シェアフル社内管理システムへの不正アクセス（個人情報最大約750万件流出の恐れ）
公表日
スキマバイトアプリ「シェアフル」の社内管理システムが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。を受け、登録ユーザー最大約750万件の個人情報と求人企業最大約7,500社の情報が流出した可能性があることが公表されました。
対象者は？
スキマバイトアプリ「シェアフル」に登録している個人ユーザー（最大約750万件）および求人企業（最大約7,500社）。流出した可能性がある情報には氏名、電話番号、住所、口座情報、顔写真URL等が含まれます。なお、給与・ポイント情報、契約・就業データ、運転免許証等の画像は含まれておらず、クレジットカード情報やマイナンバーは同社で保持していません。
対象となる可能性があるユーザーや企業には、シェアフルより電子メール等で個別の連絡が順次行われます。不審な連絡にはご注意ください。
いますぐできること
- シェアフルや金融機関、公的機関を名乗る不審なメールやSMS、電話に注意し、身に覚えのないリンクを開いたり暗証番号・パスワードを入力したりしない。
- シェアフルからの公式な個別連絡（電子メール等）が届いていないか確認する。
- 登録している銀行口座に不審な入出金の履歴がないか定期的に確認する。
何が起きたのか
2026年11月4日深夜、シェアフルの社内管理システムに対して外部から不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。が行われ、不審なアカウントが作成されました。翌5日午前に社内で異常を検知し、同日14時までに外部からのアクセス経路および別サーバーで管理されていた顔写真データへのアクセスを遮断しました。その後の調査により、ユーザーの個人情報最大約750万件や求人企業の法人情報最大約7,500社分が外部に流出した恐れがあることが判明し、11月9日に公表されました。
なぜ起きたのか・なぜ広がったのか
外部の第三者によって社内管理システムに不審なアカウントが作成され、システム内のデータが閲覧・取得可能な状態に置かれました。また、顔写真データは別サーバーに分離されていたものの、管理システム内に保管サーバーのURLが含まれていたため、一時的にアクセスできる状態になっていたとされています。侵入経路の具体的な技術的要因については現在も外部専門機関により調査が進められています。
いまの状況2026-11-10 時点続報待ち
外部からのアクセス経路および顔写真データへのアクセスはすでに遮断されており、更なる情報流出の可能性が発生していないことが確認されたうえで、サービスは通常通り継続しています。同社は個人情報保護委員会への報告一定の個人情報の漏えいが起きた場合、企業は国の機関である個人情報保護委員会への報告と、本人への通知が法律で義務づけられています（2022年4月から）。漏えいの通知が届くことが多いのは、このためです。と警察への通報を完了し、外部専門機関と連携して原因究明を進めるとともに、対象者へ順次メール等で連絡を行っています。流出が確定した件数や詳細な侵入原因についてはまだ発表されていません。
企業として考えたいこと
自社の社内管理システムや管理用画面はインターネットから隔離され、深夜の不審なアカウント作成や異常なアクセスを検知・遮断できる仕組みが整っていますか？
技術的な要約
スキマバイトアプリ「シェアフル」を運営するシェアフル株式会社は、社内管理システムが第三者による不正アクセスを受けたと公表した。2026年11月4日深夜に不審なアカウント作成とアクセスが実行され、翌5日午前に検知した。同日14時までに外部からのアクセス経路を遮断したものの、登録ユーザー最大約750万件の個人情報（氏名、電話番号、口座情報、顔写真URL等）および求人企業最大約7,500社の法人情報が外部に流出した可能性がある。サービス自体は通常通り提供を継続しており、同社は外部専門調査機関と連携して原因究明と影響範囲の特定を進めている。
攻撃の分類
- 侵入口
- 不明公式発表では社内管理システムに対して外部の第三者により不審なアカウント作成およびアクセスが実行されたと記載されているが、侵入に用いられた具体的な脆弱性や認証情報の入手経路等は公表されていない。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 不正アクセス経路の遮断を確認したうえで、通常どおりサービスを提供しており、業務停止は発生していない。
- データ
- おそれ上限 7,500,000確定 —件氏名電話メール住所生年月日口座取引先情報業務データその他個人アカウント最大約750万件において、氏名・カナ、電話番号、メールアドレス、住所、生年月日、給与振込用銀行口座情報（暗証番号・PWは含まない）、顔写真URL（保管サーバーのURL）、緊急連絡先、在留資格関連情報、その他属性情報が流出した可能性がある。また、求人企業最大約7,500社において、会社名、電話番号、住所、郵便番号、担当者情報（氏名、部署・役職、メールアドレス、電話番号）、営業管理データの一部が流出した可能性がある。なお、給与・ポイント情報、契約・就業データ、運転免許証等の本人確認書類画像は対象に含まれておらず、マイナンバーおよびクレジットカード情報は同社システムで取得・保持していない。
- 波及先
- 7500 社
- 求人企業の担当者連絡先や営業管理データが外部に流出した可能性がある
- 流出した連絡先宛てにシェアフルや関係機関を装った不審な連絡（フィッシング詐欺等）が届く懸念
- 金銭影響
- —
- サプライチェーン
- —
時系列
- 2026-11-04 23:30
- 2026-11-05 09:45
- 2026-11-05 14:00
- 2026-11-05
- 2026-11-06被害範囲の特定と二次被害防止策の実施を最優先で開始し、事実関係の確認を進める7
- 2026-11-08
- 2026-11-09
- 2026-11-09
- 2026-11-10
技術解説
侵害の検知と初動対応のタイムライン 事実
シェアフル社の公表によると、2026年11月4日23時30分頃に社内管理システムにおいて外部の第三者による不審なアカウント作成および不正アクセスが実行された。同社は翌5日9時45分頃に事象を検知し、直ちにログおよび影響範囲の調査を開始した。同日14時00分までに外部からの不正アクセス経路を遮断する緊急措置を完了したほか、顔写真データを分離管理していた別サーバーへのアクセス遮断措置も実施した。同社は11月6日から8日にかけて更なる流出の可能性がないことを確認し、11月9日に個人情報保護委員会への届出・報告手続きを進め、警察署に通報するとともに事案を公表した。サービス自体は遮断措置の確認を経て通常通り提供を継続している。
流出可能性の対象データと除外された情報の範囲 事実
流出の可能性がある対象は、登録ユーザーの個人アカウント最大約750万件と、求人企業最大約7,500社である。個人情報には氏名、電話番号、メールアドレス、住所、生年月日、給与振込用口座情報（暗証番号等は含まず）、顔写真URL、緊急連絡先、在留資格関連情報、属性情報が含まれる。一方、給与・ポイント情報、契約・就業データ、運転免許証等の本人確認書類画像は不正アクセスを受けたデータに含まれていないことが確認されている。また、マイナンバーおよびクレジットカード情報は同社システムで取得・保持していないと公表されている。法人情報では会社名、所在地、電話番号、担当者情報、営業管理データの一部が流出した可能性がある。
管理システムの認証統制と分離サーバーのアクセス制御構造 解釈
本件の特徴として、社内管理システム上で不審なアカウントが作成され、そこから広範なデータへのアクセスが行われた点が挙げられる。侵入経路やアカウント作成権限の奪取方法についての詳細は公表されていないが、外部に露出していた管理画面やAPIの脆弱性、あるいは特権アカウントの認証情報が何らかの手段で悪用された可能性がある。また、顔写真の実データ自体は別サーバーで分離管理されていたものの、管理システム内にそのURLが保持されていたため、一時的に外部からアクセスできる状態が生じたと報告されている。重要データの保管場所を分離していても、その参照パスやアクセス権限の制御が連動していなければ、管理側の侵害に伴って保護対象データへ到達されるリスクがあることを示唆している。
複合的な個人属性と給与振込口座の露出に伴う二次被害リスク 解釈
流出の恐れがあるデータには、基本属性（氏名・住所・生年月日）に加えて、顔写真データへアクセス可能なURL、給与振込用口座情報、在留資格情報というプライバシー性の高い情報が含まれている。運転免許証の画像や暗証番号、マイナンバー自体は対象外とされているものの、顔写真と詳細な個人属性、振込口座情報が組み合わさることで、フィッシング詐欺やなりすまし攻撃の精度が高まる懸念がある。特に求人企業とワーカーの双方が登録されているプラットフォームの特性上、事業者側・求職者側の双方を装った精巧な詐欺連絡への警戒が必要となる。
対応
- 封じ込め
- 2026年11月5日14:00までに緊急アクセス遮断措置を実施完了し、外部からの不正アクセス経路を遮断した。また、顔写真データを分離管理していた別サーバーについてもアクセス遮断措置を完了している。
- 公表の仕方
- 2026年11月9日に自社サイトおよびプレスリリースで不正アクセスと情報流出の可能性を公表。流出の可能性がある対象者に対しては電子メール等による個別連絡を順次実施するとしている。
- 当局対応
- 個人情報保護委員会
- 警察署
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 社内管理システムや特権操作に対するアカウント作成・権限付与の厳格な制限と監視 | 社内管理画面・APIを外部ネットワークから直接アクセス不能（VPNやゼロトラストZTNA必須）とし、新規アカウント作成や特権昇格イベント発生時に即座にセキュリティチームへアラートを発報する仕組みを導入する。 |
| 重要ファイル（顔写真・本人確認情報等）を別サーバーに分離する際の署名付きURL等のアクセス制御 | 静的URLの直接参照を排し、有効期限付きの署名付きURL（Pre-signed URL）や細粒度の認可トークンによる認証を必須とすることで、管理DB上のURL流出時にも直ちに実ファイルへアクセスできないよう防御する。 |
| 夜間・休日に発生する不正アクセスや侵害活動の検知リードタイム短縮 | 24時間365日体制のSOC（またはMDRサービス）を配備し、深夜帯の不審なアカウント作成や異常な大量データ参照を自動遮断または即座にエスカレーションできるSIEM/SOARルールを整備する。 |
| サービス本体と管理・分析システムにおける機微データの最小化とマスキング | 管理システムで一覧閲覧する必要のない給与振込口座番号や在留資格情報などの機微項目は、マスキング表示や個別の復号認可フローを設け、管理アカウント侵害時の全件一括窃取リスクを局所化する。 |
自組織などでの確認項目
- 自社の社内管理システムや管理用APIは、インターネットから直接アクセス可能な状態になっておらず、VPNや多要素認証・デバイス制御などのゼロトラストアクセスで保護されているか。
- 画像や証跡ファイルなどのオブジェクトストレージにおいて、データベースに保存されたURLを知るだけで誰でも参照できる設定になっていないか（署名付きURLや認可チェックが適切に適用されているか）。
- 深夜・休日を含む時間帯に特権アカウントの新規作成や異常な大量データアクセスが発生した際、即座に検知・自動遮断できる監視体制やアラート通知基盤が存在するか。
未解明点
- 第三者が社内管理システムにおいて不審なアカウントを作成・アクセスした具体的な侵入経路（公開管理インターフェースの認可不備、Webアプリの脆弱性、認証情報の窃取・流用など）は何であったのか。
- 管理システムから参照可能だった顔写真データ保管サーバーへのアクセス遮断までに、実際にどれだけのユーザーの顔写真データが外部へ持ち出されたのか（アクセスの有無やダウンロード件数の調査結果）。
出典
- 1株式会社アクト2026-11-10報道本文確認済
- 2KSB瀬戸内海放送2026-11-09報道本文確認済
- 3NHKニュース2026-11-09報道本文確認済
- 4ABEMA TIMES2026-11-10報道本文確認済
- 5シェアフル株式会社2026-11-09公式本文確認済
- 6セキュリティ対策Lab2026-11-09報道本文確認済
- 7シェアフル株式会社2026-11-09公式本文確認済
- 8日本経済新聞2026-11-10報道本文確認済