paiza開発環境90万2576件アクセス可能と流出確認を分ける

資料で確認できること

2013年から2026年8月13日まで、退職者等が外部からアクセスできる状態

paizaは、開発用ステージング環境で認証管理上の不備があり、過去に権限を持っていた退職者等が外部からアクセスできる状態だったと説明しました。対象期間は環境を構築した2013年から、アクセス制限を完了した2026年8月13日までです。

発覚の契機は2026年7月17日の行政機関からの照会でした。同社は同日に緊急調査を始め、8月12日に緊急措置、翌13日に環境の遮断とアクセス制御の強化を実施したとしています。発覚日、公表日、アクセス可能期間を分けて確認する必要があります。

• 資料 01paiza株式会社：【重要】開発用ステージング環境における個人情報漏えいのおそれに関するご報告とお詫び

当事者の説明

主要5項目はマスク説明、一部期間のメールや取引先情報などは対象

同社は本番データを複製する際、氏名、住所、電話番号、メインのメールアドレス、パスワードをマスク処理していたと説明しています。一方、固定文字列の認証パスワードで運用され、一部項目にはマスク処理が実施されていない期間があったと認めました。

対象として列挙されたのは、ユーザーID、GitHub ID、ニックネーム、学籍番号、属性・学習実績、応募履歴、求人希望、通知設定、期間限定のサブメールアドレス、法人担当者情報などです。項目ごとに保持期間が異なり、全件に全項目が含まれるという説明ではありません。

• 資料 01paiza株式会社：【重要】開発用ステージング環境における個人情報漏えいのおそれに関するご報告とお詫び

当事者の説明

90万2576件はアクセス可能だった最大件数、流出確認件数ではない

公式発表は、アクセスされ得る状態にあった個人データの最大件数を90万2576件としています。この数字は、第三者が実際に閲覧・取得したことをログ等で確認した件数でも、同数の人に被害が発生した人数でもありません。

同社は11月13日時点で、具体的に外部へデータが流出した事実、情報の悪用、本件に起因する二次被害報告は確認していないと説明しています。未確認という現在地を、流出が起きなかったとの確定や、管理上の問題が軽いとの評価へ置き換えることはできません。

• 資料 01paiza株式会社：【重要】開発用ステージング環境における個人情報漏えいのおそれに関するご報告とお詫び

当事者の説明

固定した認証情報と権限運用を原因とし、制限強化と個別通知を実施

同社は、ベーシック認証等の認証情報を変えず長期間運用したため、退職者等からアクセスされ得る状態が続いたとし、不適切な認証情報管理と権限運用を原因に挙げました。退職時の秘密保持誓約があることと、技術的にアクセスできた状態の是正は別の論点です。

再発防止として内部専用経路への切替、退職時の権限削除、テストデータのマスク基準再検証、管理マニュアル改訂、外部専門機関を使った定期診断を挙げています。連絡先を把握する対象者にはメールで個別案内を送ったとしていますが、不達の可能性も記載しています。

• 資料 01paiza株式会社：【重要】開発用ステージング環境における個人情報漏えいのおそれに関するご報告とお詫び

未確認の点

実際のアクセス主体・件数、個人別項目、ログ解析結果は未確認

2026年11月14日の確認時点で、退職者等による実際のアクセスの有無・日時・操作、閲覧や取得があったデータ、90万2576件に対応する固有人数、対象者ごとの項目、ログの保存範囲は、公表資料だけでは確定できません。

行政機関の照会内容、7月の発覚から11月の公表までに行った調査の全容、外部専門機関の診断結果、個別通知の到達数も示されていません。JBJはステージング環境、認証情報、アクセスログ、通知先を独立確認していません。

• 資料 01paiza株式会社：【重要】開発用ステージング環境における個人情報漏えいのおそれに関するご報告とお詫び

確認の範囲

このコラムの確認範囲

本稿は2026年11月14日に、paizaの11月13日付公式発表とIPAの10月26日付一般向け案内を確認しました。JBJは同社、対象者、退職者、行政機関、調査機関へ直接取材しておらず、環境、データ、認証情報、アクセスログ、個別被害を独立確認していません。掲載画像は説明用イメージです。

• 資料 01paiza株式会社：【重要】開発用ステージング環境における個人情報漏えいのおそれに関するご報告とお詫び
• 資料 02独立行政法人情報処理推進機構（IPA）：自分の個人情報等が漏えいした際の『対処』と『日頃の対策』

JBJの見解

対象者は登録時期・利用機能・通知を照合し、届いたリンクを起点にしない

利用経験がある人は、登録・利用時期、学校や法人経由の利用、GitHub等の連携、応募・学習履歴、paizaからの通知を分けて確認してください。マスク済みとされた主要項目だけを見て、別の属性・履歴・連絡先が対象になり得る点を落とさないことが必要です。

IPAは、漏えいした可能性のある情報の種類を公式案内で確認し、不審な連絡のリンクを開かず、正規サイトや窓口から照合するよう案内しています。今回の発表はパスワード自体を対象外と説明していますが、使い回しや不審なログインは別に点検できます。

• 資料 01paiza株式会社：【重要】開発用ステージング環境における個人情報漏えいのおそれに関するご報告とお詫び
• 資料 02独立行政法人情報処理推進機構（IPA）：自分の個人情報等が漏えいした際の『対処』と『日頃の対策』