マイナビ、利用するクラウドサービスに不正アクセス——ユーザーや取引先担当者の個人情報が流出可能性、各サービスサイトDBへの侵害は否定

項目	内容
発生日	検知日は公表されていない（2026年2月13日にSecurity NEXTが報道）
対象組織・業界	株式会社マイナビ（転職・アルバイト情報サイト運営）
攻撃手法	同社が利用するクラウドサービスへの外部からの不正アクセス
情報源	Security NEXT（2026年2月13日）

概要

転職情報サイトやアルバイト情報サイトを運営する株式会社マイナビは、同社が利用するクラウドサービスに外部からの不正アクセスを検知し、ユーザーや取引先担当者に関する個人情報が流出した可能性があることを公表しました。2026年2月13日にSecurity NEXTが報じました。

同社は「各サービスサイトや各サイトのデータベースに対する不正アクセスではない」と明示しており、対象は業務で利用するクラウドサービス上のデータであるとしています。外部アクセスは遮断済みで、関係機関へも報告済み。現時点で二次被害の確認はなく、各サービス利用への影響もないとされています。

経緯

• 検知日は非公表: 同社が利用するクラウドサービスへの外部からの不正アクセスを検知
• 検知後: 外部からのアクセスを遮断。関係機関へ報告
• 2026年2月13日: Security NEXTが事案を報道
• 現時点: 個人情報の悪用など二次被害は確認されていないと発表

原因

侵入経路・攻撃手法の詳細は公表されていません。同社は「各サービスサイトや各サイトのデータベースに対する不正アクセスではない」と述べるにとどまり、どのクラウドサービスが対象だったか、認証情報の窃取なのか脆弱性悪用なのかは明らかにしていません。

考えられる原因（推測）

以下は公表事実から考えられる仮説であり、マイナビが公表したものではありません。

1. 業務利用SaaSの認証情報悪用: 「利用するクラウドサービス」への不正アクセスは、SaaSの認証情報が窃取・使い回しで漏えいしたケースが最頻の入り口です。特にMFA未設定のアカウント経由で侵入されるパターンは典型的です
2. 主要サービスDBとは別領域の侵害: 「サービスサイトやDBへの不正アクセスではない」という慎重な表現は、業務系（営業・マーケ・顧客管理）のクラウドサービス、あるいはコミュニケーション系のクラウドサービスへの侵害を示唆します
3. サービスサイトとは別の攻撃面: 求人情報サイトのユーザーDBだけを守っていても、業務で利用する多数のSaaSはそれぞれ独立した攻撃面を持ちます。全体を俯瞰する監視がないと、この種の侵害は主要システム外で長期潜伏する可能性があります

対策

組織が学ぶべきこと

1. サービスサイトDBだけを守っていても足りない: 「各サービスサイトやDBへの不正アクセスではない」という慎重な公表は、逆に「主要システム以外のクラウドサービスにも守るべき個人情報がある」ことを示しています。業務で利用する100種類以上のSaaSが独立した攻撃面を持つ現代においては、主要システムだけの防御では守り切れません。

2. 「二次被害は確認されていない」の期間限定性: 個人情報が流出した可能性がある事案では、悪用は数週間・数か月遅れて顕在化することがあります。「現時点で二次被害なし」という説明を維持できる継続監視体制が求められます。

3. 求職者データの機微性: 転職・アルバイト情報サイトのユーザーデータは、氏名・連絡先・職務経歴・希望条件・在職状況といった機微情報を含みます。この種のデータが二次的な標的型攻撃（例: 転職を口実にした求職者へのフィッシング）に使われるリスクは高く、影響範囲の確認と対象者への注意喚起がとりわけ重要です。

ヤグラの視点 — 攻撃面の拡張。「利用するクラウドサービス」という広大な守備範囲

「同社が利用するクラウドサービス」——このたった一言に含まれる守備範囲は極めて広大です。現代の企業は数十から数百のSaaS・クラウドサービスを日常的に利用しており、そのそれぞれが独立した認証・独立したアクセス制御・独立したログ形式を持ちます。攻撃者から見れば、これらは主要サービスサイトを守るファイアウォールの外側にある、比較的守りが薄い攻撃面の集合です。個々のSaaSに何のデータが載っていて、誰がどこからアクセスしているか、異常なアクセスが発生していないか——これを個別ツールごとに人手で監視するのは非現実的で、AIによる横断ログ監視で一元的に「クラウドサービス全体で今何が起きているか」を把握できる体制がなければ、主要サービス外で発生する侵害は初報が遅れます。攻撃面の拡張という現代の課題に、監視の粒度と網羅性で応える必要があります。（関連: ヤグラ AI SOC）

今後の対応

対象となったクラウドサービスの特定、流出した可能性のある個人情報の詳細・件数、二次被害の有無に関する続報を注視し、判明次第、本記事に追記します。

更新履歴

日時	内容
2026-02-13	第一報を公開