CINRA JOB、不正アクセスで個人情報漏えいのおそれ　クラウド認証情報を第三者が取得、対象件数は調査中

CINRA, Inc.は2026年8月27日、同社が運営する求人サービス「CINRA JOB」のシステム環境で外部からの不正アクセスを確認し、会員および過去に会員だった利用者の個人情報が漏えいしたおそれがあると公表しました。

CINRAによると、8月18日、クラウドサービス上のCINRA JOBシステム環境で、同社が管理する認証情報が第三者に取得され、不正アクセスに利用されていることを確認しました。

当該認証情報を使用すると、会員情報を保存するデータベースとそのバックアップへアクセスできる状態でした。一方、第三者が実際に個人情報を閲覧・取得した事実は確認されていません。ただし、閲覧・取得がなかったことを確認できる十分な記録が存在しないため、CINRAは「個人情報漏えいのおそれ」があるとして公表しています。

漏えいのおそれがある情報には、氏名、住所、電話番号、メールアドレスだけでなく、学歴、職歴、希望職種・希望給与、スキル・資格、志望動機・自己PR、応募履歴など求人サービス特有の情報が含まれます。対象件数は第一報では公表されていません。

CINRA JOB不正アクセスのサマリー

• CINRAは2026年8月27日、求人サービス「CINRA JOB」への不正アクセスを公表しました。
• 8月18日、CINRAが管理する認証情報が第三者に取得され、クラウドサービス上のシステム環境へ不正アクセスされていることを確認しました。
• 不正利用された認証情報では、会員情報を保存するデータベースとそのバックアップへアクセス可能でした。
• 第三者が個人情報を実際に閲覧・取得した事実は、第一報時点では確認されていません。
• 一方、閲覧・取得がなかったことを確認するために十分な記録が存在しないため、CINRAは個人情報漏えいのおそれがあると判断しています。
• 対象は現在のCINRA JOB会員だけでなく、過去に会員登録し、すでに退会した利用者も含まれます。
• 対象情報には氏名、住所、電話番号、メールアドレス、学歴、職歴、希望条件、スキル・資格、志望動機・自己PR、応募履歴などが含まれます。
• CINRA JOBではクレジットカード番号など、直ちに財産的被害につながる情報は保有していないとしています。
• 第一報時点で対象件数は公表されていません。
• 個人情報の不正利用について、会員などからの報告は第一報時点でありません。
• CINRAは認証情報を無効化し、関連権限を削除、不正利用されたクラウドサービスを停止しました。
• 認証情報が外部から取得可能となっていた原因箇所も修正しています。
• 個人情報保護委員会への報告と警察への相談を実施済みです。
• 今後、外部専門機関による調査を実施し、完了後に続報を公表する予定です。

項目	内容
公表日	2026年8月27日
確認日	2026年8月18日
対象組織	CINRA, Inc.
対象サービス	CINRA JOB
インシデント	クラウド環境への第三者による不正アクセス
確認された原因	CINRAが管理する認証情報を第三者が取得し、不正アクセスに利用
アクセス可能だった範囲	会員情報を保管するデータベースおよびバックアップ
情報漏えい	閲覧・取得は未確認。ただし否定する十分な記録がなく、漏えいのおそれあり
対象者	現在の会員、過去に会員登録し退会した利用者
対象件数	第一報では公表されていません
二次被害	個人情報の不正利用に関する報告なし
対応状況	認証情報無効化、権限削除、クラウドサービス停止、原因箇所修正
個人情報保護委員会	報告済み
警察	相談済み
今後	外部専門機関による調査を予定

8月18日、クラウド認証情報の不正利用を確認

CINRAによると、不正アクセスを確認したのは2026年8月18日です。

CINRA JOBが利用するクラウドサービス上のシステム環境で、同社が管理していた認証情報が第三者に取得され、不正アクセスに使われていました。

CINRAは同日中に当該認証情報を無効化して不正アクセスを遮断しました。あわせて関連する権限を削除し、不正利用されたクラウドサービスを停止しています。

また、認証情報が外部から取得可能になっていた原因箇所についても修正を実施しました。

第一報では、認証情報が具体的にどのような場所や仕組みから取得されたのか、ソースコード、設定ファイル、CI/CD、開発端末、クラウド上のシークレット管理など、詳細な露出経路は公表されていません。

そのため、現時点でフィッシング、マルウェア感染、設定ミス、ソースコードへの埋め込みなど、具体的な原因を推測することはできません。

データベースとバックアップへアクセス可能な状態

不正利用された認証情報では、CINRA JOBの会員情報を保存するデータベースと、そのバックアップへアクセスすることが可能な状態でした。

ここで重要なのは、「アクセス可能だったこと」と「実際に個人情報を閲覧・取得されたこと」を分ける必要がある点です。

CINRAは、第三者が個人情報を閲覧または取得した事実について、第一報時点では確認していません。

一方、閲覧や取得がなかったことを確認するために十分な記録が存在しないことから、個人情報が漏えいした可能性を否定できないと判断しています。

そのため、本件について「個人情報が流出した」と断定することはできません。

現時点で確認されているのは、第三者による認証情報の取得、不正アクセス、データベースとバックアップへアクセス可能だった状態です。

氏名や住所に加え、職歴・希望給与・志望動機なども対象

漏えいのおそれがあるのは、CINRA JOBに現在会員登録している利用者だけではありません。

過去に会員登録し、すでに退会している利用者も対象に含まれます。

CINRAが公表した対象情報は次の通りです。

• 氏名
• フリガナ
• 生年月日
• 性別
• 住所
• 電話番号
• メールアドレス
• WebサイトURL
• 学歴
• 職歴
• 希望条件（希望職種・希望給与など）
• スキル・資格
• 志望動機・自己PR
• 応募履歴
• その他、応募時に入力した情報

一般的な会員情報に加え、求人サービス特有の詳細なプロフィール情報が含まれる点に注意が必要です。

CINRAは、クレジットカード番号など、直ちに財産的被害につながる情報についてはCINRA JOBで保有していないと説明しています。

対象件数は第一報で公表されず

CINRAは8月27日の第一報で、漏えいのおそれがある利用者の具体的な人数や件数を公表していません。

対象範囲は「CINRA JOBに会員登録をされた方」で、現在の会員に加えて過去に退会した利用者も含まれます。

外部専門機関による調査はこれから実施する予定で、CINRAは調査完了後、登録メールアドレスと公式ページで続報を公表するとしています。

したがって、現時点で推定会員数などから対象件数を算出することは適切ではありません。

ログ不足で「取得されていない」と確認できず

今回の事案では、クラウド環境のログがインシデント調査で果たす役割も浮き彫りになりました。

CINRAは、第三者による個人情報の閲覧・取得そのものは確認していません。

それでも漏えいのおそれがあると公表した理由は、第三者による閲覧・取得が「なかった」と確認できるだけの記録が存在しないためです。

不正アクセス発生後、どのデータが実際に参照されたかを判断するには、認証ログだけではなく、データベースへのクエリ、APIアクセス、オブジェクトストレージ、バックアップ取得、データエクスポートなどの操作記録が必要になる場合があります。

ログの保存期間が短い、監査ログを取得していない、管理プレーンの記録しか残していないといった環境では、攻撃者の侵入を確認できても、個人情報へのアクセス有無まで遡れないことがあります。

認証情報を無効化、権限削除とクラウドサービス停止

CINRAは不正アクセス確認後、複数の緊急対応を実施しています。

当該認証情報を無効化したほか、関連する権限を削除し、不正に利用されたクラウドサービスを停止しました。

また、認証情報が外部から取得可能だった原因箇所についても修正済みです。

一方、認証情報の権限範囲、MFAの適用状況、IPアドレス制限の有無、認証情報が利用できた期間などは第一報では公表されていません。

今後の外部専門機関による調査では、認証情報が外部へ露出した原因に加え、不正アクセス開始時期、アクセスされたリソース、データベースへの実アクセス、永続化や他環境への横展開の有無などが確認ポイントになります。

個人情報保護委員会へ報告、警察にも相談

CINRAは今回の事案について、個人情報保護委員会への報告を行っています。

あわせて警察にも相談しています。

個人情報の漏えいが確定していない段階でも、漏えいのおそれがあり、一定の要件に該当する場合には個人情報保護委員会への報告が必要になるケースがあります。

今回、CINRAは外部専門機関による詳細調査の完了を待たず、第一報の段階で当局への報告と利用者への注意喚起を行っています。

職歴・応募履歴を使った標的型フィッシングに注意

8月27日時点で、個人情報の不正利用について利用者からの報告はありません。

一方、今回対象となる可能性がある情報には、メールアドレスだけでなく、職歴、希望職種、希望給与、スキル、資格、志望動機、応募履歴などが含まれます。

仮に第三者がこれらを取得していた場合、利用者ごとの経歴や転職活動に合わせた説得力の高いフィッシングやなりすまし連絡に悪用される可能性があります。

たとえば、応募企業、人材紹介会社、採用担当者、求人サービスなどを装ったメールやSMS、電話などが想定されます。

ただし、こうした二次被害は現時点で確認されたものではなく、漏えいが実際に発生していた場合に想定されるリスクです。

CINRAは利用者に対し、同社を装った不審なメール、電話、SMSに注意するよう呼びかけています。

また、CINRA JOBに関してパスワード、金融機関の口座情報、クレジットカード情報などを尋ねることはないとしています。

クラウド認証情報の漏えいは他社でも侵害起点に

クラウドや開発環境の認証情報が外部へ露出し、不正アクセスへつながる事案は複数発生しています。

セキュリティ対策Labでは、株式会社イノベーションでGitHubの認証情報が漏えいし、第三者による不正アクセスにつながった事案を「株式会社イノベーション、GitHub認証情報漏洩後に不正アクセス 最大6万件の個人情報流出の恐れ」で紹介しています。

また、ラッコ株式会社ではStripeの本番APIキーへの不正アクセスが確認され、キーのローテーションやIP制限などが実施されました。「ラッコ株式会社、Stripe 本番APIキーへ不正アクセス、詳細調査中」で整理しています。

認証情報は、正規ユーザーと同じ方法でクラウドサービスへアクセスできるため、漏えいすると脆弱性攻撃を伴わず侵害につながる場合があります。

情報システム部門への示唆

今回の事案では、認証情報の第三者取得とクラウド環境への不正アクセスは確認された一方、データベース内の個人情報が実際に閲覧・取得されたかをログから判断できませんでした。

情報システム部門では、クラウド認証情報の漏えい防止と同時に、「漏えいした際に何が行われたかを後から確認できること」を設計に含める必要があります。

具体的には、長期利用する静的な認証情報を減らし、可能な範囲で短命な認証情報やワークロードIDへ移行すること、権限を必要最小限に制限すること、利用元IPやネットワークを制限すること、シークレットスキャンを導入することなどが重要です。

また、認証情報の利用ログだけでなく、データベースやストレージへのアクセス、バックアップの取得、データエクスポート、管理APIの操作など、侵害後に影響範囲を判断できる監査ログを取得し、十分な期間保存する必要があります。

特にバックアップは、本番データベースよりアクセス制御や監視が弱いケースがあります。バックアップへの権限も本番と同様に最小化し、アクセスログや異常検知の対象に含めるべきです。

今回のように求人サービスで詳細なプロフィール情報を扱うシステムでは、氏名やメールアドレスだけでなく、職歴や応募履歴が攻撃者のソーシャルエンジニアリング材料になり得ます。

インシデント発生後は、漏えい件数だけでなく「どの情報項目が組み合わされると、どのような二次被害につながるか」まで評価し、利用者への注意喚起に反映することが重要です。

出典

• 求人サービス「CINRA JOB」への不正アクセスによる個人情報漏えいのおそれに関するお知らせとお詫び（第一報） – CINRA, Inc.
• 株式会社イノベーション、GitHub認証情報漏洩後に不正アクセス 最大6万件の個人情報流出の恐れ – セキュリティ対策Lab
• ラッコ株式会社、Stripe 本番APIキーへ不正アクセス、詳細調査中 – セキュリティ対策Lab