CINRA JOBの不正アクセス｜2万1,508名の最終報告と利用者が確かめること 2026

2026年10月20日

＠SOHO編集部

この記事のポイント

✓CINRA JOBの不正アクセスについて
✓株式会社cinraが2026年10月6日に出した最終報告をもとに
✓対象の2万1,508名

クリエイティブ職の求人サービス「CINRA JOB」への不正アクセスについて、運営する株式会社cinraは2026年10月6日に最終報告を出し、会員登録をした21,508名（退会した人を含む）の氏名、生年月日、住所、電話番号、メールアドレス、学歴、職歴、応募履歴などが漏えいした可能性を「完全に否定することはできない」と発表しました。データベースを第三者が閲覧・取得した事実は確認されていませんが、閲覧がなかったと確かめられる記録が残っていないため、漏えいのおそれがあるものとして扱われています。利用者がまずすることは、CINRA JOBや株式会社cinraを名乗るメール・電話・SMSに応じないこと、そしてパスワードや口座番号を求める連絡が来たら、その場で答えず公式の窓口に確かめることです。

この記事では、2026年10月20日時点で株式会社cinraの公式サイトに掲載されている第一報と最終報告の内容をもとに、何が起きたのか、自分が対象かどうか、そして求人サービスの情報が漏れたときに具体的に何をすればよいかを順に説明します。転職活動中の人、フリーランスとして仕事を探すためにCINRA JOBに登録した人、すでに退会した人のどれにも関係する内容です。

CINRA JOBの不正アクセスで何が起きたか（2026年10月20日時点）

CINRA JOBは、デザイン、Web、編集、映像などのクリエイティブ職に特化した求人サービスです。登録した会員は、氏名や連絡先に加えて、学歴、職歴、希望職種、希望給与、スキル、志望動機などを入力し、求人に応募します。転職サイトの会員情報は、ふつうのネット通販の会員情報よりも中身が濃く、その人の経歴や働き方の希望までがひとまとまりになっています。

株式会社cinraの発表によると、2026年8月18日に、CINRA JOBのシステム環境（クラウドサービス）で同社が管理していた認証情報が第三者に取得され、不正にアクセスされていることを確認しました。認証情報とは、システムに入るための鍵にあたるIDやパスワード、アクセス用のキーのことです。この鍵を使うと、会員情報を保管するデータベースとそのバックアップにアクセスできる状態でした。

ここで押さえておきたいのは、発表の言葉の使い分けです。株式会社cinraは「漏えいした」とは書いておらず、「漏えいしたおそれ」「漏えいした可能性を完全に否定することはできない」と書いています。外部の専門機関による調査では、第三者がデータベースを閲覧・取得した事実は確認されませんでした。一方で、閲覧・取得がなかったことを確かめられるだけの記録（アクセスの履歴）が存在しないため、可能性を否定できないという結論です。

つまり「盗まれたと確定した」わけでも「盗まれていないと確定した」わけでもありません。利用者の側から見ると、盗まれたものとして身構えておくのが安全な状況です。2026年10月6日の最終報告の時点で、個人情報の不正利用や二次被害は確認されていないと発表されています。二次被害とは、漏れた情報を使った詐欺や、なりすましの連絡などで、元の漏えいとは別に起きる被害のことです。

件数は21,508名です。これはCINRA JOBに会員登録をした人の数で、すでに退会した人も含まれます。最終報告にこの数が明記されています。数年前に一度だけ登録して、その後は使っていないという人も対象に入っている可能性があります。

公表の経緯：第一報（8月27日）と最終報告（10月6日）

株式会社cinraは、この件について公式サイトのお知らせに2本の文書を出しています。日付と、それぞれの時点で分かったことを並べると次のとおりです。

日付	出来事・発表	その時点で分かったこと
2026年8月18日	不正アクセスを確認	同社が管理する認証情報が第三者に取得され、クラウド上のシステム環境に不正アクセスされていた。同日中に認証情報を無効化して遮断
2026年8月27日	第一報を公表	会員情報のデータベースとバックアップにアクセスできる状態だった。閲覧・取得の事実は未確認だが、記録がないため漏えいのおそれとして公表
2026年10月6日	最終報告を公表	外部専門機関と社内の調査が完了。原因はプログラムの脆弱性を悪用して取得された認証情報。対象は21,508名。サーバーへの侵入は確認されず

第一報では、対象者の人数は示されず、「CINRA JOBに会員登録をされた方（過去に会員登録され、現在は退会されている方を含みます）」という範囲だけが書かれていました。あわせて、個人情報保護委員会への報告と警察への相談を行ったこと、外部専門機関による調査を予定していることが発表されています。

最終報告では、調査が完了したこと、人数が21,508名であること、原因がプログラムの脆弱性を悪用して取得された認証情報だったことが新たに示されました。同社が管理するサーバーへの侵入は確認されていないことも書き添えられています。

第一報が出たのは、不正アクセスを確認してから9日後でした。最終報告はそこからさらに約6週間後です。2026年10月20日時点で、最終報告より新しい続報は公式サイトのお知らせ一覧に掲載されていません。最終報告という題名のとおり、今後この件で大きな追加の発表が出る予定は示されていません。

最終報告の要点となる部分を、公式の文面のまま引用します。

会員情報を保管するデータベースおよびそのバックアップについて、第三者が閲覧・取得した事実は確認されておりません。しかしながら、閲覧・取得がなかったことを確認するに足る記録が存在しないため、個人情報が外部に漏えいした可能性を完全に否定することはできないとの結論に至っております。出典: cinra.co.jp

第一報の全文は、株式会社cinraの第一報のページで読めます。経緯の細かい説明や、当時の窓口の電話番号は第一報のほうに載っています。

漏えいのおそれがある項目と、含まれない項目

漏えいのおそれがある項目は、第一報と最終報告で書き方が少し違います。第一報のほうが細かく列挙しているので、両方を並べて整理します。

区分	項目	根拠
漏えいのおそれがある	氏名、フリガナ、生年月日、性別、住所、電話番号、メールアドレス	第一報・最終報告
漏えいのおそれがある	WebサイトURL、学歴、職歴、希望条件（希望職種・希望給与など）	第一報（最終報告は学歴・職歴・希望条件を記載）
漏えいのおそれがある	スキル・資格、志望動機・自己PR、応募履歴、その他応募時に入力した情報	第一報（最終報告は「応募履歴等、会員登録および応募の際にご入力いただいた情報」）
含まれない（保有していない）	クレジットカード番号などの決済に関する情報	第一報・最終報告

この表から読み取れることは2つあります。

1つ目は、クレジットカード番号はもともとCINRA JOBが持っていない、という点です。求人サービスは会員が無料で使う形が多く、決済の情報を預かる場面がほとんどありません。カードの不正利用を心配して、すぐにカードを止める必要はこの件に限っては薄いと言えます。

2つ目は、パスワードについての記載がない点です。第一報と最終報告のどちらも、漏えいのおそれがある項目にログイン用のパスワードを挙げていません。「パスワードは含まれない」とも明記されていないため、ここは公式の発表に書かれていない部分です。CINRA JOBで使っていたのと同じパスワードを他のサービスでも使っている場合は、念のため変えておくと安心です。理由は後半の「利用者がすること」で説明します。

もう1つ注意したいのは、WebサイトURLと自己PRの欄です。クリエイターやフリーランスは、ポートフォリオサイトのURL、制作実績、過去の取引先名を自己PRに書くことがよくあります。そうした内容も「応募時にご入力いただいた情報」に含まれます。自分が何を書いたかを思い出しておくと、後で不審な連絡が来たときに「なぜこの相手が自分の実績を知っているのか」に気づきやすくなります。

原因：プログラムの脆弱性と、取得された認証情報

最終報告は、原因を次のように説明しています。「プログラムの脆弱性を悪用して取得された当社の認証情報を利用した、第三者による不正アクセスが確認されました」。

言葉を1つずつ言い換えます。脆弱性とは、プログラムの作りに残っていた弱点のことで、本来は外から見えないはずの情報が、特定の操作をすると見えてしまうような穴を指します。認証情報は、前に述べたとおりシステムに入るための鍵です。第一報では「認証情報が外部から取得可能となっていた原因箇所」という表現が使われています。

つまり、プログラムの弱点を突かれてシステムの鍵が外から読み取られ、その鍵を使ってクラウド上のシステム環境に入られた、という流れです。どのプログラムのどの部分に弱点があったのか、鍵がどこに保存されていたのかといった技術的な詳細は、公式の発表には書かれていません。

最終報告は、同社が管理するサーバーへの侵入は確認されていないとも書いています。クラウドサービスを使うシステムでは、会社が自分で管理するサーバーと、クラウド事業者の設備の上に置いたデータベースや保存領域が分かれていることがあります。今回は、鍵を使ってクラウド側の環境にアクセスされたものの、会社が管理するサーバーそのものに入り込まれた形跡はなかった、という意味に読めます。

原因が「記録がないので否定できない」という結論になった背景には、アクセスの履歴をどこまで残していたかという問題があります。データベースに誰がいつアクセスしたかの記録を細かく残しておけば、取得の有無を後から確かめられます。今回はその記録が十分に残っていなかったため、可能性を否定できない形になりました。最終報告が再発防止策の1つに「監視およびアラート体制の強化」を挙げているのは、この点に対応するものと考えられます。

株式会社cinraの対応と再発防止策

公式の発表に書かれている対応を、時期ごとに整理します。発表に書かれていない対応（たとえば補償の内容）は、この記事では取り上げません。

不正アクセスを確認した8月18日当日に行ったこととして、第一報と最終報告に次の対応が書かれています。

認証情報を無効化し、不正アクセスを遮断した
関連する権限を削除し、不正に利用されたクラウドサービスの利用を停止した
認証情報が外部から取得できる状態になっていた原因の箇所を修正した

第一報の時点までに行ったこととして、個人情報保護委員会への報告と、警察への相談が挙げられています。個人情報保護委員会は、個人情報の扱いを監督する国の機関で、一定の条件にあてはまる漏えいが起きた会社は、ここへ報告することが法律で決まっています。

最終報告では、今後も続ける再発防止策として次の5つが示されています。

原因となったプログラムの修正
監視およびアラート体制の強化
認証情報と個人情報の扱いに関するルールの見直しと運用の徹底
定期的な脆弱性診断などを含む監査の実施
従業員に対する情報セキュリティ教育の実施

利用者への連絡について、第一報には「調査が完了次第、あらためてご登録のメールアドレスおよび本ページにてお知らせする」「現在会員登録をされている皆様には、ご登録のメールアドレス宛にもご連絡いたします」と書かれています。最終報告にはお詫びの文はありますが、金銭の補償やポイントの付与などについての記載はありません。

自分が対象かを確かめる方法

対象は「CINRA JOBに会員登録をした人」で、退会した人も含まれます。応募をしたかどうかに関係なく、会員登録をしていれば対象に入ると読めます。確かめる方法は次の3つです。

1つ目は、会社からのメールを探すことです。第一報では、調査完了後に登録メールアドレスへ知らせると書かれていました。CINRA JOBに登録したメールアドレスの受信箱で「CINRA JOB」「cinra」「不正アクセス」「個人情報」といった語で検索してみてください。迷惑メールのフォルダに振り分けられていることもあります。

2つ目は、自分の登録の記録を探すことです。CINRA JOBに登録したときの「会員登録完了」のメールや、応募したときの確認メールが残っていれば、登録していたことの確認になります。複数のメールアドレスを使い分けている人は、仕事用と私用の両方を探します。登録した覚えがはっきりしないときも、過去のメールで確かめられます。

3つ目は、公式の窓口に問い合わせることです。後の「問い合わせ窓口」の節に載せた専用のメールアドレスに、登録していたかどうかを確かめたい旨を送れます。そのとき、メールに書く情報は必要最小限にします。登録に使ったメールアドレスから送れば、それだけで照合の手がかりになります。

ここで1つ気をつけたいのは、「あなたは対象です。確認のためこちらへ」というメールが来たときです。会社からの本物の連絡なら、送信元のドメイン（メールアドレスの@より後ろ）が会社のものになっています。リンクを開く前に、送信元のアドレスと、リンク先のアドレスが公式のものかを確かめてください。少しでも迷ったら、メールのリンクは使わず、自分で検索して公式サイトを開き、そこに載っている窓口に問い合わせます。

利用者がすること：偽の連絡を見分け、パスワードを見直す

漏れたおそれがある項目は、連絡先と経歴です。カード番号は含まれていません。このため、利用者がまず備えるべきなのは、漏れた情報を使って本物らしく作られた連絡です。株式会社cinraも、第一報と最終報告の両方で、同社を装った不審なメール・電話・SMSへの注意を呼びかけています。

第一報には次の一文があります。「弊社がCINRA JOBに関して、パスワード、金融機関の口座情報、クレジットカード情報等をお尋ねすることはありません」。これがいちばん分かりやすい見分け方です。CINRA JOBを名乗ってこれらを聞いてくる連絡は、それだけで偽物と判断できます。

求人サービスの情報が悪用されるときに考えられる連絡の形を、場面ごとに挙げます。

「スカウトのご連絡」と称して、職歴や希望職種に合った仕事を持ちかけ、登録料や教材費の振り込みを求める
「面接日程の確認」として電話をかけ、本人確認のためと称して口座番号やマイナンバーカードの画像を求める
「お詫びの品の送付先確認」として、住所や電話番号の再入力をSMSのリンクから求める
「アカウントの安全確認」として、ログイン画面に似せた偽のページへ誘導し、パスワードを入力させる

どれも、漏れたかもしれない名前、職歴、希望職種を文面に入れることで、本物らしく見せることができます。名前や経歴が正しく書かれていても、それだけで本物と判断しないことが大切です。

パスワードについては、前に書いたとおり、公式の発表に漏えいの項目として挙がっていません。それでも、CINRA JOBで使っていたパスワードを他のサービスでも使っているなら、そちらは別のパスワードに変えておくのが安全です。理由は、パスワードの使い回しがあると、1つのサービスから漏れたときに、同じメールアドレスとパスワードの組み合わせで他のサービスにもログインされてしまうからです。この手口はリスト型攻撃と呼ばれます。特に、メールアカウント、クラウドストレージ、ネット銀行、仕事で使うチャットのように、入られると被害が大きいサービスから先に変えます。

二段階認証も設定しておきます。二段階認証とは、パスワードに加えて、スマートフォンに届く確認コードや認証アプリの番号を入力しないとログインできないようにする仕組みです。パスワードが知られても、手元のスマートフォンがなければ入れないため、被害を大きく減らせます。設定の方法は各サービスのヘルプに載っています。認証の仕組みの違いや選び方は、MFA（多要素認証）導入のメリットと製品比較｜2026年の認証セキュリティ決定版で詳しく説明しています。

自分のメールアドレスが他の漏えい事件にも含まれていないかを調べたいときは、海外の無料サービスで確かめる方法があります。手順はHave I Been Pwnedの使い方｜メールアドレスとパスワードの漏洩を確認する方法と、大手クラウドの過去の漏洩にまとめています。住所が漏れたかもしれないときに気をつけることは、個人情報が流出して住所が漏れたときの対応｜起きることと防ぎ方の順番で扱っています。

漏れたおそれがある項目ごとに、起きうることと備え

漏えいのおそれがある項目は多いものの、それぞれで起きうることと、備える方法は違います。項目ごとに整理しておくと、何から手を付ければよいかがはっきりします。

項目	悪用されたときに起きうること	備え
メールアドレス	会社や求人企業を名乗る偽のメール、偽のログイン画面への誘導	送信元のドメインを見る。メールのリンクからログインしない
電話番号	面接や確認を装った電話、偽のSMS	その場で答えず、公式の番号に掛け直す
住所	「お詫びの品」などを装った郵便物、訪問	心当たりのない郵便物の振込依頼に応じない
氏名・生年月日	他の情報と組み合わせた本人確認の突破、なりすまし	生年月日を暗証番号やパスワードに使っていれば変える
職歴・希望条件・自己PR	経歴に合わせたスカウトを装う勧誘、登録料を求める偽の求人	先にお金を払わせる仕事の話には応じない

この中で見落としやすいのが生年月日です。銀行のキャッシュカードの暗証番号や、スマートフォンのロック番号、各種サービスのパスワードに生年月日を使っている人は少なくありません。今回、生年月日が氏名や住所と一緒に漏れたおそれがあるため、生年月日をもとにした番号を使っているなら、別の番号に変えておくと安全です。

職歴や希望条件を使った勧誘は、仕事を探している最中の人ほど引っかかりやすい形です。「あなたの経歴を拝見して、特別な案件をご紹介したい」と言われると、本物のスカウトとの区別がつきにくくなります。仕事を紹介する前に登録料、研修費、教材費を求める話は、相手が誰であっても慎重に扱ってください。

不審な連絡が来たときの対応の手順

実際に「これは怪しい」と感じる連絡が来たときに、どう動けばよいかを順番に書きます。

その場で答えない。電話なら「こちらから掛け直します」と言って切る。メールやSMSなら、リンクを開かず、添付ファイルも開かない
公式の窓口を自分で調べる。メールの署名や電話で言われた番号ではなく、検索して開いた公式サイトに載っている連絡先を使う
公式の窓口に、その連絡が本物かどうかを問い合わせる
すでにリンクを開いてパスワードを入力してしまったときは、すぐにそのサービスのパスワードを変え、同じパスワードを使っている他のサービスも変える
口座番号やカード番号を伝えてしまったときは、すぐに銀行やカード会社に連絡し、利用の停止や再発行を相談する
お金を払ってしまった、脅すような連絡が続くといったときは、警察や消費生活センターに相談する

消費生活センターには、全国共通の電話番号「188」（消費者ホットライン）でつながります。近くの消費生活センターや相談窓口を案内してもらえる番号です。詳しくは消費者庁の消費者ホットラインのページに載っています。ウイルスや不正アクセスについての技術的な相談は、情報処理推進機構（IPA）の情報セキュリティ安心相談窓口で受け付けています。

このとき、受け取った怪しいメールや、着信の日時、相手が名乗った名前を消さずに残しておきます。相談するときに状況を正確に伝えられるうえ、同じ相手から別の連絡が来たときにも見分けがつきます。

問い合わせ窓口

株式会社cinraがこの件で公表している窓口は次のとおりです。第一報と最終報告で載っている内容が違うので、分けて書きます。

発表	窓口の名称	連絡先	受付時間
最終報告（2026年10月6日）	CINRA, Inc. CINRA JOB お問い合わせ窓口	メール [email protected]	記載なし
第一報（2026年8月27日）	CINRA, Inc. CINRA JOB お問い合わせ窓口	メール [email protected]、専用ダイヤル 03-6555-6272	平日10:00〜18:00（土日祝日を除く）

最終報告には、メールアドレスだけが窓口として載っています。第一報に載っていた専用ダイヤルが今も受け付けているかどうかは、最終報告には書かれていません。電話で問い合わせたいときは、つながらない可能性もあると考えて、まずメールで問い合わせるのが確実です。

問い合わせのメールには、件名に「CINRA JOB 不正アクセスの件」などと分かるように書き、本文には登録していたメールアドレスと、確かめたいこと（対象かどうか、退会済みの場合の扱いなど）を書きます。パスワードや本人確認書類を送る必要はありません。会社の側から、それらを求めることはないと第一報に書かれています。

在宅で仕事をする人が気をつけること

CINRA JOBの会員には、会社員として転職先を探している人だけでなく、フリーランスや在宅で仕事を受けている人も含まれていると考えられます。クリエイティブ職は業務委託の求人も多く、仕事を探す道具の1つとして登録している人がいるからです。そうした人が気をつけたい点が2つあります。

1つ目は、自己PRや職歴の欄に、取引先の情報を書いていないかを振り返ることです。「〇〇株式会社のWebサイトのリニューアルを担当」「△△社の広告バナーを月20本制作」のように、取引先の社名や案件の内容を具体的に書いていた場合、それも漏えいのおそれがある情報に含まれます。

ここで取引先に知らせる必要があるかどうかを考えます。個人情報保護委員会のページによると、個人データの漏えい（またはそのおそれ）について会社が委員会に報告し、本人に知らせる義務を負うのは、要配慮個人情報が含まれる場合、財産的な被害が生じるおそれがある場合、不正の目的による行為が原因の場合、本人の数が1,000人を超える場合などです。今回、その義務を負うのは個人データを管理していた株式会社cinraの側で、会員一人ひとりではありません。

ただし、取引先との間に秘密保持の約束（NDA）がある場合は話が別です。NDAとは、仕事で知った情報を外に出さないと約束する契約のことです。公開されていない案件の内容や、取引先の担当者の名前と連絡先を職歴に書いていた場合は、契約の内容によっては取引先に伝えたほうがよいこともあります。契約書を見直し、判断に迷うときは取引先の担当者に事実を伝えて相談するのが誠実な対応です。法的な扱いは契約の中身で変わるため、必要なら弁護士などの専門家に確かめてください。

2つ目は、仕事用のメールアドレスとパスワードの扱いです。仕事用のアドレスでCINRA JOBに登録していた場合、そのアドレスに届く偽の連絡は、取引先とのやりとりに紛れ込みやすくなります。「請求書の送付先が変わりました」「納品データの確認はこちら」のように、仕事の文脈に合わせた偽のメールが届くこともあります。取引先からの振込先の変更や、見慣れないファイル共有のリンクは、電話など別の手段で本人に確かめる習慣をつけておくと安全です。偽のメールの見分け方を練習する方法は、社員のセキュリティ意識を向上させるフィッシングメール模擬訓練の効果で紹介しています。

求人サービスを使うときに、預ける情報を見直す

今回の件をきっかけに、求人サービスに預けている情報そのものを見直しておくと、次に同じようなことが起きたときの影響を小さくできます。具体的には次のような点です。

使っていない求人サービスは退会する。ただし、今回のように退会した人の情報が残っている例もあるため、退会の前に、自分で消せる項目（自己PR、ポートフォリオのURL、職歴の細かい記述）を消しておく
自己PRや職歴に、公開されていない案件の内容や取引先の担当者名を書かない。実績は公開済みの範囲で書く
求人サービス用のメールアドレスを分ける。仕事の連絡用とは別のアドレスにしておけば、偽の連絡が仕事のやりとりに紛れにくい
パスワードはサービスごとに変え、パスワード管理アプリで管理する

退会すればすぐにすべての情報が消えるとは限らない、という点は覚えておきたいところです。今回の対象に「現在は退会されている方」が含まれているのは、退会後も一定期間、記録が残っていたことを示しています。どのくらいの期間残すかは、各サービスのプライバシーポリシーに書かれています。気になる人は、登録しているサービスのプライバシーポリシーで、退会後の情報の扱いを確かめておくとよいでしょう。

求人サービスの情報管理を、仕事を探す側から見る

今回の件は、求人サービスの会員情報がどれだけ多くの内容を含んでいるかを改めて示しました。氏名や連絡先だけでなく、学歴、職歴、希望給与、志望動機までが1か所に集まっています。仕事を探す人にとっては、それだけ多くを預けているということです。

フリーランスと在宅ワークの仲介を2004年から続けてきた@SOHOの運営の中で見てきた限りでは、長く仕事を続けている人ほど、どの場所に何を預けているかを自分で把握しています。使っていないサービスの登録を整理し、仕事用と私用のアカウントを分け、取引先の情報を不用意に外へ書かない。こうした地道な習慣は、漏えいが起きたときの影響を小さくするだけでなく、取引先から「この人に資料を渡して大丈夫か」と見られたときの信頼にもつながります。

セキュリティの知識は、それ自体が仕事にもなります。企業の情報セキュリティ対策や、生成AIの社内導入に合わせたルール作りを支える仕事の内容は、AI・マーケティング・セキュリティのお仕事で紹介しています。取引先への報告文や社内向けの手順書を書く力を形にしたい人には、ビジネス文書の作成能力を認定するビジネス文書検定が参考になります。クリエイティブ職の働き方と単価の目安を知りたい人は、デザイナーの年収・単価相場も合わせて読んでみてください。