バイトル最大約388万件のメールアドレス漏えい、漏れたメールアドレスで何をされるのかまとめました

2026年10月9日、ディップ株式会社は、求人サイト「バイトル」「バイトルNEXT」で第三者からの不正アクセスがあり、会員のメールアドレスが最大3,885,771件漏えいした可能性があると公表しました[1]。漏えいしたのはメールアドレスのみで、氏名・電話番号・パスワード・クレジットカード情報などは含まれていないとしています。メールアドレスだけなら安心、とは言い切れません。

「メールアドレスだけで、これから何をされるのか」。「会社として、どこから手を打てばよいのか」。この記事では、その2つに答えるために、漏れたメールアドレスが悪用されうる場面と、バイトルのログインで特に狙われやすくなった場所を、公開情報から整理しました。事故の経緯は多くの報道が扱っているため、短くとどめます。

この記事の要点

• 漏れたのはメールアドレスだけとされますが、バイトルではそのメールアドレスが「ログインの鍵」になっています。
• 「確認コード」や「お詫び」をかたるメールが届いたら、メールのリンクからではなく、アプリや自分で開いた公式サイトから確かめると安心です。
• 会社側がまず見直したいのは、メールに届く確認コードだけでログインできる形と、ログインの履歴を利用者が見られない点です。

なお、本記事は公表文や公式ヘルプなど、公開情報だけをもとにしています。ログイン画面を実際に試すような調査はしていません。確認できなかった点は「確認できず」と書いています。

何が起きたか（要約）

公表文[1]によると、概要は次のとおりです。

同社は対象の会員に、10月6日にサイト上で知らせ、順次メールなどで個別に案内しているとしています[1]。あわせて、メールなどでパスワードやクレジットカード情報を尋ねることは一切ないと明記しています[1]。

漏れたメールアドレスで、何ができてしまうか

メールアドレスは、それだけで口座やカードを動かせる情報ではありません。ただ、今回は「求人サイトに登録している人のアドレス」という意味を持った一覧です。

大事なのは、メールアドレスがバイトルでは「連絡先」であると同時に「ログインの鍵」でもある、という点です。次の節で、その意味を見ていきます。

バイトルで認証が使われる場所

バイトルの会員は、ディップ社の共通アカウント「dipID」に移行しています[2][3]。公式ヘルプ[2]によると、dipIDはバイトル、バイトルNEXT、バイトルPROなどで共通して使え、登録したメールアドレスで管理しているとしています。公式ヘルプで確認できた範囲から、認証が関わる場所を並べました。

※「狙われやすさ」は、公開情報をもとにした当社の見立てです。実際のしくみを確かめたものではありません。

会社がまず見直すとよい所（優先順）

公表文では、プログラムの改修と、セキュリティ対策・監視体制の強化が挙げられています[1]。一方で、ログインの確認方法を変えるといった記載はありませんでした。認証の観点からは、次の順で見直すことが考えられます。

1. 確認コードでのログインに、メール以外の確認をもう一つ足す。今のおすすめの入り方は、メールに届くコードを入力する形です[2]。メールアドレスが知られた今、偽の画面でコードを入力させられた人や、メールを乗っ取られた人を守るには、メールとは別の確認が要ります。
2. 利用者が自分で気づける仕組みを用意する。ヘルプではログイン履歴や端末の管理に「現在は対応していません」としています[2]。新しい端末からのログインを知らせる通知などは、仕組みを大きく作り直さなくても始めやすい対策です。
3. 個人情報が見える場面に、追加の確認を入れる。Web履歴書の閲覧や、メールアドレスの変更などです。毎回のログインを重くせず、狙われる場面だけを固めるという考え方です。

認証の観点から：「メールが届く」と「本人である」は違う

今回漏れたのはメールアドレスだけです。それでも気にかけたいのは、バイトルの本人確認が、ほぼ「そのメールアドレスでコードを受け取れるか」に集まっている点です。

メールアドレスを知っていることは、もう本人の証明になりません。メールで届くコードも、偽の画面で入力させられれば、その場で第三者に使われる可能性があります。本人確認の土台を「メールを受け取れるか」だけに置かず、もう一つ「その人が持っている物」を足すことが、漏えいの後にこそ効いてくる対策です。

その候補として、携帯電話の回線は多くの人が手放さずに持っている物です。ただし米国NISTのガイドラインは、SMSなど電話網を使う確認方法を「制限付き（restricted）」の手段と位置づけています[5]。禁止ではありませんが、それだけに頼りきらない設計が求められています。

当社Infront Securityの電話番号認証は、利用者がワンタップで指定の番号に発信し、その発信者番号と端末の情報をサーバー側で照合して本人を確かめます。電話番号を知っていても、その回線から発信できなければ認証は通りません。偽サイトは利用者の電話回線を持っていないため、フィッシングに耐性のある方式です。

今のログインを壊さずに「持っているか」の確認を足す方法については、お気軽にご相談ください。

お問い合わせはこちら