バイトル（ディップ） ― 仕様の不備を突かれメールアドレス漏えい

要点

発表された事実

ディップ株式会社は2026年10月9日、運営する求人情報サイト「バイトル」「バイトルNEXT」で第三者からの不正アクセスを受け、登録会員のメールアドレスが一部漏えいしたと公表した（ディップの発表）。
不正アクセスを確認したのは10月6日。対象はWebサイトの一部機能で、原因は「システムの一部機能における仕様の不備を突いた、海外からの不正アクセス」としている（同）。
漏えいした可能性のある件数は最大3,885,771件。情報はメールアドレスのみで、氏名、電話番号、パスワード、クレジットカード情報などは含まれない（同）。
確認後ただちに海外からのアクセスを全遮断し、該当箇所のプログラムを改修した。同じ手法でのアクセスはできないよう修正を完了したとしている。サービスは引き続き使える（同）。
対象の会員には10月6日にサイト上で知らせ、順次メールなどで個別に案内している。個人情報保護委員会と総務省関東総合通信局への報告、警察への相談を進めている（同）。

わかっていないこと

「仕様の不備」があった「一部機能」が何か、なぜそこからメールアドレスが取得できたのか
不正アクセスが始まった時期と、10月6日に気づいたきっかけ
実際に漏えいが確認された件数（最大3,885,771件は「可能性のある」件数）
海外からのアクセスの全遮断をいつまで続けるか

関係しそうな既知の手口

（考察）脆弱性ではなく「仕様の不備」で、取られたのがメールアドレスだけという説明は、本来の使い方では他人の情報を返さない機能に、想定外の形でリクエストを送ると他の会員のメールアドレスが返ってきた、という型の欠陥と整合する。JPCERT/CCが注意喚起で挙げた「API経由での不正な操作」（ケースB）や、個人情報保護委員会が事例に加えた「パラメータの書き換えで他のユーザー情報を取得できた」型に近い可能性があるが、ディップは機能名も仕組みも公表していない。

概要

求人サイト「バイトル」「バイトルNEXT」で、Webサイトの一部機能の「仕様の不備」を突いた海外からのアクセスにより、会員のメールアドレスが漏えいした。
漏えいの可能性があるのは最大3,885,771件で、メールアドレス以外の個人情報の流出は確認されていない。
ディップは確認当日にサイト上で告知し、海外からのアクセスを全遮断した。不備の内容は公表していない。

この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。

何が起きたか（時系列）

時期	出来事
2026-10-06（火）	Webサイトの一部機能への第三者の不正アクセスを確認。海外からのアクセスを全遮断し、プログラムを改修。「バイトル」「バイトルNEXT」上で対象会員に告知（ディップ）
2026-10-09（金）	ディップが不正アクセスとメールアドレス最大3,885,771件の漏えいの可能性を公表（ディップ）。TBS NEWS DIGなどが報道
2026-10-11（日）	日テレNEWSなどが報道

発表内容の整理

事実（10月9日の発表）

項目	内容
対象サービス	「バイトル」「バイトルNEXT」
対象箇所	Webサイトの一部機能（機能名は記載なし）
原因	システムの一部機能における仕様の不備を突いた、海外からの不正アクセス
件数	最大3,885,771件（漏えいした可能性のある件数）
情報	メールアドレスのみ。氏名、電話番号、パスワード、クレジットカード情報などは含まれない
現時点の状況	メールアドレス以外の個人情報の外部流出、インターネット上への流出、不正利用は確認されていない
対応	海外からのアクセスの全遮断、該当箇所のプログラム改修、セキュリティ対策と監視体制の強化
報告・相談	個人情報保護委員会、総務省関東総合通信局、警察
会員への連絡	10月6日にサイト上で告知し、順次メールなどで個別に案内

考察

発表は冒頭で「メールアドレスが一部漏えいいたしました」と、可能性ではなく漏えいそのものを認めている。一方で件数は「漏えいした可能性のある件数は最大」と書いており、実際に取られたと確認できた件数と、取られた可能性のある上限とを分けていると読める。どこまでが確定かは発表からはわからない（考察）。

「脆弱性」ではなく「仕様の不備」という言葉を選んでいる点にも注目したい。ソフトウェアのバグや既知の脆弱性ではなく、機能の設計そのものが、悪用されたときに他人のメールアドレスを返してしまう作りだった、という意味に取れる（考察）。

確認した当日にサイト上で告知している点は、公表まで数日〜数か月かかる事例が多い中では早い。ただし、メールアドレスだけとはいえ、求人サイトの会員であることと結びついたアドレスの一覧は、求人や面接を装うフィッシングの宛先リストとして使われうる（考察）。

関係しそうな既知の手口

事実（既知の知見）

JPCERT/CCは10月8日（9日更新）、国内で相次ぐ不正アクセスの類型として「API経由での不正な操作」（ケースB）を挙げ、公開しているスマートフォンアプリを解析してAPIのエンドポイントやキーを特定する、画面操作では実行できない内部APIを攻撃する、といった手口を示した。対策として、APIのリクエスト件数の制限、非公開APIを含む各エンドポイントでのアクセス制御、アクセス元の地域制限などを挙げている（JPCERT/CC）。
個人情報保護委員会は10月7日の注意喚起にあわせ、資料に「APIが悪用される事例」（パラメータの書き換えで他のユーザー情報を取得できた、会員IDが連番だった、アクセス回数の制限がなかったなど）を加えた（各機関の注意喚起のまとめ）。

考察

「仕様の不備」はAPI型の欠陥と相性がいい：ログイン中の会員が自分のメールアドレスを確認する、応募や問い合わせの際に連絡先を表示する、といった機能で、どの会員の情報を返すかをリクエストの中の番号だけで決めていると、番号を順に変えるだけで他人の情報が取れてしまう。本件がこの型かどうかは公表されていないが、取られた情報が1項目だけで、件数が数百万件に及ぶ点は、1つの機能を機械的に繰り返し呼び出した場合に起きる結果と合う。
海外からの全遮断は応急処置：JPCERT/CCも地域制限を汎用的な対策に挙げているが、攻撃者は国内のサーバーや回線を経由することもできる。ディップは改修で「同様の手法によるアクセスができないよう修正を完了」したとしており、遮断は修正までのつなぎとみるのが自然だ。
10月の国内事例との比較：ローソンIDの「本人に情報を表示する仕組みの悪用」も、本来は本人向けの機能が他人の情報を返した事例だった。本件の機能がどう悪用されたかが公表されれば、同じ型かどうかを比べられる。

利用者・運用者がいまできること

事実（発表に基づく）

バイトル・バイトルNEXTを装ったスパムメールやなりすましメールに注意し、身に覚えのないリンクや添付ファイルを開かない。
ディップがメールなどでパスワードやクレジットカード情報を尋ねることはない。不審な連絡には応じない。

考察（利用者向け）

漏れたのはメールアドレスだけだが、「バイトルに登録している人」とわかったうえで送られるメールには、求人の紹介、面接日程の調整、応募の確認、高額報酬の仕事などを装うものが考えられる。求人に関する連絡は、メールのリンクではなく、アプリや公式サイトに自分でログインして確認する。
パスワードは漏えいの対象に含まれていないとされているが、同じメールアドレスとパスワードの組み合わせを他のサービスで使っているなら、この機会に変えておくと安心だ。

考察（運用者向け）

会員情報を返すすべての機能・APIで、リクエストした本人のデータだけを返しているかを、サーバー側で確かめる。画面に表示していない項目を応答に含めていないかも見る。
同じ機能が短時間に大量に呼ばれる、連番のIDが順に要求される、といったパターンを監視し、1つのIPアドレスあたりの件数だけでなく、機能ごとの呼び出し総数の急増でも気づけるようにする。

参考リンク

原文をGitHubで読む ↗