iDA「MyBRANDS」 ― 委託先のクラウド鍵が悪用され会員データが送信

要点

iDAは2026年10月30日、求人サイト「MyBRANDS」のサーバー環境に第三者の不正アクセスがあり、登録した求職者と企業の担当者の情報が外部に漏えいしたおそれがあると公表した（iDA 10月30日のお知らせ、内容はIT Postの整理で確認）。
サービス停止中に脆弱性への対応を進めていたところ、10月21〜22日に委託先が使っていたクラウドの管理用アクセスキーが不正に使われ、複製したデータベースから外部へデータが送られた記録があることが10月26日にわかった（同）。
送られたデータの中身は確認できていないため、預かっていた情報すべてを対象としている。対象は最大約13万5,000アカウント（退会者を含む）（同）。
氏名・メールアドレス・電話番号・住所は暗号化して保存していたが、暗号を解く鍵も取得されたおそれがある（同）。
クレジットカードや銀行口座の情報は預かっていない。二次被害は確認されていない。MyBRANDS以外の同社サービスは対象外（同）。

概要

この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。

時期	出来事
〜2026-10	MyBRANDSのサービスを停止し、脆弱性への対応を進めていた（iDAのお知らせ、IT Post）
10-21（水）〜10-22（木）	委託先のクラウド管理用アクセスキーが不正利用され、複製したデータベースから外部へデータが送られる（同）
10-26（月）	外部送信の記録を確認（同）
10-30（金）	公表。対象者へ順にメールで通知を開始（同）

事実（iDAのお知らせによる。IT Postの整理で確認）

項目	内容
対象者	MyBRANDSに登録した求職者と企業の担当者（退会者を含む）
件数	最大約13万5,000件（アカウント数、10月30日時点）
漏えいのおそれがある情報	氏名、メールアドレス、電話番号、登録プロフィール（職歴など）、ログイン用パスワード（変換した値）など。登録内容により異なる
含まれない情報	クレジットカード・銀行口座の情報（預かっていない）
暗号化	氏名・メールアドレス・電話番号・住所は暗号化して保存。復号の鍵も取得されたおそれ
対応	サービスは停止を継続し、安全を確認できるまで再開しない。個人情報保護委員会へ報告、警察に相談。委託先と原因を調査
利用者へのお願い	同じパスワードを他のサービス（企業担当者は社内システムも）で使っている場合はそちらを変更。MyBRANDS側の手続きは不要
問い合わせ	求職者 mybrands-inquiry@ida-mode.com、企業担当者 mybrands-inquiry-biz@ida-mode.com

考察

暗号化していたのに復号の鍵も取得されたおそれがある、という説明は、データベースと鍵の両方に届く権限を一つのアクセスキーが持っていた可能性を示している。委託先が使う管理用キーの権限の広さと、その保管の仕方が今後の調査結果の焦点になる（考察）。

求人サイトのため、職歴などの経歴情報が含まれる。企業の担当者も対象で、同社は社内システムのパスワード変更にも触れている。採用担当者を名乗る、または応募者を名乗る標的型のメールに使われるおそれがある（考察）。

事実（既知の知見）

JPCERT/CCは、国内で相次ぐ不正アクセスの手口として、他のシステムの侵害で盗んだAPIキーを使う攻撃を挙げ、APIトークンには必要最小限の権限だけを与え、漏えいが疑われるものはすぐ無効化できるようにするよう勧めている（JPCERT/CC 注意喚起）。

考察

クラウドの管理用キーが使えると、本番データベースに直接触れなくても複製を作って持ち出せる。データベースへの通常のアクセス記録だけを見ていると気づきにくいため、複製やスナップショットの作成、外部共有といった管理操作の記録を監視することが重要になる（考察）。