要点
発表された事実
- シェアフルは2026年11月9日、スキマバイトアプリ「シェアフル」の社内管理システムが第三者の不正アクセスを受け、ユーザーの個人情報と求人企業の法人情報が外部に流出した可能性があると発表した（シェアフル（PR TIMES））。
- 11月4日23時30分ごろに「不審なアカウント作成およびアクセス」が発生し、11月5日9時45分ごろに検知、同日14時までにアクセス経路を遮断した（同）。
- 流出した可能性があるのは最大約750万件の個人アカウントと最大約7,500社の企業の情報（同）。
- 個人側の項目は氏名・カナ、電話番号、メールアドレス、住所、生年月日、給与振込用の銀行口座情報、顔写真のURL、緊急連絡先（続柄・電話番号）、在留資格関連情報、登録日や就業回数などの属性情報（同）。
- 給与・ポイント情報、契約・就業データ、本人確認書類の画像は対象データに含まれず、給与の即払い手続きやポイント利用での不正操作もなかったとしている。マイナンバーとクレジットカード情報は保持していない（同）。
- 個人情報保護委員会への届出手続きを進め、警察に通報した（同）。
わかっていないこと
- 「不審なアカウント作成」がどのようにできたのか（侵入経路・原因）。
- 実際に取得された件数。発表の数字は「可能性のある」最大値。
- 在留資格関連情報の具体的な項目。
- 流出情報の悪用の有無。
関係しそうな既知の手口
- （考察）管理システムに攻撃者がアカウントを作れた点は、内部管理機能の不備を突かれて不正なアカウントを作られた国内の例と形が似ている（例：ベーシック「ferret One」）。同じ原因かは発表からはわからない。
概要
- 発生から検知まで約10時間、遮断まで約14時間半。公表は発生から5日後で、その間に影響範囲の特定を優先したと説明している（シェアフル（PR TIMES））。
- 顔写真の画像データ自体は別のサーバーで管理されており、そのサーバーへのアクセスも遮断済みとしている（同）。
この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。
何が起きたか（時系列）
| 日付 | 出来事 | 出典 |
|---|---|---|
| 2026-11-04 23:30ごろ | 管理システムで不審なアカウント作成とアクセス | シェアフル |
| 2026-11-05 9:45ごろ | 社内で検知し、調査開始 | 同 |
| 2026-11-05 14:00ごろ | 不正アクセスの経路を遮断 | 同 |
| 2026-11-06〜08 | 被害範囲の特定と二次被害防止策 | 同 |
| 2026-11-09 | 公表 | 同 |
発表内容の整理
事実（シェアフルの発表による）
| 項目 | 内容 |
|---|---|
| 対象システム | スキマバイトアプリ「シェアフル」の社内管理システム |
| 個人 | 最大約750万件のアカウント |
| 個人の項目 | 氏名・カナ、電話番号、メールアドレス、住所、生年月日、給与振込用口座情報、顔写真URL、緊急連絡先、在留資格関連情報、属性情報 |
| 企業 | 最大約7,500社 |
| 企業の項目 | 会社名、電話番号、住所、担当者氏名・部署・役職・メール・電話、営業管理データの一部 |
| 含まれない | 給与・ポイント情報、契約・就業データ、本人確認書類の画像、マイナンバー、クレジットカード情報 |
出典：シェアフル「社内管理システムへの不正アクセスによる個人情報および法人情報流出の可能性に関するお詫びとお知らせ」（2026-11-09）
考察
- 口座情報、緊急連絡先、在留資格関連情報がそろって含まれる点で、一般的な会員情報より影響が大きい。外国籍の働き手を狙った、在留手続きや給与をかたる詐欺に使われるおそれがある。
- 緊急連絡先として登録された家族など、サービスを使っていない人の電話番号も含まれる。
関係しそうな既知の手口
事実
- 侵入経路は公表されていない。発端は「不審なアカウント作成」とされている（シェアフル）。
考察
- 管理システムに新しいアカウントを作れる状態だったなら、アカウント作成そのものを監視・通知する仕組みがあれば被害はより早く止められた可能性がある。今回は約10時間後に検知している。
利用者・運用者がいまできること
- 利用者：シェアフル・銀行・入管などを名乗る電話・SMS・メールで、口座の暗証番号や在留カード情報を求められても答えない。
- 求人企業：担当者あての不審なメールや、取引を装った請求に注意する。
- 運用者：管理画面でのアカウント作成・権限変更をリアルタイムで通知し、管理画面を社外から到達できないようにする。