「女の転職type」スマートフォンアプリへのリスト型攻撃（不正ログイン試行114万件超、成功3.8万件・1.8万人）
公表日
転職サイト「女の転職type」のスマートフォンアプリで、2026年5月26日〜28日に不正なログイン試行が114万件超あり、38,442件(18,253人分)でログインに成功したと運営会社が公表した。
対象者は？
「女の転職type」のスマートフォンアプリで不正ログインが確認された会員(ログイン成功は38,442件、ユニークユーザー18,253名)。一部の会員情報ページが閲覧された可能性がある。パスワード自体は復号できない形で保存されているとされる。閲覧された具体的な項目は公式には確認できていない。
対象の会員には、2026年5月30日付でパスワード再設定の案内メールが送られている。心当たりのある方は、そのメールを確認してください。
いますぐできること
- 同じパスワードを使い回しているサービスがないか確認し、使い回しがあれば別々のものに変える。
- 「女の転職type」で再ログインするときは、新しく設定するパスワードを他のサービスと違うものにする。
- 利用できるサービスでは、多要素認証(追加の確認)を設定する。
何が起きたのか
2026年5月26日から28日にかけて、「女の転職type」のスマートフォンアプリに、他のサービスから流出したと推測されるIDとパスワードの一覧を使ったログインの試みが繰り返された。試行は114万1,828件で、そのうち38,442件(18,253人分)でログインに成功した。運営会社のキャリアデザインセンターは5月30日に公表し、外部からのアクセスの遮断、全会員の強制ログアウト、対象者のパスワード初期化を行い、個人情報保護委員会へ報告した。6月19日には調査結果を公表した。
なぜ起きたのか・なぜ広がったのか
他のサービスから流出したと推測されるIDとパスワードが使われたとされている。同社内からのIDとパスワードの漏えいは確認されていない。同じ組み合わせを複数のサービスで使っていると、別のサービスでもログインできてしまうことがある。なお、セキュリティ対策Labは、アプリ向けの通信の入り口が狙われた点を特徴として挙げている。これは同サイトの見解である。
いまの状況2026-06-19 時点続報待ち
2026年6月19日の調査結果では、外部専門機関による調査でも社内調査との相違はなく、個人情報が流出した事跡および二次被害の事実は確認されていないとされた。再発防止策として、不審な通信元のアクセス遮断と監視強化、認証方式の強化、監視の検知ルール拡充、運用プロセスの強化の4項目が発表された。補償についてはまだ発表されていません。
企業として考えたいこと
自社のログイン画面は、Webでもスマートフォンアプリでも、大量の自動ログイン試行を同じように検知して止められるだろうか。
技術的な要約
キャリアデザインセンターは2026年5月30日、同社運営の転職サイト「女の転職type」のスマートフォンアプリに対するリスト型攻撃（クレデンシャルスタッフィング）で不正ログインが発生したと公表した。攻撃は5月26日から28日にかけて行われ、不正ログイン試行は1,141,828件、うち38,442件（ユニークユーザー18,253名）でログインが成功し、一部の会員情報ページが閲覧された可能性がある。手口は他サービスから流出したと推測されるID・パスワードのリストを使ったもので、同社内からのID・パスワード漏えいは確認されていない。同社は外部アクセスの遮断、全会員の強制ログアウト、対象者のパスワード初期化を行い、個人情報保護委員会へ報告した。6月19日の調査結果では、外部専門機関のフォレンジック調査で社内調査との相違はなく、個人情報が流出した事跡および二次被害の事実は確認されていないとされた。再発防止策として4項目が発表されている。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 認証情報窃取・流用報道・研究者「他サービスから流出したと推測されるID・パスワードリストを使用」したリスト型アカウントハッキング。同社内からのID・パスワード漏えいは確認されていない。セキュリティ対策Labは、スマートフォンアプリのモバイルAPIエンドポイントが標的にされた点が特徴と指摘している（同サイトの見解）。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし サービス停止に関する記載は確認できない。対応として全会員の強制ログアウトを実施した。
- データ
- おそれ上限 38,442確定 —件不正ログイン試行1,141,828件のうち、ログイン成功は38,442件（ユニークユーザー18,253名）。この38,442件を records_max としており、試行数は含めていない。ログイン後に一部の会員情報ページが閲覧された可能性がある。6月19日の調査結果では、フォレンジック調査で社内調査との相違はなく、個人情報が流出した事跡および二次被害の事実は確認されていない。パスワードは復号不可能なハッシュ形式で保存されている。閲覧対象の具体的な項目は公式には確認できていない（報道は氏名・生年月日・住所・電話番号・メールアドレス、現職情報・職務経歴・年収・転職希望条件などが含まれる可能性があると解説）。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 他サービスから流出したと推測されるID・パスワードのリストが使われたとされるが、特定の委託先や取引先を経由した侵害は報じられていない。
時系列
技術解説
攻撃の構造:他サービス由来のID・パスワードを使ったリスト型攻撃 事実
公表によると、攻撃は2026年5月26日から28日にかけて「女の転職type」のスマートフォンアプリに対して行われた。手口は、他サービスから流出したと推測されるID・パスワードのリストを使うリスト型アカウントハッキング(クレデンシャルスタッフィング)である。同社内からのID・パスワード漏えいは確認されていない。不正ログイン試行は1,141,828件で、そのうちログインに成功したのは38,442件(ユニークユーザー18,253名)と公表されている。ログイン後に一部の会員情報ページが閲覧された可能性がある。パスワードは復号不可能なハッシュ形式で保存されているとされる。なお、検知日と閲覧対象の具体的な項目は、渡された出典からは確認できない。
対応と公表の経過 事実
同社は2026年5月30日に第一報を公表した。対応として、外部からのアクセス遮断、全会員の強制ログアウト(既存セッションの無効化)、不正ログインが確認された会員のパスワード初期化を行った。対象者には5月30日付でパスワード再設定の案内メールを送り、個人情報保護委員会へも報告した。再ログインには新しいパスワードの設定が必要である。6月19日には調査結果を公表し、外部専門機関のフォレンジック調査で社内調査との相違はなく、個人情報が流出した事跡および二次被害の事実は現時点で確認されていないとした。再発防止策として、不審通信元からのアクセス遮断・監視強化、認証方式の強化、セキュリティ監視の検知ルール拡充、運用プロセスの強化の4項目が示された。
モバイルAPIが標的となった点の読み方 解釈
セキュリティ対策Labは、スマートフォンアプリのモバイルAPIエンドポイントが標的にされた点を特徴として指摘している。これは同サイトの見解であり、同社の公表で確認された内容ではない。解釈としては、アプリ向けAPIはWebの画面と比べて、試行回数の制限やボット判定などの防御が別に設計・運用されることがあり、大量試行の経路になり得ると考えられる。ただし本件でそのような差があったかどうかは公表されていない。試行114万件超という規模は、短期間に自動化された試行が行われたことを示す数字であり、再発防止策に「不審通信元からのアクセス遮断」や「検知ルール拡充」が含まれることとも整合的に読める。ただし、これは推測である。
同時期の他社事案との関連は断定できない 解釈
セキュリティ対策Labは、エン株式会社「ミドルの転職」で被害開始日が5月26日と一致していたことから、共通の攻撃者グループによる集中的な攻撃の可能性を示唆している。ミドルの転職では5月26日から6月2日に2,503件の不正アクセスが確認されたと報じられている。ただし、これは同サイトの見解であり、攻撃者の特定や共通性は確認されていない。攻撃者の主張も確認されておらず、被害組織が攻撃者について認めた事実もない。日付の一致は偶然の可能性も排除できないため、関連性は今後の公表を待つ必要がある。同じ流出リストが複数サービスに使われた可能性はあるが、それも推測の域を出ない。
対応
- 封じ込め
- 外部からのアクセスを遮断して攻撃の継続を防止し、全会員を強制ログアウトして既存セッションを無効化した。不正ログインが確認された会員（38,442件）のパスワードを初期化し、5月30日付けで再設定の案内メールを送付した。再ログインには新しいパスワードの設定が必要。
- 公表の仕方
- 2026年5月30日に第一報を公表。6月19日に「転職サイト『女の転職type』における不正アクセス発生に関する調査結果のご報告」を公表し、外部専門機関のフォレンジック調査の結果、個人情報が流出した事跡および二次被害の事実は確認されていないとした。再発防止策として、不審通信元からのアクセス遮断・監視強化、認証方式の強化、セキュリティ監視の対象範囲と検知ルールの拡充、運用プロセスの強化の4項目を発表した。
- 当局対応
- 個人情報保護委員会へ報告済み（5月30日の第一報時点）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| リスト型攻撃は、自社から情報が漏れていなくても成立する | パスワード再利用を前提に、ログイン試行をIP・端末・アカウント単位で監視し、閾値超過時に遮断またはCAPTCHA・追加認証を要求する。流出済みパスワードのリスト(例: Have I Been Pwned等のPwned Passwords)との照合を登録時・変更時に実装する。 |
| モバイルアプリのAPIもWebと同等の防御対象にする | アプリ向けAPIのログインエンドポイントにも、WAFやボット対策、レート制限を適用する。Webとアプリで防御設定に差が出ていないか、設定を棚卸しして比較する。 |
| 成功率が低くても、大量試行は一定数の成功に結びつく | 試行数に対する成功率の異常を検知指標に加える。成功ログインの比率や、短時間の同一IP帯からの多数アカウントへのログインをSIEMで検知ルール化する。 |
| 検知後は、セッション無効化とパスワード初期化を素早く組み合わせる | 全セッションを一括失効できる仕組みと、対象アカウントのパスワード強制リセット手順をあらかじめ用意し、定期的に訓練する。再設定案内メールの文面も事前に準備する。 |
| 多要素認証など認証方式の強化で、パスワード単独に依存しない | 会員向けに多要素認証やパスキーを提供し、不審なログイン(新しい端末・場所)の際にはリスクベース認証で追加確認を行う。ログイン通知メールも送る。 |
自組織などでの確認項目
- 自組織の会員向けサービスで、Webとスマートフォンアプリのログイン用APIは、同じレート制限・ボット対策の下にあるか。設定を比較して確認できるか。
- 1日あたりのログイン試行数や成功率が通常と大きく異なる場合、何分以内に誰へ通知が届くか。検知ルールと連絡経路を確認できるか。
- 不正ログインが判明した際に、全セッション無効化とパスワード初期化を何時間で実施できるか。手順書と実行権限は整っているか。
未解明点
- 検知した日時と、検知のきっかけ(監視・利用者からの連絡など)は公表されていない。
- ログイン後に閲覧された可能性がある会員情報ページの具体的な項目は、公式には確認できていない。
- 第一報で「おそれ」とされた閲覧が、実際に行われたかどうかは明らかになっていない(6月19日の調査結果は「流出した事跡は確認されていない」とする)。
- ミドルの転職など他サービスへの攻撃と同一の攻撃者かどうかは確認されていない。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2026-06-08報道本文確認済
- 2セキュリティ対策Lab（合同会社ロケットボーイズ）2026-06-22報道本文確認済
- 3セキュリティ対策Lab（合同会社ロケットボーイズ）2026-06-02報道本文確認済
- 4ScanNetSecurity2026-06-12報道本文確認済
- 5ScanNetSecurity2026-07-02報道本文確認済