スカイマークにおける社内システム・採用管理画面の設定不備による個人情報閲覧可能事案（延べ約1.6万人）
公表日
スカイマークの社内システムと採用管理画面にアクセス制限の不備があり、社員や退職者、採用問い合わせ者の個人情報がURLを知っていれば閲覧できる状態になっていました。
対象者は？
2016年3月から2020年2月までに採用問い合わせフォームを利用した488名、および同社の在籍社員と2008年以降の退職者（実人数で最大6,692名、延べ約1万6,400人分）。なお、住所、電話番号、クレジットカード情報は含まれていません。
在籍社員には個別に通知が行われ、過去5年以内の退職者で連絡先が把握されている方には電子メールで連絡されています。連絡先が不明な退職者には公式サイト上で案内されています。
何が起きたのか
2026年10月16日、社員が採用問い合わせ管理画面のアクセス制限不備に気づき、同日中に閲覧できないよう修正しました。この件を受けて社内サーバーの点検を進めたところ、別の社内向けシステムでもファイルや記録がアクセス制限のない場所に保存されており、社員や退職者の顔写真、氏名、パスワード、入力記録などが閲覧可能な状態になっていたことが判明しました。同社は順次アクセス制限を実施し、11月2日までに閲覧できない状態へと修正しました。
なぜ起きたのか・なぜ広がったのか
社内向けのファイルや記録をアクセス制限のない場所に保存していたこと、および管理画面のアクセス制限設定が不十分だったことが原因です。ホームページ等からのリンクはありませんでしたが、URLを直接知っていれば誰でも閲覧できる状態になっていました。
いまの状況2026-11-02 時点続報待ち
すでにすべての対象データについて閲覧できないよう修正が行われています。アクセスログが残っている期間の調査では、第三者による情報の取得や不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。、二次被害は確認されていません。同社はログが残っていない期間の閲覧有無を確認できないため個人情報保護委員会に報告を行うとともに、サーバーの定期点検とアクセス制限の徹底を再発防止策として進めています。
企業として考えたいこと
自社のシステムや過去に作成した管理画面で、「社外にリンクを貼っていないから安全」と思い込んで認証やアクセス制限を省略している場所はありませんか？
技術的な要約
スカイマーク株式会社において、採用問い合わせ管理画面および社内向けシステムにアクセス制限の不備があり、URLを知っていれば認証なしで個人情報が閲覧可能な状態となっていたことが判明した。2026年10月16日に採用管理画面の不備に気づき、同日中にアクセス制限を実施して10月19日に発表（対象者488名）した。これを受けてサーバーの点検を進めたところ、社内向けシステムに保存されていた社員および退職者の顔写真、氏名、社員番号、ログインパスワードなどが閲覧可能となっていたことが新たに発覚した。対象は延べ約1万6,400人分（最大実人数6,692名）に上り、アクセスログが残っていない期間について閲覧有無を確認できないため漏えいのおそれがあるとして個人情報保護委員会に報告した。確認可能な期間のログ調査では第三者による取得や不正アクセスの痕跡、二次被害は確認されていない。
攻撃の分類
- 侵入口
- 管理画面/API公表で確認新卒・既卒採用のお問い合わせ管理画面でアクセス制限が適切に設定されておらず、また社内向けのファイルや記録をアクセス制限のない場所に保存していたため、URLを知っていれば閲覧可能な状態となっていた。
- 脆弱性
- CVE 非公表公表で確認社内向けシステムおよび採用問い合わせ管理画面社内向けファイルや記録、管理画面に対するアクセス制限・認証設定の不備により、URLへの直接アクセスで閲覧可能な状態になっていた。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし
- データ
- おそれ上限 16,400確定 0人氏名メール生年月日その他2026年11月2日発表の社員および2008年以降の退職者の個人情報は延べ約16,400人分（社員の顔写真・社員番号6,692名、ログデータ4,247名、社内入力記録5,467名、実人数最大6,692名）。ログデータには社員番号、氏名、ログイン用パスワード、ログイン履歴、義援金・投票申込内容が含まれていた。また2026年10月19日発表の採用問い合わせフォーム管理画面では488名（氏名、カナ、メール、学校・学部学科または勤務先・部署、問い合わせ内容）が対象。住所、電話番号、クレジットカード情報は含まれていない。ログ未保持期間について閲覧の有無が確認できないため「漏えいのおそれ」とされた。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- —
時系列
- 2008-05-21
- 2008-07
- 2016-03
- 2025-06-09
- 2026-01-06
- 2026-10-16
- 2026-10-19
- 2026-10-21
- 2026-10-28
- 2026-10-30
- 2026-11-02
技術解説
採用管理画面の不備検知から社内システム点検への経緯 事実
本件は、2026年10月16日に社員が新卒・既卒採用問い合わせ管理画面のアクセス制限の不備に気づいたことから始まった。スカイマークは同日中に外部からの閲覧を遮断し、10月19日に採用問い合わせフォームを利用した488名分の情報が閲覧可能状態にあったことを公表した。これを受けて同社が管理サーバーの点検を実施したところ、社員向けシステムにおいてもファイルや記録がアクセス制限のない場所に保存されていたことが判明した。点検結果に基づき、10月21日に顔写真データおよびログデータ、10月28日に入力記録の閲覧制限措置を実施した。アクセスログが残る期間（顔写真は2025年6月9日以降、ログ・入力記録は2026年1月6日以降）の調査では第三者による取得や不正アクセスの痕跡は確認されていない。
対象データの内訳とログ未保持による「漏えいのおそれ」の判断 事実
閲覧可能な状態にあった情報は延べ約1万6,400人分（実人数で最大6,692名）に上る。内訳は、社員・退職者の顔写真と社員番号が6,692名、ログデータ（社員番号、氏名、ログイン用パスワード、ログイン履歴、義援金・社内投票申込内容）が4,247名、社内ネットワークからのみ閲覧可能だった入力記録（社員番号、氏名、生年月日、メールアドレス）が5,467名分である。住所、電話番号、クレジットカード情報は含まれていない。ログデータの一部は2008年7月から、入力記録は2008年5月から閲覧可能な状態が続いていた。ログが残っていない期間について閲覧がなかったことを客観的に証明できないことから、同社は個人情報保護委員会に「漏えいのおそれ」として報告した。なお、パスワードは定期変更が必須とされていたため、ログ未保持期間のものは既に使用不可となっている。
「隠蔽によるセキュリティ」の限界と長期運用の盲点 解釈
本件の原因は、認証による保護を行わず「URLが案内されておらず、リンクも存在しないため到達できない」状態に依存していた点にある。いわゆる「隠蔽によるセキュリティ（Security through Obscurity）」は、URLの漏えいや推測、ブラウザのキャッシュや通信ログの流出によって容易に破綻する。特に本件では、社員向けシステムのデータ保存場所が2008年から約18年間にわたり制限なしのまま維持されていた。日常的に使われないシステムやバックエンドの管理画面は、定期的な棚卸しやセキュリティ監査の対象から漏れやすく、検知が極めて遅れる典型的なリスクを示している。初動で採用管理画面の不備にとどまらず、管理サーバー全体の横断点検を行ったことは被害範囲の確定と是正につながったといえる。
対応
- 封じ込め
- 2026年10月16日に採用問い合わせ管理画面を外部から閲覧できないよう措置を実施。その後のサーバー点検に伴い、10月21日に顔写真およびログ・データ、10月28日に入力記録をそれぞれ閲覧できない状態に修正した。
- 公表の仕方
- 2026年10月19日に採用問い合わせ管理画面の設定不備について公表。11月2日には社員・退職者の個人情報閲覧可能事案を公表し、在籍社員へ個別通知を行うとともに、過去5年以内に退職し連絡先を把握している対象者へ電子メールで連絡を実施した（連絡先不明者にはウェブサイト案内で対応）。
- 当局対応
- 個人情報保護委員会
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| URLを知っていれば認証なしでアクセスできるファイル配置や管理画面の放置を防ぐ | Webサーバーやオブジェクトストレージの公開ディレクトリに社内データや管理機能を配置しない運用を徹底し、すべての管理画面・静的ファイル配信エンドポイントにWebサーバー層でのIP制限またはアイデンティティプロバイダ（IdP）による認証・認可を必須化する。 |
| 長期間アクセス記録が残っておらず、過去の閲覧や漏えいの有無を追跡できない状態を回避する | 個人情報や社内認証情報を扱うエンドポイントのアクセスログは、監査ログ専用のセキュアなストレージへ集約・保管し、少なくとも法令や組織の規程で定めた一定期間（例: 1年以上）は保持および定期的なアーカイブを行う。 |
| 開発・運用が長期化した社内システムや放置された管理画面のセキュリティ設定の陳腐化を防ぐ | 社内システム資産台帳を定期的に更新し、利用頻度が低いシステムや過去のキャンペーン・採用等で使用した管理画面を含め、不要なエンドポイントの停止や設定状況の定期棚卸し・脆弱性診断プロセスを確立する。 |
| ログや設定ファイル内に平文や可逆な形式のログインパスワードを記録・出力させない | 認証システムのログ設計を見直し、パスワードや機微なパラメータがログデータや一時ファイルに出力されないようマスキングや除外ルールを実装する。また、認証情報は不可逆な暗号学的ハッシュ関数を用いて適切にソルト・ハッシュ化して管理する。 |
自組織などでの確認項目
- 自組織で運用している社内向けシステムや管理画面のうち、認証を経ずにURLを直接指定するだけで閲覧・ダウンロードできるファイルパスやディレクトリが存在していないか
- 個人情報や機微な社員情報を扱うシステムにおいて、万が一の設定不備やインシデント発生時に閲覧の有無を証明できる十分な期間のアクセスログを確実に保存・監査できているか
- 過去に作成されて現在日常業務でほとんど使われていない社内システムや管理機能が、サーバー点検や資産棚卸しの対象から漏れていないか
未解明点
- 社員の顔写真と社員番号が外部から閲覧可能になった具体的な開始時期および設定の契機
- ログデータに含まれていたシステムログイン用パスワードが平文で保存されていたのか、あるいは可逆・不可逆な暗号化/ハッシュ化が施されていたのかの技術的詳細
出典
- 1＠SOHO編集部2026-10-20報道本文確認済
- 2Aviation Wire2026-11-02報道本文確認済
- 3共同通信2026-11-02報道本文確認済
- 4sky-budget スカイバジェット2026-11-03報道本文確認済
- 5Aviation Wire2025-10-14報道本文確認済
- 6新潟日報2026-11-02報道本文確認済
- 7日本経済新聞2026-11-02報道本文確認済
- 8共同通信社2026-11-02報道本文確認済
- 9スカイマーク株式会社2026-11-02公式本文確認済
- 10東京新聞デジタル2026-11-02報道本文確認済
- 11TRAICY2026-11-02報道本文確認済