スタディサプリへの仕様不備を突いた不正アクセス（メールアドレス3,687件の登録有無を特定された可能性、学校・自治体経由の利用者を含む）
公表日
オンライン学習サービス「スタディサプリ」で、システムの仕様の不備を突かれ、メールアドレス3,687件が登録者のものだと第三者に知られた可能性があります。学校や自治体を通じて使っている児童・生徒も含まれます。
対象者は？
スタディサプリに登録している方のうち、会社から連絡を受けた方です。個人で契約している方のほか、学校や自治体を通じて使っている児童・生徒も含まれ、千代田区では区立学校の児童・生徒8人が対象でした。知られた可能性があるのは「このメールアドレスがスタディサプリに登録されている」という事実です。氏名・パスワード・決済情報の流出や、不正ログインは確認されていません。
対象の方には会社から順次個別に連絡しています。学校や自治体を通じて使っている方は、学校からの連絡を確認してください。会社は、連絡のない学校・自治体は対象外と説明しています。
いますぐできること
- スタディサプリやリクルートを名乗るメールで、パスワードや認証コードの入力を求められても応じない。ログインは公式アプリや公式サイトから行う
- 子どもが使っている場合は、不審なメールが届いたら開く前に家族や先生に相談するよう話しておく
何が起きたのか
2026年9月30日、スタディサプリで、第三者が特定のメールアドレスが登録されているかどうかを確かめる不適切な操作をしていたことが分かりました。その結果、3,687件のメールアドレスが登録者のものだと特定された可能性があります。会社は同じ日に問題の機能を直し、同じやり方で確かめられないようにしました。10月3日に公表し、対象の方や学校・自治体に知らせました。
なぜ起きたのか・なぜ広がったのか
原因は、システムの一部の機能にあった仕様の不備だと会社は説明しています。どの機能か、どのくらいの期間この状態だったかは公表されていません。登録者の一覧が持ち出されたのではなく、犯人が手元のメールアドレスを試して、登録されているかを見分けた形です。
いまの状況2026-10-03 時点続報待ち
問題の機能は9月30日に直されていて、会社は緊急の点検と監視の強化を行いました。二次被害は確認されていないとされています。千代田区は、学校が管理する児童・生徒のアカウントと一致する場合はアカウントを変えるとしています。悪用された機能や手口の詳しい内容は、まだ発表されていません。
企業として考えたいこと
自社のWebサービスのログインや会員登録の画面は、「登録済み」「未登録」で違う答えを返していないでしょうか。その違いだけで、利用者が誰かを知られてしまうことがあります。
技術的な要約
リクルートは2026年10月3日、オンライン学習サービス『スタディサプリ』で、システムの一部機能における仕様の不備を突いた第三者の不正アクセスにより、特定のメールアドレスが登録済みかどうかを確認され、3,687件のメールアドレスが登録者のものと特定された可能性があると公表した。不適切な操作は9月30日に判明し、同日中に当該機能を改修して同様の手法で確認できないよう修正を完了、緊急のセキュリティ点検と監視強化を行った。氏名・パスワード・決済情報の流出、不正ログイン、二次被害は公表時点で確認されていない。対象には学校・自治体経由の利用者も含まれ、千代田区教育委員会は10月5日、区立学校の児童・生徒8名が対象だったと公表し、学校管理アカウントと一致する場合はアカウントを変更するとした。悪用された機能や手口の詳細は非公表で、報道はアカウント列挙攻撃の可能性を指摘している。
公開情報が限られている点について
攻撃の分類
- 侵入口
- Webアプリ脆弱性公表で確認公式発表は『システムの一部機能における仕様の不備を突いた第三者の不正アクセス』とし、第三者が特定のメールアドレスについてスタディサプリへの登録の有無を確認できた可能性があると説明（確定）。どの機能（ログイン、新規登録、パスワード再設定、招待等）か、試行回数・期間・送信元は非公表。ITmedia NEWSは、登録済みと未登録で応答が異なる機能に大量のアドレスを試す『アカウント列挙』攻撃だった可能性を指摘している（報道の解説であり公式説明ではない）。
- 脆弱性
- CVE 非公表公表で確認スタディサプリ（自社サービス）の一部機能（機能名非公表）メールアドレスの登録有無を外部から判別できる仕様上の不備。2026-09-30に改修し、同日時点で同様の手法による確認ができないよう修正を完了したと公表。いつから存在した仕様かは非公表。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし サービス停止は公表されていない。当該機能は9/30に改修。
- データ
- おそれ上限 3,687確定 —件メール3,687件のメールアドレスについて、スタディサプリに登録されていることを第三者に特定された可能性（登録者一覧そのものの持ち出しではなく、攻撃者が保有するアドレスの登録有無が判別された形）。講座別の内訳は非公表。うち千代田区立学校の児童・生徒8名分（千代田区公表）。氏名・パスワード・決済情報などの流出は公表時点で確認されていない。
- 波及先
- —
- 千代田区教育委員会：区立学校の児童・生徒8名が対象。各学校を通じて連絡し、学校管理の児童・生徒用アカウントと一致する場合はアカウントを変更予定（10/5公表）
- リクルートは対象者がいる学校・自治体へ個別に連絡したと説明（学校・自治体名と数は非公表）
- 金銭影響
- —
- サプライチェーン
- スタディサプリは学校・自治体が児童・生徒に提供する教育サービスとしても使われており、学校・自治体経由の利用者のメールアドレスも対象に含まれた。リクルートは対象者がいる学校・自治体へ個別連絡し、千代田区教育委員会は児童・生徒8名が対象だったと公表、学校管理アカウントの変更を予定するなど、委託元である自治体側に対応が波及した。連絡を受けた学校・自治体の総数は非公表。
時系列
技術解説
公表内容：『流出』ではなく『登録有無の特定』 事実
リクルートの発表は、攻撃者がスタディサプリのデータベースから登録者一覧を取得したのではなく、第三者が手元のメールアドレスについて『登録されているか』を確認できた可能性を述べている。3,687件は攻撃者が試したアドレスのうち登録済みと判明した可能性がある件数であり、試行総数・期間・送信元は公表されていない。原因は『仕様の不備』とされ、具体的な機能名は非公表。9/30に判明し同日に改修を完了しており、判明から修正までは短い。氏名・パスワード・決済情報の流出、不正ログイン、二次被害は10/3時点で確認されていない。発表文は個別のお知らせURLを持たず、重要なお知らせ一覧ページに掲載されている。
アカウント列挙の構造と、小さな件数が持つ意味（解釈） 解釈
報道が指摘するアカウント列挙は、ログイン・新規登録・パスワード再設定などで『登録済みです』『該当するアカウントがありません』と応答が分かれる、あるいは応答時間が異なることを利用し、大量のアドレスを機械的に試して有効なものを選別する手口である。得られるのは『このアドレスの持ち主はスタディサプリ（＝子どもの学習サービス）の利用者だ』という属性情報で、件数は小さくても、保護者や児童・生徒を狙った精度の高いフィッシング（再ログインや認証コード入力を促すもの）のリストとして価値がある。リクルートが注意喚起でパスワードや認証コードの入力に言及しているのはこの用途を想定したものと読める。どの機能が該当したかは公表されておらず、推測を含む。
教育サービスの学校・自治体への波及 事実
スタディサプリは個人契約に加え、学校・自治体経由で児童・生徒に提供されている。千代田区教育委員会は10/2にリクルートから一報を受け、10/5までに区立学校の児童・生徒8名を確認して各学校を通じて連絡し、登録アドレスが学校管理の児童・生徒用アカウントと一致する場合はアカウントを変更すると公表した。私用アドレスの場合は不審メールへの注意を案内している。つまり、事業者側の仕様不備の後始末（対象者の特定、保護者への説明、アカウント変更）が委託元である教育委員会・学校に発生している。リクルートは連絡のない学校・自治体は対象外と説明しているが、連絡先の総数は公表されていない。
対応
- 封じ込め
- 9/30に当該機能を改修し、同様の手法による確認ができないよう修正を完了。緊急のセキュリティ点検を実施し監視体制を強化。
- 公表の仕方
- 10/3に公式サイトで公表（原因は『仕様の不備』、件数3,687件、未確認事項、注意喚起、問い合わせ窓口を個人契約・学校経由の生徒/保護者/先生別に設置）。対象者には順次個別連絡、学校・自治体経由の対象者がいる学校・自治体にも個別連絡。悪用された機能名・手口は非公表。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 登録有無が外部から判別できる仕様 | ログイン・新規登録・パスワード再設定・招待の各APIで、登録済み/未登録に関わらず同一の文言・HTTPステータス・応答時間を返す（『該当する場合はメールを送信しました』方式）。新規登録の重複判定はメール確認リンク送付後に行う |
| 大量試行を機能単位で止められなかった | メールアドレスを入力に取るエンドポイントにIP・デバイス・アカウント単位のレート制限とボット対策（WAFのボット管理、CAPTCHAの段階適用）を入れ、同一送信元から多数の異なるアドレスが試行されたらアラートを上げる |
| 列挙で得たアドレスは利用者層に合わせたフィッシングに使われる | 公式メールの送信ドメインをDMARC p=reject で保護し、メール本文にログインURLを載せない運用に切り替える。注意喚起では『公式からはパスワード・認証コードの入力をメールで求めない』と具体的に示す |
| 学校・自治体経由のアカウントでは委託元側に対応が発生する | 教育委員会・学校との契約で、インシデント時の連絡窓口、対象者リストの受け渡し形式、連絡期限を定めておく。学校側は外部サービスに登録した児童・生徒のアドレスと学校管理アカウントの対応表を最新に保つ |
自組織などでの確認項目
- 自社サービスのログイン・会員登録・パスワード再設定画面に、存在しないアドレスを入れたときと存在するアドレスを入れたときで、文言・ステータスコード・応答時間に違いはないか。今すぐ確かめる手順は何か。
- 『登録有無が分かるだけ』の不備を、自社ではどの程度の深刻度として扱うか。利用者層（子ども、医療、金融など）によって評価は変わるか。
- 自社が学校・自治体・企業に提供しているサービスで同様の事案が起きた場合、どの委託元に何時間以内に何を渡せるか。
未解明点
- 悪用された機能と仕様不備の具体的内容、不備が存在していた期間
- 攻撃の試行総数・期間・送信元、検知の契機
- 個別連絡した学校・自治体の数、講座別の内訳
- 個人情報保護委員会への報告の有無
出典
- 1リクルート（スタディサプリ）2026-10-03公式本文確認済
- 2千代田区教育委員会2026-10-05公式本文確認済
- 3ITmedia NEWS2026-10-06報道本文確認済
- 4セキュリティ対策Lab（Rocket Boys）2026-10-06報道本文確認済
- 5Hakky Handbook2026-10-06報道本文確認済