要点
発表された事実
- 株式会社ココナラは2026年10月9日、運営する「ココナラスキルマーケット」が第三者による不正アクセスを受け、会員の個人情報が外部に漏洩した事実を確認したと公表した（ココナラの発表）。
- 10月8日2時5分に不正なアクセスを検知して外部からのアクセスを遮断したが、13時ごろに不正アクセスを再度検知した。15時ごろに個人情報が外部に持ち出された形跡を確認し、15時44分に攻撃経路を遮断、21時27分までに脆弱性の修正を完了した（同）。
- 漏洩したのは、スキルマーケットに履歴書・職務経歴書を登録した会員の一部の、履歴書449件と職務経歴書関連書類1,845件。クレジットカード情報や各種パスワードなどは対象になっていない（同）。
- エージェント事業など、スキルマーケット以外の同社のサービスへの影響はない。情報が不特定多数に公開された事実や不正利用の事実は確認されていない。サービスは対策を講じたうえで継続している（同）。
わかっていないこと
- 突かれた脆弱性の内容と、それがどの機能にあったか
- 2時5分の「遮断」が何を止めたもので、なぜ13時ごろの再侵入を防げなかったか
- 持ち出しが1回目と2回目のどちらのアクセスで起きたか
- 対象の人数と、書類が登録された期間（公表されたのは書類の件数）
- 警察への通報と個人情報保護委員会への報告の状況（発表時点では「今後行う」）
関係しそうな既知の手口
- （考察）JPCERT/CCは10月8日（9日更新）の注意喚起で、国内組織で相次ぐ漏えいの類型の一つに「標的ごとにさまざまな既知の脆弱性を探して悪用を試みる」ものを挙げている。最初の遮断の後に同じ日のうちに戻ってきた経過は、攻撃者が別の送信元や別の経路から試し続けた可能性と矛盾しないが、本件がどの類型に当たるかは公表されていない。
概要
- スキルの売り買いができる「ココナラスキルマーケット」で、会員が登録した履歴書と職務経歴書関連書類、合わせて2,294件が外部に持ち出された。
- 不正アクセスは10月8日の未明と昼の2回検知され、持ち出しの形跡が見つかったのは2回目の検知の後だった。脆弱性の修正が終わったのは同日21時27分。
- 履歴書は住所や生年月日、学歴・職歴など変えられない情報を含むことが多い。対象者には個別に連絡するとしているが、人数や登録期間はまだ示されていない。
この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。
何が起きたか（時系列）
| 時期 | 出来事 |
|---|---|
| 2026-10-08（木）2:05 | 不正なアクセスを検知し、外部からの不正アクセスを遮断（ココナラの発表） |
| 2026-10-08（木）13:00ごろ | 不正アクセスを再度検知（同） |
| 2026-10-08（木）15:00ごろ | 個人情報が外部に持ち出された形跡を確認（同） |
| 2026-10-08（木）15:44 | 外部からの不正アクセス（攻撃経路）を遮断（同） |
| 2026-10-08（木）21:27 | 対象システムの脆弱性の再検査とセキュリティ強化措置を実施し、脆弱性の修正を完了（同） |
| 2026-10-09（金） | 公表。対象者へ順次個別に連絡するとした（同） |
| 2026-10-10（土） | ITmedia NEWSが報道（ITmedia NEWS） |
発表内容の整理
事実（ココナラの発表）
| 項目 | 内容 |
|---|---|
| 対象サービス | ココナラスキルマーケット |
| 対象者 | スキルマーケットに履歴書・職務経歴書を登録した会員の一部 |
| 件数 | 履歴書449件、職務経歴書関連書類1,845件（書類の件数） |
| 対象外 | クレジットカード情報、各種パスワードなど上記以外の情報。エージェント事業などスキルマーケット以外のサービス |
| 公開・悪用 | 不特定多数への公開、不正利用の事実は確認されていない |
| 実施した対応 | 攻撃経路の遮断（15:44）、脆弱性の修正（21:27まで）、監視の継続 |
| 今後 | 所轄警察署への通報、個人情報保護委員会など関係省庁への報告、調査結果を踏まえた再発防止策 |
| サービス | 対策を講じたうえで継続 |
| 問い合わせ | ユーザー様ご相談窓口（ココナラのお問い合わせページ） |
考察
この事案で目を引くのは、1日に2回の検知があり、持ち出しの形跡が見つかったのが2回目の後だという点だ。発表の時系列では、2時5分の対応は「外部からの不正アクセスの遮断」で、脆弱性の修正は21時27分になっている。最初の遮断は特定の送信元や通信を止める応急の措置で、入口になった脆弱性そのものはその時点では残っていた、と読むのが自然だろう（考察）。そうだとすれば、攻撃者は送信元を変えるなどして同じ穴から戻ってきたことになる。
1回目の検知から修正の完了まで約19時間半かかっている。深夜の検知から原因箇所の特定までに時間が要るのは当然だが、その間に「遮断したから止まった」と見なしてしまうと、再侵入の窓が開いたままになる（考察）。発表は持ち出しが1回目と2回目のどちらで起きたかを書いていないので、2回目の侵入がなければ漏洩が防げたのかどうかは、外からは判断できない。
対象は「履歴書・職務経歴書を登録された会員様の一部」で、件数は書類の数として示されている。1人が複数の書類を登録している可能性があるため、2,294件がそのまま人数になるとは限らない（考察）。
関係しそうな既知の手口
事実（既知の知見）
- JPCERT/CCは10月8日に公開し9日に更新した注意喚起で、国内組織で相次ぐ漏えい被害について4つの類型を示した。そのうちケースAは、標的ごとにさまざまな既知の脆弱性を探して悪用を試みるもので、「すべての事案で同一の攻撃手法が使用されていることを示すものではありません」としている（JPCERT/CC、各機関の注意喚起の記事）。
- IPAは10月9日、現段階では特定のプロダクトやサービスの脆弱性を狙った攻撃とは断定されていないとしたうえで、外部公開しているアプリケーションやサービスの侵害が起点になっているとうかがえるとして、点検を求めた（IPA）。
考察
- 遮断と修正は別の作業：送信元のIPアドレスを止める、セッションを切るといった遮断は数分でできるが、攻撃者は送信元を簡単に変えられる。入口の脆弱性を直すか、その機能自体を止めるまでは、侵入が続いているものとして監視を厚くしておく必要がある。本件の経過は、その間の数時間が狙われうることを示している。
- 「書類」はシステムの中で扱いが別になりがち：履歴書のようなアップロードされたファイルは、データベースの会員情報とは別の保存領域に置かれることが多い。会員情報の項目は暗号化や権限を細かく管理していても、ファイルの置き場所は「リンクを知っていれば読める」といった作りになっていることがある。本件でどの仕組みが使われていたかは公表されていない。
利用者・運用者がいまできること
事実（発表に基づく）
- 身に覚えのない連絡に書かれたURLを開かない、個人情報を入力しない。
- ココナラが本件について、メール・SMS・電話でパスワードやクレジットカード情報などの認証情報そのものを尋ねることはない。
- 不安な場合や質問がある場合は、ココナラのユーザー様ご相談窓口に問い合わせる。
考察（利用者向け）
- 履歴書には住所、電話番号、生年月日、学歴、職歴、顔写真などが載っていることが多く、パスワードと違って変えられない。経歴に触れた「スカウト」や「案件の紹介」を装う連絡は、本物らしく見えても、ココナラの画面から改めて確認する。
- 対象者には個別に連絡するとされているが、連絡が来ていないことだけで対象外と決めつけない。書類を登録した覚えがある人は窓口で確認できる。
考察（運用者向け）
- 不正アクセスを検知して送信元を遮断した後も、原因の脆弱性を直すまでは「再侵入がありうる時間」として扱い、同じ機能へのアクセスを重点的に見る。必要なら、修正が終わるまで該当機能を止める判断を用意しておく。
- 利用者がアップロードしたファイルの保存先について、外部から直接読めないか、署名付きURLの有効期限は適切か、一覧取得のような操作ができないかを確認する。