スタディサプリの情報漏洩｜3,687件の中身と偽メールの見分け方 2026

2026年10月20日

＠SOHO編集部

この記事のポイント

✓スタディサプリの情報漏洩について
✓2026年10月3日のリクルートの公式発表をもとに
✓3,687件のメールアドレスが登録を特定された可能性の中身

株式会社リクルートは2026年10月3日、学習サービス「スタディサプリ」（小学講座、中学講座、高校講座・大学受験講座）で、9月30日に第三者による不適切な操作があり、3,687件のメールアドレスについてスタディサプリに登録されているメールアドレスであることを特定された可能性があると発表しました。氏名、パスワード、決済情報など、メールアドレス以外の個人情報の外部への流出は確認されておらず、アカウントへの不正ログインや二次被害も確認されていないとしています。利用者がまずすることは、スタディサプリやリクルートを装ったメールのURLを開かずパスワードや認証コードを入力しないことと、スタディサプリには公式サイトか公式アプリから入ることの2つです。

この記事では、2026年10月20日時点のリクルートの公式発表だけをもとに、公表の経緯、何が知られた可能性があるのか、含まれない項目、原因、会社の対応、自分が対象かどうかの確かめ方、そして今日やることを順に整理します。今回は「名前や住所が漏れた」のではなく、「そのメールアドレスがスタディサプリの利用者のものだと知られた可能性がある」という件です。この違いが、やるべきことを決めるので、そこから丁寧に説明します。スタディサプリは10月15日にも別の件を公表しているので、その違いにも触れます。

スタディサプリの情報漏洩で何が起きたのか（2026年10月20日時点）

最初に、公式発表で確かめられた事実を短く並べます。

項目	公式発表の内容
会社	株式会社リクルート
サービス	スタディサプリ（小学講座、中学講座、高校講座・大学受験講座）
公表日	2026年10月3日
起きた日	2026年9月30日
件数	3,687件
知られた可能性があること	そのメールアドレスがスタディサプリに登録されているメールアドレスであること
流出が確認されていないもの	氏名、パスワード、決済情報など、メールアドレス以外の個人情報
原因	システムの一部機能における仕様の不備を突いた第三者の不正アクセス
不正ログイン・二次被害	現時点で確認されていない

件数の3,687件は、人数ではなくメールアドレスの件数です。発表は「特定された可能性がございます」という表現で、確実に知られたと断定しているわけではありません。対象は、個人で契約している講座の利用者だけでなく、学校や自治体を通じて使っている利用者にも及びうるもので、リクルートは学校・自治体にも、該当の利用者がいる場合は個別に連絡したとしています。

公表の経緯：9月30日に判明し、10月3日に公表

スタディサプリの重要なお知らせのページを2026年10月20日に確かめたところ、この件についての発表は10月3日付の1本で、続報や訂正は出ていませんでした。発表の中に書かれた日付を起きた順に並べると、次のようになります。

日付	出来事
2026年9月30日	第三者による不適切な操作で、特定のメールアドレスが登録されているかどうかを確認された可能性が判明。同日中に当該機能を改修し、同じ手法で確認できないよう修正
2026年10月3日	公表。メールアドレスが特定された可能性のある人への個別連絡、問い合わせ窓口の設置

修正は9月30日の時点で完了しているとされています。発表時点で、メールアドレスが特定された可能性のある人には「順次個別にご連絡いたしました」と、すでに連絡を終えた形で書かれています。

スタディサプリの重要なお知らせのページには、10月15日付でもう1つ別の発表が出ています。こちらは学校向けサービスの「先生からのお知らせ」機能の件で、原因も対象も違います。後の節で詳しく比べます。

「登録されているかを確認された」とはどういうことか

今回の件の中心は、次の一文です。

スタディサプリ（対象：小学講座／中学講座／高校講座・大学受験講座）において、2026年9月30日、第三者による不適切な操作により、特定のメールアドレスが当サービスに登録されているかどうかを確認された可能性があることが判明いたしました。その結果、3,687件のメールアドレスについて、スタディサプリに登録されているメールアドレスであることを特定された可能性がございます。出典: studysapuri.jp

発表の表現からは、第三者が手元に持っていたメールアドレスについて、それがスタディサプリに登録されているかどうかを確かめた、と読めます。名簿の中身をスタディサプリから抜き出したのではなく、外から「このアドレスは使われているか」を1件ずつ照らし合わせた形です。

一般に、ウェブサービスの中には、会員登録やパスワードの再設定の画面で、入力したアドレスが登録済みかどうかによって表示が変わるものがあります。この違いを大量に試すと、登録の有無が分かってしまいます。ただし、スタディサプリでどの機能がどう使われたのかは、発表には書かれていません。リクルートは原因を「システムの一部機能における仕様の不備を突いた第三者の不正アクセス」とだけ説明しています。

では、登録の有無を知られると何が困るのでしょうか。それは、「このアドレスの持ち主はスタディサプリの利用者だ」と分かった相手に、スタディサプリを装った偽のメールを送れることです。普通の偽メールは、相手が使っていないサービスを名乗ることも多く、受け取った人が「使っていないから偽物だ」と気づけます。利用者だと分かっている相手に送る偽メールは、受け取った人が本物と思い込みやすくなります。リクルートも、スタディサプリを騙ったフィッシングメールなどの二次被害が発生する可能性があると注意を呼びかけています。

知られた可能性がある項目と、含まれない項目

今回の件で、知られた可能性があるとされたのは1つだけです。

区分	項目
知られた可能性があること	そのメールアドレスがスタディサプリに登録されているメールアドレスであること（3,687件）

一方、流出が確認されていないと会社が明記したものは次のとおりです。

流出が確認されていないもの	公式発表の表現
氏名	メールアドレス以外の個人情報の当社から外部への流出は確認されていない
パスワード	同上
決済情報	同上
アカウントへの不正ログイン	本件に関連するご利用者アカウントへの不正ログインは確認されていない
二次被害	本件に起因する二次被害は確認されていない

ここで正確に理解しておきたいのは、メールアドレスそのものは、第三者がもともと持っていた可能性が高いということです。今回の件で新たに知られた可能性があるのは、「そのアドレスがスタディサプリで使われている」という事実です。氏名やパスワード、カード番号などは、今回の件ではスタディサプリから外へ出ていないとされています。

とはいえ、第三者がメールアドレスをどこから手に入れたのかは分かりません。別のサービスの漏えいで、メールアドレスとパスワードの組み合わせが出回っていることもあります。その組み合わせをスタディサプリでも使い回していると、登録の有無を知られたことと合わさって、ログインを試される危険が高まります。発表では不正ログインは確認されていないとされていますが、念のためパスワードを見直しておく意味はここにあります。

原因：仕様の不備を突いた第三者の不正アクセス

リクルートは原因を、「システムの一部機能における仕様の不備を突いた第三者の不正アクセス」と発表しています。仕様の不備とは、プログラムの書き間違いというより、機能の作り方そのものに、悪用できる余地があったという意味です。どの機能の、どの部分が問題だったのかは公表されていません。

発表本文では、同じ出来事を「第三者による不適切な操作」とも表現しています。リクルートは、本件発覚後ただちに当該機能を改修し、9月30日の時点ですでに同じ手法で確認できないよう修正を終えたとしています。手口の詳しい説明がないのは、同じ手口がほかで使われないようにするためと考えられますが、その理由も発表には書かれていません。原因の詳細は、現時点で公表されていない、と理解するのが正確です。

リクルートの対応

リクルートが発表した対応は次のとおりです。

対応	内容
機能の改修	発覚後ただちに当該機能を改修し、9月30日時点で同じ手法で確認できないよう修正
点検と監視	スタディサプリの緊急のセキュリティ点検を実施し、監視体制を強化
本人への連絡	メールアドレスが特定された可能性のある人に、順次個別に連絡
学校・自治体への連絡	該当の利用者がいる学校・自治体に個別に連絡。連絡のない学校・自治体は対象外
窓口	本件に関する問い合わせ窓口を設置

発表には、補償やお詫びの品についての記載はありません。個人情報保護委員会への報告についての記載も、この発表にはありません。発表に書かれていることだけを手がかりにして、自分のすることを決めるのが確実です。

ニュースサイトやSNSでは、件数や項目が発表と違う形で広まることがあります。たとえば「3,687人の個人情報が流出」と書かれていても、発表の表現は「3,687件のメールアドレスについて、登録されていることを特定された可能性」です。数字や項目を確かめるときは、スタディサプリの重要なお知らせのページを直接見てください。続報が出た場合も、同じページに載ります。

10月15日に公表された学校向けの件との違い

スタディサプリの重要なお知らせのページには、2026年10月15日付で「学校向けスタディサプリ『先生からのお知らせ』機能における情報漏えい」という発表も出ています。名前が似ているので混同しやすいのですが、別の件です。

比べる点	10月3日の件	10月15日の件
対象サービス	小学講座、中学講座、高校講座・大学受験講座	学校向けサービスの「先生からのお知らせ」機能
何が起きたか	メールアドレスが登録されているかを確認された可能性	数名の利用者が、本来閲覧する権限のない添付ファイルを閲覧できてしまった
原因	仕様の不備を突いた第三者の不正アクセス	閲覧権限の制御の不備。外部からの攻撃や第三者の不正アクセスではない
件数	メールアドレス3,687件	閲覧された添付ファイル483ファイル、送信元の学校139校
期間	2026年9月30日	2024年6月13日から2026年9月30日まで
連絡先	特定された可能性のある本人、該当する学校・自治体	送信元の学校

10月15日の件では、リクルートは閲覧した利用者がファイルを保存したり第三者に渡したりしていないことを確かめたとし、ファイルに個人情報が含まれている場合は学校や自治体と連携して対応するとしています。個別の連絡を受けていない学校は影響がないとされています。学校から何か連絡があった場合は、どちらの件の話なのかを確かめると、混乱を防げます。

自分が対象かを確かめる方法

自分が対象かどうかは、次の3つの手順で確かめます。

1. リクルートからの個別の連絡を探す

リクルートは、メールアドレスが特定された可能性のある人に、順次個別に連絡したとしています。スタディサプリに登録しているメールアドレスの受信箱を、「スタディサプリ」「リクルート」で検索してみてください。迷惑メールのフォルダに入っていることもあるので、そちらも見ておきます。家族の講座を保護者のアドレスで登録している場合は、保護者の受信箱を見てください。

2. 学校や自治体経由で使っている場合は、学校からの連絡を確かめる

学校や自治体を通じてスタディサプリを使っている場合、リクルートは該当の利用者がいる学校・自治体に個別に連絡したとしています。学校からの配布物やお知らせのメールに、この件についての案内がないかを確かめてください。個別の連絡を受けていない学校・自治体は対象に含まれていない、と発表に明記されています。

3. 連絡が本物かを確かめ、心当たりがあれば窓口に問い合わせる

連絡が届いたときは、本文のリンクから手続きせず、スタディサプリの公式サイトか公式アプリを自分で開いて確かめます。気になることがある場合は、後の節で紹介する窓口から問い合わせてください。

利用者がすること：偽メール、パスワード、子どものアカウント

今回の件で漏れた可能性があるのは「登録の有無」だけなので、カードの再発行などは必要ありません。やるべきことは、偽のメールに引っかからないことと、念のためのパスワードの見直しが中心です。

スタディサプリやリクルートを装った偽メールを見分ける

リクルートは、利用者に次の2点を呼びかけています。

スタディサプリやリクルートを装った不審なメールが届いた場合、記載されたURLにはアクセスせず、パスワードや認証コード等を入力しないでください。スタディサプリをご利用になる際は、公式サイトまたは公式アプリからアクセスしてください。出典: studysapuri.jp

フィッシングメールとは、実在する会社を名乗ったメールで偽のサイトに誘導し、パスワードやカード番号を入力させてだまし取る手口のことです。スタディサプリの利用者を狙う偽メールとしては、次のような形が考えられます。

「お支払い方法の更新が必要です。期限までに更新しないと講座が停止されます」と、カード情報を入力させる
「不正アクセスがあったため、パスワードの再設定が必要です」と、偽のログイン画面に誘導する
「今回の件のお詫びとして、無料期間を延長します。こちらから手続きしてください」と、ログインさせる
「お子さまの学習状況の確認」などを口実に、アプリではなくメールのリンクから開かせる

期限を切って急がせる、お詫びや特典を口実にする、という形は、偽メールによくある特徴です。今回の発表には、お詫びの品や特典についての記載はありません。そうした連絡が届いたら、まず疑ってかかるのが安全です。どのメールでも、本文のリンクは押さず、ふだん使っている公式アプリか、ブックマークした公式サイトから入って、同じ案内が出ているかを確かめてください。

届いたメールで確かめるところ

偽のメールかどうかを見分けるときに、目で確かめられるところがいくつかあります。ただし、どれも決め手にはならず、本物そっくりに作られた偽メールもあります。迷ったら、リンクを押さずに公式アプリから確かめる、という基本に戻ってください。

確かめるところ	見るポイント
差出人のアドレス	表示名が「スタディサプリ」でも、アドレスの@より後ろが見覚えのないものになっていないか
宛先	自分がスタディサプリに登録したアドレスに届いているか。登録していないアドレスに届いたら偽物と考えてよい
急がせる言葉	「本日中」「24時間以内」「停止されます」など、考える時間を与えない言い回しがないか
リンク先	パソコンならリンクにマウスを重ねると、実際の行き先のアドレスが表示される。公式サイトと違う文字列になっていないか
求められる情報	カード番号、セキュリティコード、パスワード、認証コードを入力させようとしていないか

特に2つ目の宛先は、今回の件と関係が深いところです。登録の有無を知られた可能性があるのは、登録に使ったアドレスです。逆に言えば、スタディサプリに登録していないアドレスにスタディサプリを名乗るメールが届いたら、それは今回の件とも関係のない、ばらまき型の偽メールだと判断できます。

念のためパスワードを見直す

発表では、パスワードの流出も不正ログインも確認されていません。それでも、スタディサプリと同じメールアドレスとパスワードの組み合わせを他のサービスでも使っている場合は、見直しておく意味があります。他のサービスからその組み合わせが漏れていれば、登録の有無を知られたことと合わさって、ログインを試されるおそれがあるからです。

スタディサプリで使っているパスワードを、他のどのサービスでも使っていないかを思い出す
使い回していたら、スタディサプリのパスワードを、他で使っていない新しいものに変える
同じ組み合わせを使っていた他のサービスのパスワードも、それぞれ別のものに変える
変えたパスワードは、パスワード管理アプリやブラウザのパスワード保存機能に記録する

パスワードの変更は、メールのリンクからではなく、公式アプリか公式サイトのアカウント設定から行ってください。自分のメールアドレスが過去の漏えいに含まれていないかを無料で調べる方法は、Have I Been Pwnedの使い方｜メールアドレスとパスワードの漏洩を確認する方法と、大手クラウドの過去の漏洩で解説しています。パスワードに加えて、スマートフォンに届くコードなどを入れないとログインできない二段階認証の仕組みは、MFA（多要素認証）導入のメリットと製品比較｜2026年の認証セキュリティ決定版で整理しています。

カードの明細を一度見ておく

今回、決済情報の流出は確認されていません。ただ、偽のメールでカード情報を入力してしまった場合は、そこから不正利用が起こりえます。スタディサプリの月額料金をカードで払っている家庭は、次の明細が届いたときに、身に覚えのない請求が混ざっていないかを確かめておくと安心です。もし偽のサイトにカード番号を入れてしまったと気づいたら、すぐにカード会社に連絡して、利用の停止を相談してください。

偽メールを開いてしまったときの対処

気をつけていても、本物そっくりのメールのリンクを押してしまうことはあります。慌てずに、どこまで操作したかで分けて対処してください。

どこまで操作したか	すること
リンクを押してページを開いただけ	何も入力していなければ、そのページを閉じる。ブラウザの閲覧履歴から開いたページのアドレスを控えておくと、後で相談するときに役立つ
スタディサプリのパスワードを入力した	すぐに公式アプリか公式サイトからパスワードを変える。同じパスワードを使っている他のサービスも変える
認証コードを入力した	第三者がログインしかけている可能性がある。パスワードを変え、ログイン中の端末に心当たりのないものがないかを確かめる
カード番号を入力した	すぐにカード会社に連絡し、利用の停止やカードの再発行を相談する。その後の明細も確かめる
ファイルを開いた、アプリを入れた	端末のセキュリティソフトで検査する。入れたアプリは削除する。会社の端末なら、端末の管理を担当している人に知らせる

パスワードを変えるときは、偽メールのリンクをもう一度使わないことが大事です。変更の画面も偽物である可能性があるからです。公式アプリか、ブックマークした公式サイトから入り直してください。

お金を払ってしまった、カード番号を入れてしまったなど、自分だけでは判断がつかないときは、消費者庁の消費者ホットラインに電話で相談できます。局番なしの188にかけると、近くの消費生活センターなどの相談窓口を案内してもらえます。相談は無料ですが、通話料はかかります。

スタディサプリそのものについての相談は、後の節で紹介するリクルートの窓口が先です。偽のメールが届いたこと自体を知らせたいときも、公式サイトから開いた窓口を使ってください。

家族のアカウントと端末を見直す

スタディサプリは、家族で複数の講座を使っていたり、保護者と子どもが別々の端末から同じアカウントに入っていたりすることがあります。今回の件をきっかけに、家庭で使っているアカウントと端末の状態を一度確かめておくと、偽メールへの備えにもなります。

確かめておきたいのは次の点です。

どの講座を、どのメールアドレスで登録しているか。兄弟姉妹で別々に登録している場合は、それぞれのアドレスを書き出しておく
スタディサプリのアプリが、公式のアプリストアから入れたものか。見覚えのない似た名前のアプリが入っていないか
端末のOSとアプリが新しい版になっているか。古い版のままだと、偽のサイトを見分ける機能が働かないことがある
使わなくなった講座のアカウントが残っていないか。使っていないアカウントは、気づかないうちに悪用されても分かりにくい

登録しているアドレスを書き出しておくと、今後スタディサプリを名乗るメールが届いたときに、「このアドレスにスタディサプリから連絡が来るはずがあるか」で、偽物に気づきやすくなります。今回の件で登録の有無を知られた可能性があるのは、まさにそのアドレスなので、届く先が分かっていることが一番の備えになります。

保護者が子どもと話しておくこと

スタディサプリの小学講座や中学講座では、保護者のメールアドレスで登録し、子どもが端末で学習している家庭も多いはずです。偽のメールやメッセージは、保護者の受信箱だけでなく、子どもが使う端末に届くこともあります。子どもは「スタディサプリ」と書かれていると、疑わずに開いてしまいがちです。

家庭で次の3つを約束しておくと、被害を防ぎやすくなります。

スタディサプリは、いつものアプリのアイコンからだけ開く。メールやメッセージのリンクからは開かない
パスワードや認証コードを入力する画面が出てきたら、入力する前に保護者に見せる
「講座が止まる」「お金を払って」と書かれたメッセージが来たら、自分で操作せずに保護者に知らせる

高校生や大学受験講座の利用者は、自分のメールアドレスで登録していることもあります。その場合は、本人に今回の件を伝え、偽メールの見分け方を一緒に確かめておくのがよいでしょう。学校や自治体経由で使っている場合は、学校からのお知らせもあわせて確かめてください。

問い合わせ窓口

リクルートが案内している窓口は次のとおりです。電話番号と受付時間は発表には書かれていません。

契約の形	窓口
個人で契約している人	スタディサプリお問い合わせ窓口（https://studysapuri.jp/info/inquiry/customer/?qaid=k12_info_20261002）
学校・自治体経由で契約している生徒	お問い合わせフォーム（学校で利用の生徒の方）
学校・自治体経由で契約している保護者	お問い合わせフォーム（学校で利用の保護者の方）
学校・自治体経由で契約している先生	お問い合わせフォーム（学校法人の方）

学校・自治体経由の人向けのフォームは、スタディサプリの重要なお知らせのページから開けます。問い合わせは、スタディサプリを名乗るメールに返信する形ではなく、公式サイトから窓口を開いて行ってください。返信先が偽のアドレスになっていることがあるからです。

在宅で仕事をする人が気をつけること

在宅で仕事をする人の中には、家庭教師やオンラインの学習支援、教材づくりなどで、教育サービスに関わっている人もいます。生徒の学習を見るために、保護者からアカウントの情報を預かっている、生徒の連絡先を自分のパソコンに保存している、といった場面もあるでしょう。こうした立場の人は、自分の情報だけでなく、取引先や生徒から預かった他人の情報を扱っています。

今回の件で漏れた可能性があるのは登録の有無だけですが、預かったアカウントについて保護者からリクルートの連絡が届いていないかを確かめ、届いていれば内容を共有してもらうと、偽メールへの注意を一緒に払えます。預かったパスワードを他のサービスと共通のものにしていないか、保存の仕方に無理がないかも、この機会に見直してください。

取引先に知らせるかどうかの考え方は、個人情報保護委員会が公式に示しています。漏えいが起きたとき、会社などが委員会に報告し、本人に知らせなければならない場合として、病歴など特に配慮が必要な情報が含まれる場合、不正に使われるとお金の被害につながるおそれがある場合、不正アクセスなど不正な目的で行われたおそれがある場合、本人の数が1,000人を超える場合の4つが挙げられています。報告の期限は、発覚したら速やかに、不正な目的によるおそれがある場合は発覚日から60日以内とされています。詳しくは、個人情報保護委員会の漏えい等の対応とお役立ち資料に載っています。

委託を受けて個人情報を扱っている側で漏えいが起きた場合は、委託先が委託元に速やかに知らせ、知らせを受けた委託元が委員会に報告する、という流れが個人情報保護委員会のガイドライン（通則編）に示されています。「速やか」の目安は、知った時点からおおむね3日から5日以内とされています。自分が個人で事業として個人情報を扱っていて、法律上の義務があるかどうか分からないときは、個人情報保護委員会の個人情報保護法相談ダイヤル（03-6457-9849）で確かめることができます。個別の事情で扱いが変わるので、断定せずに窓口で確認してください。

運営者の視点：メールアドレスの使い分けが身を守る

在宅ワークの仲介サイトを長く運営してきた立場から見ると、仕事を長く続けている人ほど、メールアドレスを用途ごとに分けています。家族の学習サービスや通販に使うアドレスと、取引先とのやり取りに使うアドレスが同じだと、どこか1つのサービスで登録の有無を知られただけで、仕事の受信箱にも偽メールが届くようになります。用途を分けておけば、届いたメールが「このアドレスに来るはずのない連絡」かどうかで、偽物に気づきやすくなります。

具体的には、仕事用、家族のサービス用、通販用でアドレスを分ける、子どもの学習サービスは保護者のアドレスで一元管理する、使わなくなったサービスは退会しておく、といった小さな習慣です。依頼者と受注者が直接やり取りする手数料0%の取引では、間に立つ会社が情報の管理を肩代わりしてくれない分、こうした習慣がそのまま信用になり、手取りが厚いまま長く続く関係につながります。

情報セキュリティの知識は、それ自体が仕事にもなります。企業のセキュリティ対策や、偽メールへの備えを支援する仕事の内容はAI・マーケティング・セキュリティのお仕事で紹介しています。偽メールを見抜く訓練の進め方は社員のセキュリティ意識を向上させるフィッシングメール模擬訓練の効果｜2026年最新の従業員教育ガイドで、ネットワークの仕組みから学び直したい人に向けた資格はCCNA（シスコ技術者認定）で解説しています。

よくある質問

Q. スタディサプリから名前や住所が漏れたのですか？

リクルートの発表では、知られた可能性があるのは、3,687件のメールアドレスがスタディサプリに登録されていることだけです。氏名、パスワード、決済情報など、メールアドレス以外の個人情報の外部への流出は確認されていないとしています。アカウントへの不正ログインや二次被害も、発表時点で確認されていません。

Q. パスワードは変えたほうがよいですか？

発表ではパスワードの流出は確認されていません。ただ、スタディサプリと同じメールアドレスとパスワードの組み合わせを他のサービスでも使っている場合は、他で漏れた組み合わせでログインを試されるおそれがあるので、変えておくと安心です。変更はメールのリンクからではなく、公式アプリか公式サイトから行ってください。