スキマバイトアプリ「シェアフル」を運営するシェアフルは2026年11月9日、同アプリの社内管理システムが第三者による不正アクセスを受け、利用者の個人情報と求人企業の法人情報が外部に流出した可能性があると発表した。対象は最大で約750万件の個人アカウントと約7,500社で、個人情報には氏名や住所に加え、給与振込用の銀行口座情報や顔写真の保管先URL、在留資格に関する情報も含まれる。
不正アクセスから約14時間半で遮断
同社によると、2026年11月4日23時30分ごろ、社内の管理システムに外部の第三者が不正アクセスし、情報が外部へ流出した可能性がある。翌5日9時45分ごろに判明し、同日14時までに不正アクセスの経路を遮断した。11月6日から8日にかけて被害範囲の特定を進めるとともに二次被害の防止策に取り組み、さらなる情報流出の可能性がないことを確認したとしている。
侵入の手口や原因は公表されておらず、同社は外部の専門調査機関と連携して原因の究明を続けている。個人情報保護委員会への届け出・報告の手続きを進めており、警察にも通報した。現在は経路を遮断したうえで、通常どおりサービスを提供している。
流出した可能性がある情報
個人アカウント（最大約750万件）について、同社は次の情報を挙げている。
- 氏名・氏名カナ、電話番号、メールアドレス、住所、生年月日
- 給与振込用の銀行口座情報（暗証番号やパスワードは含まれない）
- 顔写真のURL（顔写真を保管しているサーバーの場所を示すもの）
- 緊急連絡先（利用者との関係と電話番号）、在留資格に関する情報、登録日や就業回数などのアカウント属性情報
顔写真のデータそのものは別のサーバーで管理しており、そのサーバーへのアクセスも遮断したという。求人企業（最大約7,500社）については、会社名や住所、担当者の氏名・部署名・役職・メールアドレス・電話番号、営業管理データの一部が対象となる。
給与・ポイント情報、契約・就業データ、運転免許証などの本人確認書類の画像は、不正アクセスを受けたデータに含まれていないことを確認したとしている。マイナンバーとクレジットカード情報は、もともと取得・保持していない。
口座情報や緊急連絡先を悪用した詐欺に注意
今回の対象には、氏名や住所に加えて給与振込用の口座情報や、家族などの緊急連絡先まで含まれている。これらがそろうと、本人や家族に対して、給与の支払いや手続きを装ってさらに情報を聞き出そうとする詐欺に使われるおそれがある。同社も、シェアフルや関係機関を装ったメール・SMS（携帯電話の番号あてに送るショートメッセージ）・電話に注意するよう呼びかけており、銀行口座の暗証番号やパスワードを尋ねることはないとしている。
求人企業側も、担当者の名前や部署、連絡先が対象に含まれている。シェアフルを利用している企業は、同社やスキマバイト事業者を装った請求や手続きの連絡が届いた場合に備え、社内で確認の手順を共有しておきたい。
同じ手口に、自社は備えられていますか？