スカイマーク、採用問い合わせ488人の個人情報が約10年間外部から閲覧可能に―管理画面のアクセス制限に設定不備|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年10月20日更新日時: 2026年10月20日

スカイマーク株式会社は2026年10月19日、新卒・既卒採用の問い合わせを管理する画面にアクセス制限の設定不備があり、問い合わせを行った488人の個人情報が、2016年3月から2026年10月16日まで社外から閲覧可能な状態だったと発表しました。

同社は10月16日に問題を発見し、当日中に外部から閲覧できないよう対応しました。第三者による閲覧や情報流出、二次被害は確認されておらず、外部からの攻撃の痕跡も確認されていません。一方、過去のアクセス記録が一部残っていないため、全期間について第三者による閲覧の有無を検証できる状況ではありません。

スカイマークの個人情報閲覧可能事案のサマリー

公表日：2026年10月19日
対象：2016年3月～2020年2月に新卒・既卒採用の問い合わせフォームを利用した488人
閲覧可能だった期間：2016年3月～2026年10月16日（約10年7か月）
原因：採用問い合わせ管理画面のアクセス制限の設定不備
発見日：2026年10月16日。スカイマークの社員が社外から閲覧可能な状態を発見
対応：発見当日に外部からの閲覧を遮断。ほかのシステムについても点検を進める
2025年6月9日以降のアクセス記録では、問題の管理画面へのアクセスは確認されていない
第三者による閲覧・情報流出・二次被害、外部からの攻撃の痕跡は、10月19日時点で確認されていない

項目	内容
企業名	スカイマーク株式会社
対象システム	新卒・既卒採用お問い合わせの管理画面
対象人数	488人（閲覧可能な状態にあった情報の対象者数。漏えい確定人数ではない）
問い合わせ受付時期	2016年3月～2020年2月
社外から閲覧可能だった期間	2016年3月～2026年10月16日
新卒の対象情報	氏名、氏名のカナ、メールアドレス、学校名・学部学科名、問い合わせ内容
既卒の対象情報	氏名、氏名のカナ、メールアドレス、勤務先・部署名、問い合わせ内容
含まれない情報	住所、電話番号、クレジットカード情報など
発見・遮断	2026年10月16日
第三者閲覧・情報流出	10月19日時点で確認されていない。過去の一部期間はアクセスログが存在しない

約10年間、採用問い合わせの管理画面が社外から閲覧できる状態に

スカイマークによると、対象の管理画面は同社ホームページなどからリンクされておらず、URLを直接把握しなければアクセスできない構成でした。日常業務でも使用されておらず、社内でURLを知る担当者も限られていたとしています。

しかし、URLを知っている人だけがアクセスできることと、適切なアクセス権限によって保護されていることは別です。同社は管理画面のアクセス制限が不十分だったことを原因として挙げています。

今回、2026年10月16日に社員が社外から閲覧できる状態を発見し、同日中に当該画面への外部アクセスを遮断しました。

閲覧可能だった情報には学校名や勤務先、問い合わせ内容も

対象となったのは、2016年3月から2020年2月までに採用に関する問い合わせを行った488人です。氏名やメールアドレスに加え、新卒の問い合わせでは学校・学部学科、既卒の問い合わせでは勤務先・部署の情報が管理されていました。

さらに、問い合わせ内容も含まれます。個別の問い合わせ文面によっては、本人が採用について相談した事実や所属先に関する情報が読み取られる可能性があります。ただし、スカイマークは住所、電話番号、クレジットカード情報などは対象に含まれないと説明しています。

2025年6月9日以降のアクセスは確認されず、過去分はログ不足

同社は、2025年6月9日以降に残るアクセス記録を調査し、当該管理画面へのアクセスがなかったことを確認しました。一方、それより前の期間はアクセス記録が残っていないため、第三者による閲覧の形跡があったかどうかを検証できていません。

したがって、488人という人数は「情報が閲覧可能な状態に置かれていた対象者数」を示すもので、488人分の情報が第三者に取得されたことを意味しません。管理画面の設定不備が判明した事案であり、サイバー攻撃による侵入や情報の持ち出しが確認された事案とは区別する必要があります。

想定される二次被害とスカイマークの注意喚起

仮に第三者がこれらの情報を取得していた場合、氏名・メールアドレス・学校名・勤務先といった組み合わせを使い、採用担当者や関係者を装うメールを送ったり、過去の問い合わせ内容に言及して受信者を信用させたりする悪用が考えられます。これは一般的なリスクの整理であり、本件でそのような行為が発生したとの発表ではありません。

スカイマークは利用者に対し、同社を装った不審なメールや電話への注意を呼びかけています。また、本件に関連して、同社がメールで個人情報やパスワードの入力、金銭の振り込みを求めることはないと説明しました。

不審な案内を受け取った場合は、記載されたリンクや連絡先をそのまま利用せず、公式サイトなど信頼できる経路から真偽を確認することが考えられます。