求人サービス「CINRA JOB」に不正アクセス。職歴や自己PRを含む会員21,508名の情報が漏えいのおそれ

01発表されている事実

1. 8月18日

   クラウドサービス上で認証情報が取得され、不正アクセスされたことを確認

2. 8月27日

   第一報。認証情報の無効化、不正利用されたクラウドサービスの停止、個人情報保護委員会への報告、警察への相談

3. 10月6日

   最終報告。対象は21,508名

最終報告によると、原因は「プログラムの脆弱性を悪用して取得された当社の認証情報を利用した、第三者による不正アクセス」です。会員情報のデータベースとバックアップについて、第三者による閲覧や取得は確認されていません。ただし、閲覧や取得がなかったことを示す記録もないため、漏えいの可能性は完全には否定できないとしています。自社サーバーへの侵入は確認されていません。

対象となる情報は、氏名、生年月日、性別、住所、電話番号、メールアドレス、学歴、職歴、希望条件、応募履歴などです。第一報では、スキル・資格、志望動機・自己PRも挙げていました。クレジットカード番号などの決済情報は持っていないとしています。現時点で不正利用や二次被害は確認されていません。

02読者への影響

求人サービスの会員情報には、学歴や職歴、どんな仕事を探しているかまで含まれます。これを知った人は、「スカウト」「選考の案内」を装った、とても本物らしいメールを作れます。偽の面接や登録を口実に、本人確認書類や口座番号を出させる手口に注意してください。

03今すぐやること

1. CINRAや企業の採用担当を名乗るメール、電話、SMSで、パスワード、口座情報、カード情報を聞かれても答えない。CINRAはこれらを尋ねないとしています
2. スカウトや選考の連絡は、送り主の会社の公式サイトに載っている連絡先から確かめる
3. 心配なときは、CINRAの窓口（incident_support@cinra.net）に問い合わせる

04同じことを防ぐには

今回は、プログラムの弱点からクラウドの認証情報が取られ、その認証情報でデータベースに届く状態でした。会社がクラウドを使うときは、プログラムの中に認証情報を書き込まないこと、1つの認証情報で入れる範囲をしぼること、バックアップにも同じ制限をかけることが基本です。だれがいつデータを見たかの記録を残しておけば、「閲覧されたか分からない」という状態も避けられます。自社のサービスの弱点を外から調べてもらうには、図鑑の「脆弱性診断」で頼み先を探せます。

05今後の発表

CINRAは最終報告で調査を終えています。今後は認証情報の管理と監視の体制を強めるとしており、会社を装った不審なメール・電話・SMSへの注意を引き続き呼びかけています。