スタディサプリ、139校の添付483ファイルを権限のない利用者が閲覧―「先生からのお知らせ」に設定不備

株式会社リクルートは2026年10月15日、学校向けオンライン学習サービス「スタディサプリ」の「先生からのお知らせ」機能において、添付ファイルの閲覧権限の設定に不備があったと発表しました。本来アクセス権限のない数名の利用者が、139校から送信された添付ファイル計483件を閲覧していたことが社内調査で判明しました。

不備が存在した期間は2024年6月13日から2026年9月30日までです。同社は9月30日までに改修を完了しており、閲覧した利用者によるファイルの保存や第三者への提供などはなかったと説明しています。外部からのサイバー攻撃や第三者による不正アクセスではありません。

スタディサプリの添付ファイル閲覧権限不備のサマリー

• 公表日：2026年10月15日
• 対象：学校向けスタディサプリの「先生からのお知らせ」機能
• 原因：添付ファイルの閲覧権限制御の不備
• 閲覧されたファイル：483件
• ファイルの送信元：139校
• 閲覧した利用者：数名（本来の閲覧権限を持たない利用者）
• 不備が存在した期間：2024年6月13日～2026年9月30日
• 2026年9月30日に修正を完了
• リクルートによると、閲覧した利用者によるファイルの保存、第三者への提供、その他の利用は確認されていない
• 10月15日の発表時点で、本事象に起因する二次被害は確認されていない

「先生からのお知らせ」の添付483ファイルを権限のない利用者が閲覧

「先生からのお知らせ」は、学校の教員が生徒にメッセージを送り、必要に応じてファイルを添付できる機能です。リクルートの社内調査により、添付ファイルのアクセス権限制御に不備があり、本来閲覧できない利用者にもファイルが表示される状態だったと判明しました。

同社が確認したのは、139校から送信された添付ファイル483件が、権限のない数名の利用者に閲覧されていたという事実です。483件はファイル数であり、個人情報が漏えいした人数ではありません。また、139校は対象ファイルの送信元となった学校数です。

今回の問題はシステム内の閲覧権限制御に関するもので、リクルートは外部の攻撃者による侵入や不正アクセスではないと明記しています。

約2年3か月にわたって不備が存在、9月30日までに修正

公式発表によると、閲覧権限の不備は2024年6月13日から2026年9月30日まで存在しました。リクルートは問題の把握後、当該機能を改修し、9月30日時点で権限のない利用者が添付ファイルを閲覧できないよう修正を完了しています。

併せて、実際にファイルを閲覧した利用者について、ファイルの保存、第三者への提供、その他の利用がなかったことを確認したとしています。10月15日時点で本事象に起因する二次被害も確認されていません。

対象の139校には個別連絡、ファイル内の個人情報は学校・自治体と連携して対応

リクルートは対象ファイルの送信元となった学校に個別連絡を行いました。同社によれば、個別連絡を受けていない学校は今回の事象の影響を受けていません。

添付ファイルに個人情報が含まれていた場合には、学校や所管する自治体と連携し、法令に従って対応する方針です。公表された483ファイルの内容や、個人情報を含むファイル数、対象となる個人の人数は示されていません。このため、483件をそのまま個人情報の漏えい人数に置き換えることはできません。

同社はシステム全体の総点検を行うとともに、確認工程と検知体制の強化も進めています。

10月3日公表の「3,687件のメールアドレス」とは別事案

スタディサプリでは、これに先立つ2026年10月3日にも、第三者による不適切な操作により、3,687件のメールアドレスについてサービスへの登録有無を特定された可能性があると公表しています。

こちらはシステムの仕様上の不備を突いた外部からの不正アクセスであり、10月15日に公表された添付ファイル閲覧権限の問題とは原因も影響内容も異なります。3,687件と483ファイルを合算することはできません。

10月3日の事案と東京都千代田区への影響については、スタディサプリに不正アクセス、3,687件の登録メールアドレス特定の可能性―千代田区の児童・生徒8名も対象で整理しています。

学校・教育サービス運営者が確認するポイント

今回のような閲覧権限の不備は、正規の利用者がログインしていても、本来許可されていない情報にアクセスできてしまう問題です。学校向けサービスやSaaSを運用する際には、ファイルの送信先・所属学校・利用者権限ごとに閲覧できる範囲が正しく制限されているか確認する必要があります。

特に添付ファイルについては、画面上の表示制御だけでなく、ファイル取得時にもアクセス権限を検証しているか、権限変更後も以前のリンクから閲覧できないか、操作記録から権限外の閲覧を調査できるかが確認事項となります。

出典

• 【重要】学校向けスタディサプリ「先生からのお知らせ」機能における情報漏えいに関するお詫びとお知らせ（2026年10月15日）－スタディサプリ
• 【重要】スタディサプリへの不正利用に関するお詫びとお知らせ（2026年10月3日）－スタディサプリ

関連記事

サイバー攻撃集団 ロックビット(LockBit)とは？ 富士通で個人情報漏洩の恐れ　マルウェア感染も 不正アクセスで「よどいこ！」から個人情報流出の可能性 モバイルファクトリーがSuishow 株式会社の現代表取締役へ訴訟提起 背景に「NauNau」のセキュリティ管理問題か？ 国分生協病院がランサムウェア攻撃を受け、一部診療記録のPDFが閲覧不可に 北海道大学が不正アクセスで約2.3万の個人情報が流出した事を発表 ベネッセ 個人情報流出事件で地裁から賠償命令 3338人に計1100万円 WelcomeHRを運営するワークスタイルテックが約15万人の個人情報漏洩を発表 福島県郡山市の委託先社員がマイナンバーカードの個人情報を私的に利用

投稿者：三村

セキュリティ製品を手がける上場企業にて、SOC（セキュリティオペレーションセンター）運営およびWebアプリケーション脆弱性診断の営業に8年間従事。その後、システムエンジニアへ転身し、MDMや人事系SaaSの開発に携わる。
8年の実務経験と開発者としての知見を活かし、「セキュリティ対策Lab」ではダークウェブ調査、セキュリティインシデントの分析、および高度なセキュリティ対策解説の執筆・編集を統括しています。
LinkedIn(外部サイト)