「ココナラスキルマーケット」に不正アクセス。登録された履歴書449件と職務経歴書関連1,845件が漏洩

01発表されている事実

1. 10月8日 2時05分

   システムで不正なアクセスを検知し、遮断

2. 10月8日 13時00分頃

   不正アクセスを再び検知

3. 10月8日 15時00分頃

   個人情報が外部に持ち出された形跡を確認

4. 10月8日 15時44分

   外部からの不正アクセスを遮断

5. 10月8日 21時27分

   対象システムの脆弱性の再検査とセキュリティ強化（脆弱性の修正を完了）

6. 10月9日

   公表

ココナラによると、エージェント事業など、ほかのサービスやサイトへの影響はありません。対象の情報が不特定多数に公開された事実や、不正に使われた事実は確認されていません。所轄の警察署への通報と、個人情報保護委員会など関係省庁への報告を行うとしています。サービスは対策を講じたうえで提供を続けています。

02読者への影響

件数は大きくありませんが、履歴書と職務経歴書には、氏名や連絡先だけでなく、学歴や職歴、勤めていた会社の名前など、その人を深く知る材料がまとまっています。ココナラは書類に書かれた項目を示していませんが、一般的な履歴書の中身を考えると、転職の勧誘や仕事の依頼を装った、本人向けに作り込んだ連絡に使われるおそれがあります。

また、1回目の遮断のあと、同じ日に再び入られ、その後に持ち出しの形跡が見つかっています。最初の遮断だけで終わらせず、原因の穴を直すまでが対応だということを示す経過です。

03今すぐやること

1. ココナラスキルマーケットに履歴書や職務経歴書を登録した人は、ココナラからの個別の連絡を確かめる
2. 仕事の依頼やスカウトを名乗るメールで、外部のサイトへのログインや個人情報の入力を求められても応じない
3. ココナラは本件でパスワードやカード情報などの認証情報を尋ねることはないとしている。尋ねる連絡は偽物と考える
4. 不安なときは、ココナラのユーザー様ご相談窓口（サイト内の問い合わせ）から確かめる

04一度遮断したあとにやること

不正アクセスに気づいて通信を止めても、入口になった弱点が残っていれば、攻撃者は別の道から戻ってきます。会社の担当者は、遮断のあとに「どこから入られたか」を調べ、修正版の適用や設定の見直しを終えるまで、見張りを強めてください。IPA（情報処理推進機構）も、外部公開しているアプリの直近のログの確認と、未適用の修正の速やかな適用を求めています。自社だけで調べるのが難しい場合は、事故対応（フォレンジック）を頼める会社に相談できます。

05今後の発表

ココナラは調査と必要な対応を続け、調査結果を踏まえた再発防止策を講じるとしています。対象の会員には順次個別に連絡します。