バイトルに不正アクセス、メールアドレス最大約388万件が漏えいした可能性

会員のメールアドレス最大約388万件が漏えいした可能性

「バイトル」「バイトルNEXT」のWebサイトの一部機能が不正アクセスを受け、会員が登録したメールアドレスの一部が流出しました。 ディップが不正アクセスを確認したのは10月6日で、10月9日に自社サイトのニュースで発表しています。漏えいした可能性のある件数は最大388万5,771件とのこと。

2つとも、ディップが運営する求人サイトです。件数や漏えいした情報など、発表の要点は次のとおりです。

不正アクセスの概要（ディップの発表より）

事柄	内容
不正アクセスを確認した日	2026年10月6日
公表した日	2026年10月9日
対象のサイト	「バイトル」「バイトルNEXT」
漏えいした可能性のある件数	最大388万5,771件
漏えいした情報	メールアドレスのみ

ブックオフグループホールディングスも同じ10月9日に、会員情報の流出を公表しました。ブックオフの件の経緯はブックオフに不正アクセス、会員情報が最大約643万件流出した恐れにまとめています。

一部は漏えいが判明、約388万件は可能性のある件数

ディップが漏えいを確認しているのはメールアドレスの「一部」で、388万5,771件は漏えいした可能性のある件数の上限です。 今回の発表でディップは、実際に何件が流出したのかを明らかにしていません。

388万5,771件のすべてが漏えいしたと確定したわけではありません。バイトルかバイトルNEXTに会員登録している人にとっては、登録したメールアドレスが対象に入っているかどうか、まだ分からない段階です。

漏えいしたのはメールアドレスだけ、パスワードは含まれない

漏えいした情報はメールアドレスだけで、パスワードは含まれていません。また、ディップは次の4つを漏えいの対象外としています。

• 氏名
• 電話番号
• パスワード
• クレジットカード情報

今回ディップは、パスワード変更を会員に求めていません。メールアドレス以外の個人情報が外へ流出したことも、確認されていないとしています。流出したメールアドレスがネット上に公開されたり不正に使われたりした事実も、公表の時点では見つかっていないとのこと。

原因は一部機能の脆弱性、ディップは海外からのアクセスを遮断

原因は、システムの一部機能にあった脆弱性を突いた海外からの不正アクセスでした。 どの機能のどんな脆弱性だったのかを、ディップは公表していません。

ディップは不正アクセスを確認したあと、すぐに海外からのアクセスをすべて遮断しました。該当する箇所のプログラムも修正し、同じ手口では入れないようにしています。セキュリティ対策と監視の体制も、さらに強めているとのこと。

対象会員には、10月6日にバイトルとバイトルNEXTの画面上で知らせ、そのあと順番にメールなどで個別に連絡しています。個人情報保護委員会と総務省関東総合通信局への報告、警察への相談も進めているとのこと。バイトルとバイトルNEXTは、今も普段どおり使うことができます。

迷惑メールやなりすましメールに注意

流出したメールアドレスが悪用されると、迷惑メールやなりすましメールが届く恐れがあります。なりすましメールとは、実在の会社や人を装って届くメールのことです。

ディップは不審なメールに気をつけるよう会員に求め、身に覚えのないリンクや添付ファイルは開かないよう呼びかけています。パスワードやクレジットカード情報をメールなどで聞くことは一切ないとしているので、ディップを装うメールでパスワードやクレジットカード情報を聞かれたら偽物と判断できます。

問い合わせは専用のフォームで受け付ける

今回の漏えいに関する問い合わせは、ディップが用意した専用の問い合わせフォームで受け付けています。ユーザーからの連絡はこのフォームが窓口です。ただし、報道機関向けの窓口は広報部が別に受け付けるとのこと。

会社と社員それぞれが取れるなりすましメール対策

メールアドレスが流出すると、実在の会社やサービスを装うフィッシングメールが届きやすくなります。 警察庁によると、フィッシングメールの文面は「個人情報の漏えい」「不正アクセス検知」のように慌てさせる内容で、偽サイトでログインさせようとするものが多いとのこと。

差出人の名前やメールアドレスは簡単に偽装できるので、見た目だけで本物かどうかを見分けるのは難しいと警察庁は注意しています。勤務先でできる対策を、会社と社員一人一人に分けてまとめました。

会社側：送信ドメイン認証で自社のなりすましを防ぐ

会社としてできる対策は、自社のドメインを装うなりすましメールを見分けられるようにする「送信ドメイン認証」の導入です。 警察庁は事業者に、自社のドメインが悪用されるのを防ぐため、この技術の導入を検討するよう勧めています。主なものは次の3つです。

• SPF：メールを送信したサーバーのIPアドレスが正しいかを確認する
• DKIM：メールに追加した電子署名を確認する
• DMARC：SPFとDKIMを組み合わせる

なかでもDMARCは、認証に失敗したメールへの対応を送信側で指定できます。送信側が「なりすましのメールは受け取らない」と定めておけば、受信側がそのとおりに処理するとのこと。

社員側：リンクでなくブックマークや公式アプリからアクセス

社員一人一人ができる対策は、メールに記載のリンクにアクセスせず、ブックマークや公式アプリからサービスにアクセスすることです。また、届いたメールが本物そっくりでも、ブックマークか公式アプリから公式サイトにアクセスすれば、偽サイトにIDやパスワードを入力する事態を避けられます。あわせて次の3つも欠かせません。

• IDとパスワードはサイトごとに別のものを使い、使い回さない
• OSやアプリを更新して、パソコンやスマートフォンを安全な状態にしておく
• 偽サイトにIDやパスワードを入力してしまったら、同じものを使っているすべてのサービスで、すぐにパスワードを変更する