日本脆弱性総合ポータル

シェアフル：スキマバイトアプリの社内管理システムへの不正アクセスと個人・法人情報の流出可能性

重要度
最大約750万件
公表日
2026.11.09
原因の分類
侵入口未公表
対策可能性
判定保留

この記事の3行まとめ

  1. スキマバイトアプリの社内システムに外部から不正アクセスされ、情報が流出したおそれ
  2. 利用者の個人情報が最大約750万件対象となり、侵入経路は未公表
  3. 身に覚えのない連絡のURLは開かず、暗証番号は入力しないよう呼びかけている

スキマバイトアプリ『シェアフル』を運営する会社の社内管理システムへの不正アクセスが、2026年11月4日23:30頃に発生した。同社は翌5日に検知し、同日14時頃までに経路を遮断した。初報では個人情報と法人情報が流出した可能性があるとし、続報では利用者の個人情報について改めて説明している。影響範囲の調査と原因究明を進めている。

確認された経路・公表元の推定

  1. 2026年11月4日23:30頃、第三者が社内管理システムに不正アクセスした
  2. 11月5日9:45頃に検知し、ログと影響範囲の調査を開始した
  3. 同日14:00頃までに不正アクセスの経路を遮断した
  4. 11月6日から8日にかけて影響範囲を特定し、さらなる流出の可能性がないことを確認した
  5. 個人情報保護委員会への届出と警察署への通報を進めている

根拠の要点

公表元（シェアフル株式会社）の初報と続報の発表文。初報は発生・検知・遮断の時刻と、流出の可能性がある情報の範囲を記載している。続報は利用者の個人情報の範囲を再掲し、給与・ポイント情報、契約・就業データ、本人確認書類画像、マイナンバー、クレジットカード情報は不正アクセスを受けたデータに含まれていないとした。給与の不正な閲覧や支払い操作も確認されていないとしている。侵入経路や手口は書かれていない。

資料の基準時点：資料本文に基準日の記載なし（初報の取得日2026-11-10、続報の取得日2026-11-14）

当時、対策できたのか

判定保留

資料は侵入経路と手口を示しておらず、原因究明は継続中とされている。初報・続報とも、攻撃時点で既知の脆弱性や認証設定の不備があったかは書かれていないため、対策の欠落は判定できない。

公表された対策

  • 不正アクセスの経路を緊急に遮断した
  • 顔写真データを保管するサーバーへのアクセスも遮断した
  • 個人情報保護委員会への届出・報告手続きを進め、警察署へ通報した
  • 外部専門調査機関と連携し、影響範囲の特定と原因究明を続けている
  • アクセス管理およびシステム監視体制の抜本的強化を図るとしている
  • 流出のおそれがある対象者へ、電子メール等で個別に連絡するとしている
  • 不正アクセスに関するユーザー向けの専用問い合わせフォームと電話窓口を設けた
  • 身に覚えのない連絡には、URLを開かず、暗証番号や個人情報を入力しないよう呼びかけている
  • 銀行口座の暗証番号やパスワードを電話やメールで尋ねることはないと案内している
  • 経路遮断を確認したうえで、通常どおりサービスを提供している

この事例を理解するための動画

まだ分からないこと

  • 侵入に使われた経路・手口（脆弱性や認証情報の有無を含む）は資料に書かれていない
  • 不正アクセスを行った主体や目的は資料に書かれていない
  • 流出した情報が実際に悪用されたかは資料に書かれていない
  • 原因究明は継続中で、最終的な結果は資料に書かれていない
  • 初報では法人情報（最大約7,500社の担当者名・電話番号など）の流出のおそれに触れていたが、続報は利用者の個人情報のみを記載しており、法人情報の扱いは資料どうしで食い違う
  • 流出のおそれがある対象者への個別連絡の完了状況と、個人情報保護委員会への届出の結果は資料に書かれていない

関連する事例

同じ原因分類の事例

事例の一覧に戻る