ココナラ不正アクセス初報履歴書449件と関連書類1845件をどう読むか

資料で確認できること

履歴書449件と職務経歴書など1845件の持ち出しを確認

公式発表によると、対象はココナラスキルマーケットで一部の利用者が登録した履歴書449件と、職務経歴に関する書類1845件です。これは書類の件数であり、対象となる利用者が2294人だと確定した数字ではありません。同じ利用者が複数の書類を登録している可能性を、公開資料だけでは除けません。

会社は、クレジットカード情報、パスワード、そのほかの情報は今回の不正アクセスの対象ではないことを確認したと説明しました。10月9日の発表時点で、不特定多数への公開や不正利用は確認されていないともしています。『持ち出しを確認した書類』と『対象外と確認した情報』を混ぜないことが重要です。

• 資料 01株式会社ココナラ：不正アクセスによる個人情報漏えいに関するお詫びとお知らせ

当事者の説明

10月8日に検知し、外部アクセス遮断と脆弱性対策を実施

会社の時系列では、10月8日2時5分に不正アクセスを検知して遮断し、13時に再び検知、15時に個人情報の外部持ち出しを確認しました。15時44分に外部からのアクセスを遮断し、21時27分に脆弱性の再点検と追加対策を完了したとしています。対策後はサービスを継続しています。

対象者へは確認後に順次個別連絡するとし、警察と個人情報保護委員会への報告、第三者専門機関を交えた調査と再発防止を進める方針です。また、会社がメール、SMS、電話でパスワードやクレジットカード情報などの認証情報を尋ねることはないと注意を呼びかけています。

• 資料 01株式会社ココナラ：不正アクセスによる個人情報漏えいに関するお詫びとお知らせ

未確認の点

実人数、書類ごとの記載項目、侵入方法と通知完了は未確認

10月12日の確認時点で、対象となる利用者の実人数、各書類に含まれた具体的な情報項目、攻撃者、侵入方法、個別通知の完了状況は公開資料から確定できません。第三者専門機関による調査結果や、警察・個人情報保護委員会への報告完了も本文には示されていません。

不特定多数への公開や不正利用が確認されていないという説明は、10月9日発表時点の確認状況です。将来の悪用がないことを保証する表現でも、利用者側の懸念が解消したことを示す表現でもありません。

確認の範囲

このコラムの確認範囲

本稿は2026年10月12日に取得したココナラの10月9日付公式発表と、IPAの10月9日付注意喚起を照合したものです。JBJは対象ファイル、サーバーログ、個別通知、第三者調査記録を独立に確認していません。掲載画像は書類の確認を表した説明用イメージで、ココナラの実際の職員・利用者・履歴書・施設・調査記録ではありません。

• 資料 01株式会社ココナラ：不正アクセスによる個人情報漏えいに関するお詫びとお知らせ
• 資料 02独立行政法人情報処理推進機構 IPA：不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について

JBJの見解

書類件数の公表後も、利用者ごとの対象範囲はすぐには分からない

ココナラは2026年10月9日、スキルマーケットに登録された履歴書・職務経歴書の一部について、不正アクセスによる外部持ち出しを確認したと公表しました。公表された件数が大きく報じられても、自分の情報が対象か、何が記載されていたかは個別通知を確認するまで判断できない場合があります。

本稿は、会社が確認した持ち出しと、対象外とした情報、現時点で確認されていない二次被害、まだ公表されていない事項を分けます。会社の対応を紹介することは、情報管理上の責任や利用者の不安を小さく扱うことではありません。

JBJの見解

書類数と人数を同じ数字として広げると、影響範囲を誤る

履歴書や職務経歴書は、連絡先、学歴、職歴などを含む可能性がありますが、今回の各書類に何が含まれていたかは公表されていません。一般的な書類の内容から、対象者全員の情報項目を推測して断定することはできません。

一方、具体的な情報項目が未公表だから問題が軽いとも言えません。会社には、対象者数、通知方法、調査結果、再発防止を分かりやすく更新する責任があります。読者側は未確認部分を保留しながら、公式通知や不審な連絡を注意して確認できます。

JBJの見解

対象となる可能性がある利用者が最初に残す記録

履歴書や職務経歴書を登録したことがある場合は、登録時期、ファイル名、更新・削除の履歴、ココナラから届いた公式通知と受信日時を保存してください。書類そのものをSNSへ掲載すると、確認のために個人情報を自ら広げるおそれがあります。

不審なメールやSMSを受け取った場合は、本文中のリンクを開かず、送信元、受信時刻、表示されたURL、要求された内容を記録します。パスワードを使い回している場合は、ココナラの公式サイトへ自分でアクセスし、ほかのサービスも含めて変更を検討してください。

• 資料 01株式会社ココナラ：不正アクセスによる個人情報漏えいに関するお詫びとお知らせ
• 資料 02独立行政法人情報処理推進機構 IPA：不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について

JBJの見解

会社の説明を検証しながら、対象者への二次被害を防ぐ

不正アクセスと書類の持ち出しは、対象者に不安と確認作業を生じさせた重大な事案です。責任や対策を問う批判には根拠があります。同時に、確認されていない情報項目や被害人数を断定したり、担当者個人を攻撃したりすることは、事実確認にも被害防止にもつながりません。

JBJは、書類件数、対象外とされた情報、確認されていない二次被害、未公表の実人数を分けて扱います。今後、個別通知の完了や第三者調査の結果が公表された場合は、初報の日時と内容を残したまま更新します。