要点
- スキマバイトのシェアフルで、社内の管理システムに不正アクセスがあり、最大約750万の個人アカウントの情報が漏れた可能性がある。
- 漏れた可能性がある項目に、氏名・住所・生年月日のほか、給与振込用の銀行口座情報が入っている。
- 口座情報や個人情報を知る相手からの偽の連絡（メール・SMS・電話）が届くおそれがあり、身に覚えのない連絡には応じない備えが要る。
何が起きたか
シェアフル株式会社は2026年11月9日、社内の管理システムへの不正アクセスを発表した。情報が外へ出た「可能性がある」段階で、流出は確定していない。
発表によると、時系列は次のとおりだ。
- 11月4日 23時30分ごろ：不正アクセスが発生
- 11月5日 9時45分ごろ：同社が検知
- 11月5日 14時ごろ：不正アクセスの経路を遮断
その後の11月6〜8日、シェアフルは被害の広がりの確認と二次被害の予防策を進めた。同社は、これ以上情報が漏れるおそれはないことも確かめたと述べている。
公的な手続きは、まだ途中の部分がある。個人情報保護委員会への届出・報告は「手続きを進めている」段階だ。警察署への通報は済んでいる。原因の究明は、外部の専門調査機関とともに続けるという。
件数は、個人のアカウントが最大約750万件、求人を出す企業が最大約7,500社である。750万は口座情報の件数ではなく、情報が漏れた可能性のあるアカウントの数だ。
個人のアカウントで漏れた可能性がある項目
- 氏名（カナ付き）、生年月日、住所、電話番号、メールアドレス
- 給与振込用の銀行口座情報。暗証番号とパスワードは含まれないという
- 緊急連絡先（本人との関係と電話番号）、在留資格に関する情報
- 顔写真が置かれた別サーバーのURL
- 登録日、就業回数、希望条件などのアカウント属性
企業側では、会社名・住所・電話番号、担当者の氏名・部署・役職・連絡先、営業管理データの一部が対象になりうる。
漏れた情報に入っていないと同社が説明しているものは、次のとおりだ。
- 給与やポイントの情報（不正な閲覧・操作も確認されていないという）
- 契約・就業に関するデータ
- 運転免許証などの本人確認書類の画像
- マイナンバーとクレジットカード情報（同社のシステムでは取得も保持もしていないという）
関連サービス「シェアフルシフト」では、現時点で不正アクセスは確認されていないとしている。
日本の利用者への影響
シェアフルは、東京都港区に本社を置く同名の会社が運営するスキマバイトアプリだ。ただし発表文は、影響を受ける人がどの国や地域の人かまでは述べていない。漏れた可能性のある項目には、在留資格に関する情報や緊急連絡先も含まれる。
同社は、可能性のある人に、電子メールなどで順次個別に連絡するとしている。自分が対象かどうかを調べる専用の照会手段は、発表文にはない。連絡を待つことになる。ただし、届くメールが本物かどうかは慎重に見極めたい（下記）。
問い合わせ窓口は、個人向けと企業向けのWebフォームだ。電話番号は書かれていない。窓口へは、検索や自分のブックマークではなく、発表ページ（上記リンク）から入るのが安全だ。
今すぐやること
- 対象かどうかの連絡を待つ。 シェアフルは対象者にメールなどで個別に連絡するとしている。登録メールの受信箱と迷惑メールフォルダを見ておく。
- 連絡のURLはすぐに開かない。 「口座を確認してください」などの連絡が来ても、メールやSMSのリンクは使わない。公式の発表ページか、自分で入れたアプリから確かめる。
- 口座情報や暗証番号を求められても答えない。 同社は、電話やメールで暗証番号やパスワードを尋ねることは一切ないと説明している。銀行を名乗る連絡も同じだ。
- 振込先の口座まわりを見直す。 給与の入金口座の取引通知を設定し、身に覚えのない動きがないか見ておく。心配なら銀行の窓口に相談する。
- 同じパスワードの使い回しをやめる。 今回、パスワードは漏れた項目に挙がっていない。それでも、メールアドレスが漏れた可能性があるので、使い回しは直しておく。
背景
スキマバイトのサービスは、本人の口座や住所を預かる。給与を払うためだ。登録者が多いほど、一度の事故で影響が大きくなる。
今回、漏れた可能性がある項目はそろっているので、本人になりすました連絡が作りやすくなる。氏名・住所・電話番号・口座の情報を知っていると、信用させやすいからだ。ここは確かめられた事実ではなく、こちらの見立てである。発表時点で、漏れた情報の悪用は確認されたとは書かれていない。
シェアフルは、同社や関係機関を名乗る不審なメール・SMS・電話が、漏れた可能性のある連絡先に届くかもしれないと呼びかけている。心当たりのない連絡では、リンクを開かず、添付ファイルも開かず、情報も入力しないよう求めている。
日本では、数百万件規模の会員情報が不正アクセスで漏れた可能性があると発表された例が、これまでにもある。
技術者向けの詳細
- 侵入先：社内管理システム。侵入経路・手口は未公表。
- 時刻（発表文の記載）：発生 11/4 23:30ごろ、検知 11/5 9:45ごろ、遮断 11/5 14:00ごろ。11/6〜8に範囲の特定と二次被害防止策。
- 件数：個人アカウント最大約750万、法人最大約7,500社。いずれも「可能性」。
- 対象外とされたもの：給与・ポイント情報（不正な閲覧・操作も確認されていないとする）、契約・就業データ、本人確認書類画像、マイナンバー・カード情報（保有せず）。
- 報告：個人情報保護委員会への届出・報告は手続き中。警察署へは通報済み。
- 原因調査は外部の専門機関と継続中。続報で、手口や最終的な件数が変わる可能性がある。
- 企業の担当者向け：求人掲載企業の担当者名・連絡先が対象になりうる。取引先を装った連絡への注意を社内に周知しておく。
