ココナラスキルマーケットへ不正アクセスのよるサイバー攻撃、履歴書449件・職務経歴書関連書類1,845件の個人情報漏洩を確認|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年10月13日更新日時: 2026年10月13日

株式会社ココナラは2026年10月9日、同社が運営する「ココナラスキルマーケット」に第三者から不正アクセスがあり、会員の個人情報が外部に漏洩したと発表しました。対象はサービスに履歴書や職務経歴書を登録していた会員の一部で、履歴書449件、職務経歴書関連書類1,845件が該当します。

10月8日未明に不正アクセスを検知して遮断したものの、同日午後に再度不正アクセスを確認しました。15時ごろには個人情報が外部に持ち出された形跡を確認し、15時44分に攻撃経路を遮断。21時27分までに脆弱性の修正を完了したとしています。

同社によると、クレジットカード情報や各種パスワードは今回の不正アクセスの対象に含まれず、漏洩情報が不特定多数に公開された事実や不正利用された事実も確認されていません。

ココナラの個人情報漏洩のサマリー

2026年10月8日2時05分、システムへの不正アクセスを検知し遮断。
同日13時ごろ、再度不正アクセスを検知。
同日15時ごろ、個人情報が外部に持ち出された形跡を確認。
同日15時44分に攻撃経路を遮断し、21時27分までに脆弱性を修正。
対象は「ココナラスキルマーケット」に履歴書・職務経歴書を登録した会員の一部。
対象書類は履歴書449件、職務経歴書関連書類1,845件の合計2,294件。ただし、書類の件数であり、漏洩した実人数を示すものではありません。
クレジットカード情報や各種パスワードは対象外。エージェント事業など他サービス・サイトへの影響もないとしています。
対象会員へ個別に順次連絡し、警察への通報と個人情報保護委員会などへの報告を行う方針です。

項目	内容
公表日	2026年10月9日
対象企業	株式会社ココナラ
対象サービス	ココナラスキルマーケット
不正アクセス検知日	2026年10月8日
漏洩状況	会員の個人情報が外部に漏洩した事実を確認
漏洩対象	履歴書449件、職務経歴書関連書類1,845件（計2,294件の書類）
対象者	対象書類を登録した会員の一部（人数は公表されていません）
対象外	クレジットカード情報、各種パスワードなど
他サービスへの影響	エージェント事業を含め、本件Webサイト以外に影響はないと発表
事業者の対応	アクセス遮断、脆弱性修正、監視継続、対象者への個別連絡

初回遮断後に再度不正アクセス、午後に情報持ち出しの形跡

ココナラの発表では、不正アクセスが確認された10月8日の動きが時刻単位で示されています。

日時（2026年10月8日）	経緯
2時05分	不正アクセスを検知し、外部からのアクセスを遮断
13時00分ごろ	不正アクセスを再度検知
15時00分ごろ	個人情報が外部に持ち出された形跡を確認
15時44分	外部からの不正アクセスを遮断
21時27分	対象システムの脆弱性を再検査し、セキュリティ強化措置を実施。同時刻までに脆弱性修正を完了

初回の遮断後、約11時間を経て再び不正アクセスが検知されています。ただし、最初と二度目のアクセスが同じ経路によるものだったか、どの脆弱性が悪用されたか、攻撃者がどのように情報を取得したかといった技術的な経緯は、10月9日の発表では示されていません。

ココナラは攻撃経路を遮断して脆弱性を修正したうえで、監視を継続しながらサービスの提供を続けています。

漏洩したのは履歴書・職務経歴書関連書類、対象人数は非公表

今回の不正アクセスで漏洩したと公表されたのは、会員が登録した履歴書449件と職務経歴書関連書類1,845件です。合わせると2,294件ですが、この数字はファイル・書類の件数です。同一人物が複数の書類を登録している可能性があるため、2,294人の個人情報が漏洩したと読み替えることはできません。

発表では、履歴書や職務経歴書に含まれる個別の情報項目までは示されていません。一般的に、これらの書類には氏名や連絡先、職歴、学歴などが記載されることがありますが、今回漏洩した書類にどの項目が含まれていたかは、個別通知などでの確認が必要です。

同社は、クレジットカード情報、各種パスワードなど、今回公表した書類以外の情報は不正アクセスの対象となっていないと説明しています。また、エージェント事業をはじめ、ココナラスキルマーケット以外の同社サービスやWebサイトへの影響はないとしています。

対象会員へ順次通知、不審なメールや連絡に注意喚起

ココナラは対象情報を精査し、該当する会員に順次個別に連絡するとしています。また、利用者に対して、不審なメールや連絡に記載されたURLへのアクセスや、個人情報の入力を避けるよう注意を呼びかけました。

同社は本件に関し、メール、SMS、電話でパスワード、クレジットカード情報、その他の認証情報そのものを尋ねることはないと明記しています。

履歴書や職務経歴書の流出では、攻撃者が書類の内容を利用して実在する企業の採用担当者などを装う連絡を送るリスクが考えられます。ただし、今回の漏洩情報を使ったそのような二次被害が発生したと確認されたわけではありません。

連絡を受けた利用者は、メール本文のリンクからではなく、普段使用しているサービスの公式サイトやアプリから通知内容を確認することができます。問い合わせ先として、ココナラは利用者向け相談窓口を案内しています。

情報システム部門が確認したいWebサービスの初動対応

ココナラは10月8日のうちに攻撃経路の遮断と脆弱性修正を実施しました。一方、今回の経緯では初回の遮断後にも不正アクセスを検知しており、封じ込め後の監視と再検証を含むインシデント対応の必要性が読み取れます。

Webサービスの管理者は、外部からの不正アクセスを検知した際、遮断措置の実施記録だけで対応を終えず、アクセスログの継続調査、悪用された可能性のある脆弱性と認証情報の確認、データ持ち出しの有無の検証を進める必要があります。利用者がアップロードした文書など、構造化されたデータベース以外の保存情報も調査対象になり得ます。

IPAも2026年10月9日、国内で相次ぐ不正アクセスを踏まえ、Webサービスなどの緊急点検を求める注意喚起を公表しました。関連する確認項目は、IPAが呼びかけたWeb・SaaS・APIなどのセキュリティ点検で整理しています。