エン運営「ミドルの転職」にパスワードリスト攻撃、2,503件の不正ログインを確認

項目	内容
発生日	2026年5月26日〜6月2日（不正ログイン期間）、2026年6月8日（公表）
対象組織・業界	エン（運営: 転職情報サービス「ミドルの転職」）
攻撃手法	パスワードリスト攻撃による不正ログイン
情報源	Security NEXT（2026-06-08）

概要

エンが運営する転職情報サービス「ミドルの転職」で、2026年5月26日〜6月2日にかけてパスワードリスト攻撃によるなりすましログイン2,503件が確認されたと、同社は2026年6月8日に公表しました。一部ユーザーの会員情報ページが第三者によってアクセスされた可能性があります。

同社は、社内からの情報流出を否定し、第三者が同社以外から入手したアカウント情報を用いた攻撃と判断しています。履歴書をはじめとする会員情報ページのデータ改ざん被害は現時点で確認されていません。

経緯

• 2026年5月26日〜6月2日: パスワードリスト攻撃による不正ログイン発生（2,503件）
• 2026年6月8日: エンが事案を公表、社内流出を否定、外部から入手した認証情報による攻撃と判断

原因

攻撃の原因は、同社以外のサービスから漏えいした認証情報を用いたパスワードリスト攻撃と説明されています。他社での漏えい認証情報を、同じID/パスワードを使い回している「ミドルの転職」利用者に対してログイン試行する形の攻撃です。

考えられる原因（推測）

以下は公表事実から考えられる補足的な仮説です。

1. パスワード使い回しの構造的問題: パスワードリスト攻撃は「使い回しユーザー」が一定割合存在する限り、防御側の運用改善だけでは根絶できません。攻撃側にとってコストが低く、成功率が0でない限り継続される類型です
2. 多要素認証未適用アカウントの狙い撃ち: 転職サービスは求職者側の登録が個別任意であることが多く、MFA適用率がサービス全体で100%になるとは限りません。未適用の層が狙われた可能性があります
3. 転職情報の高価値性: 履歴書には勤務先・年収・スキル・連絡先など機微な情報が集約されており、攻撃者にとってビジネスメール詐欺（BEC）・標的型攻撃の下ごしらえとして高価値な情報源になります

対策

組織が学ぶべきこと

1. パスワードリスト攻撃は「他社の漏えい」が起点になる: 自社に落ち度がなくても、他社のサービスから流出した認証情報の再利用によって被害が発生します。攻撃の起点が自社の外にあるという認識のもと、二次的な連鎖被害を断つ仕組みが必要です。攻撃側は漏えい認証情報のデータベースを長期的に運用しており、「別のサイトで漏れた情報が、数カ月〜数年後に自社への攻撃に使われる」構造は今後も続きます。

2. ログイン試行の異常検知とレートリミット: パスワードリスト攻撃は大量アカウントに対する短時間の順次試行という共通パターンを持ちます。ログインAPI・認証エンドポイントに対する試行元IP・試行速度・成功/失敗比率の異常検知は、多要素認証と並ぶ基本的な対策です。

3. 利用者側への通知と対応要請: なりすましログインの対象になった利用者に、パスワード変更と多要素認証の設定を呼びかける通知が、二次被害（履歴書情報を利用した標的型攻撃・詐欺）を断つ第一歩です。

ヤグラの視点 — 二次攻撃の連鎖を断つ

パスワードリスト攻撃が示すのは、インシデントの起点が「他社の漏えい」にあっても、被害が発生するのは自社だという事実です。他社のリーク情報を自社の攻撃に転用する連鎖は、数カ月から数年の時間差で成立します。この時間差を止めるには、同じ手口の攻撃が二人目・三人目に到達する前に、影響範囲を自動で調査して封じ込める発想が必要です。「同じ試行パターンが別のアカウントにも来ているか」「乗っ取られた可能性のあるアカウントに対して、二次通報経路が確保されているか」を数分レベルで判断する体制は、パスワードリスト攻撃を典型例に、幅広い連鎖型インシデントの防波堤になります。あわせて、利用者側の「使い回さない・多要素認証を設定する」というリテラシー教育も、AIが作る巧妙な攻撃メールに対抗するアウェアネスの一部として組み込む必要があります（→ ヤグラ アウェアネス）。

今後の対応

対象ユーザーへの通知進捗、追加の不正ログイン検出有無、対策強化の内容の続報を注視し、判明次第本記事に追記します。

更新履歴

日時	内容
2026-06-08	第一報を公開