就職活動サービスを運営する人材業の会社で、設定の不備により学生の氏名とメールアドレスを利用企業が取得できる状態になっていた

何が起きたか

この事故で流出した、または流出したおそれがある情報は、2027年卒・2028年卒の利用学生の氏名とメールアドレス。理論上の最大314,009人。氏名は文字コードで表示されていたです。その後の対応と影響は、設定を直して不備を解消し、全通信内容を確認した。対象学生に個別に通知し、外部専門機関の脆弱性診断を行った。リリース判定基準を見直すとしているです。

原因になったのは「機能リリース時のシステム設定の不備」です。公表された内容では、生成AIは事故に関わっていません。

なぜ起きたか

機能を公開する前の確認が画面表示に限られ、画面に出ない通信データに氏名とメールアドレスが含まれていることに気づかなかった。

原因の種類は「設定ミス」です。公開範囲やアクセスの設定を誤り、外から見える状態になった事故を指します。このサイトに掲載している事故のうち、同じ種類の原因で起きた事故は13件あります。

事故が起きてから公表されるまで

1. 2026年5月12日に設定不備のある状態で機能が公開された
2. 8月28日まで利用企業が学生情報を取得できる状態が続いた
3. 設定を直し、全通信内容を確認した
4. 10月5日に公表し、対象学生へ個別に通知した

どうすれば防げたか

上の流れでは、最初から公表まで、途中で異常に気づいて止める仕組みが働いていません。

止められた可能性がある所（当社の見立て）

公開前の確認で、画面だけでなくブラウザが受け取る通信データの中身も見ていれば、表示していない項目が送られていることに気づけた可能性がある。

この見立ては、公表された原因から当社が考えたものです。当事者の調査の結果とは異なる場合があります。

自社で確認する3つの手順

上から順に、短い時間で確認できるものを並べています。

1. 主要な画面について、ブラウザの開発者ツールで通信データの中身を確認する
2. 画面に出していない個人情報が通信データに含まれていないかを確かめる
3. リリース前の確認項目に「通信データの中身」を加える

自社に同じ原因があるか

当てはまるものを選んでください。1つでも当てはまれば、この事故と同じ原因が自社にもある可能性があります。

出典と更新の履歴

• OfferBoxにおける個人情報の取り扱いに関するお知らせとお詫び2026.10.05