス・取得したデータの範囲（『可能性』から確定に至ったか）
- 個人情報保護委員会への報告状況（公式発表は『関係機関』『警察』とのみ記載）、JOIN以外に影響を受けた共催・取引先組織の有無、攻撃者による犯行声明の有無
出典
- 1株式会社マイナビ2026-02-12公式本文確認済
- 2株式会社マイナビ2026-02-20公式本文確認済
- 3株式会社マイナビ2026-03-31公式本文確認済
- 4移住・交流推進機構（JOIN）2026-04-01公式本文確認済
- 5ScanNetSecurity2026-02-24報道本文確認済
- 6ScanNetSecurity2026-03-04報道本文確認済
- 7ScanNetSecurity2026-04-16報道本文確認済
- 8ScanNetSecurity2026-04-16報道本文確認済
- 9株式会社一創2026-04-03報道本文確認済
- 10セキュリティ対策Lab（Rocket Boys）2026-04-02報道本文確認済