2026年11月9日、シェアフル株式会社は、スキマバイトアプリ「シェアフル」の社内管理システムが第三者の不正アクセスを受け、ユーザー最大約750万件と求人企業最大約7,500社の情報が外部に流出した可能性があると公表しました[1]。対象として挙げられたのは、氏名・電話番号・メールアドレス・住所・生年月日・給与振込用の銀行口座情報・緊急連絡先などです。暗証番号やパスワードは含まれないとされていますが、それで安心とは言い切れません。
「自分の情報で、これから何をされるのか」。「会社として、どこから手を打てばよいのか」。この記事では、その2つに答えるために、流出した可能性のある情報が悪用されうる場面と、アプリの中で特に気をつけたい場所を、公開情報から整理しました。事故の経緯は短くとどめます。
この記事の要点
- 名前・生年月日・口座まで正しく入った偽のメールやSMS、電話が届きやすくなります。給与や口座を口実にした連絡には特に注意が必要です。
- 届いた連絡のURLは開かず、アプリやヘルプから自分で確かめるのが安全です。
- 会社側がまず見直したいのは、電話番号の変更（データの引き継ぎ）でどの情報を本人の証しとして扱っているかです。
なお、本記事は公表文や公式ヘルプなど、公開情報だけをもとにしています。アプリやログイン画面を実際に試すような調査はしていません。確認できなかった点は「確認できず」と書いています。
何が起きたか（要約）
公表文[1]によると、概要は次のとおりです。
| 項目 | 内容 |
|---|---|
| 発生 | 2026年11月4日23時30分ごろ、社内の管理システムに外部から不正アクセス |
| 判明・遮断 | 11月5日9時45分ごろに判明し、同日14時までにアクセス経路を遮断 |
| 件数 | 個人アカウント最大約750万件、求人企業最大約7,500社（いずれも「流出した可能性」） |
| 流出した可能性のある項目（個人） | 氏名・氏名カナ、電話番号、メールアドレス、住所、生年月日、給与振込用銀行口座情報（暗証番号やパスワードは含まない）、顔写真URL（顔写真のデータは別のサーバーで管理し、そのサーバーへのアクセスも遮断済みとしている）、緊急連絡先（続柄・電話番号）、在留資格関連情報、登録日や就業回数などの属性情報 |
| 流出した可能性のある項目（企業） | 会社名、電話番号、住所・郵便番号、担当者の氏名・部署・役職・メールアドレス・電話番号、営業管理データの一部 |
| 含まれていないとされる項目 | 給与・ポイント情報、契約・就業データ、本人確認書類の画像、マイナンバー（もともと保持していない）、クレジットカード情報（同） |
| 原因 | 外部の専門調査機関と原因を調べている |
同社は、対象者に電子メールなどで順次個別に連絡するとしたうえで、同社や関係機関を装ったメール・SMS・電話に注意するよう呼びかけ、同社から銀行口座の暗証番号やパスワードを尋ねることはないとしています[1]。
流出した可能性のある情報で、何ができてしまうか
今回の特徴は、項目の多さです。連絡先と生年月日、口座、家族などの緊急連絡先までがそろっている点が目を引きます。
| 情報 | 攻撃者にとっての使い道（一般的に考えられるもの） |
|---|---|
| 氏名＋電話番号＋メールアドレス | 名前入りの「シェアフル」名義のメールやSMSを送れる。送り主を偽ったSMSが、本物と同じ画面（スレッド）に並んで表示される手口も知られています[8] |
| 銀行口座情報 | 暗証番号は含まれないとされていますが[1]、「給与の振込に失敗した」「口座の確認が必要」といった、それらしい口実を作れる |
| 生年月日＋住所 | 本人しか知らないはずの情報として、本人確認に使われることがある。なりすましの材料になる |
| 緊急連絡先 | 親や配偶者など、緊急連絡先の電話番号と続柄がわかる。本人や家族を装った連絡に使われるおそれがある |
| 在留資格関連情報 | 在留資格の手続きを口実にした連絡など、外国籍の働き手に狙いを絞った手口の材料になりうる |
どれも「知っていれば本人らしく見える情報」です。知っていることだけで本人と見なす仕組みは、その情報が漏れた時点で弱くなります。
このアプリで認証が使われる場所
公式ヘルプなどで確認できた範囲で、認証が関わる場所を並べました。
| 場所 | 今の方式（公開情報で確認できた範囲） | 流出した可能性のある情報との関係 | 狙われやすさ |
|---|---|---|---|
| ログイン（既存アカウント） | 携帯電話番号あてのSMSか、自分から発信する音声案内で受け取る6桁のコードを入れ、続けて登録した誕生日とメールアドレスを入力する[2] | 2段目の誕生日とメールアドレスは、今回の項目に含まれる。1段目のコードは電話を持っていないと受け取れないため、守りの中心はここになる | 中 |
| 電話番号の変更（データの引き継ぎ） | うまく引き継げない時は専用フォームに、氏名・生年月日・変更前の番号を送る。変更前の番号が不明なら顔写真付きの本人確認書類、それも出せなければ登録住所を送る形と案内されている[3] | 案内に並ぶ氏名・生年月日・電話番号・住所は、いずれも今回の項目に含まれる。これだけで引き継ぎを認める運用なのかは確認できず | 要確認 |
| 口座情報の変更 | ログイン後に、アプリのマイページから変更できる。登録できるのは本人名義の口座だけ[4] | 乗っ取られると振込先を変えられる心配がある一方、本人名義に限る決まりが歯止めになる | 中 |
| 企業向け管理画面 | メールアドレスとパスワード。メールで届く4桁のコードによる2段階認証は、希望した企業だけが設定する形[5][6] | 担当者のメールアドレスと電話番号が含まれる。担当者あての偽メールや、他で漏れたパスワードを試す攻撃の材料になる | 高 |
| 管理画面のパスワード再設定 | 登録メールアドレスに届く再設定リンクから[5] | 担当者のメールアドレスあてに、再設定を装った偽メールを送りやすい | 中 |
| 問い合わせ窓口 | 問い合わせには登録した携帯電話番号の記入が必須と案内されている[9]。どこまで本人確認をするかは確認できず | もし電話番号や氏名が合えば本人と見なす運用なら、それらは今回の項目に含まれる | 要確認 |
※「狙われやすさ」は、公開情報をもとにした当社の見立てです。実際のしくみを確かめたものではありません。
ここで目を引くのは、ログインの2段目です。SMSのコードを受け取った後に入れる誕生日とメールアドレスは、今回まとめて流出した可能性がある情報です。今後は、この2つを知っていることが本人の証しとして働きにくくなります。
会社がまず見直すとよい所（優先順）
公表文では、アクセス管理と監視体制の強化、原因の究明が挙げられています[1]。一方で、ログインや本人確認の確かめ方を変えるといった記載はありませんでした。認証の観点からは、次の順で見直すことが考えられます。
- 電話番号の引き継ぎで、今回の項目を本人の証しにしない。氏名・生年月日・住所・旧番号がそろえば引き継げる形になっていないか。顔写真付きの書類や、元の回線を持っているかの確認を優先する形へ、運用から変えられます。
- ログインの2段目を「知っている情報」に頼らない。誕生日とメールアドレスの入力は、今回の後では確認の力が弱まっています。電話を持っているかの確認を軸に組み直すことが考えられます。
- 企業向け管理画面の2段階認証を、希望制から標準へ。担当者の連絡先が流出した可能性がある今は、管理画面が次の入口になりえます。
認証の観点から：「番号を知っている」と「その電話を持っている」は違う
今回、最大約750万件のアカウントの電話番号が流出した可能性があります。ここで分けて考えたいのは、「電話番号を知っていること」と「その電話番号の回線を実際に持っていること」は別物だという点です。
シェアフルのログインの1段目は、届いたコードを入れる方式で、電話を持っているかを確かめています[2]。この部分は、情報が漏れても変わりません。弱くなったのは、誕生日やメールアドレスのように「知っているか」で確かめる部分です。
ただしSMSなどで届くコードにも限りがあります。米国NISTのガイドラインは、SMSなど電話網を使う確認方法を『制限付き（restricted）』の手段と位置づけています[7]。禁止ではありませんが、端末の入れ替えやSIMの変更、電話番号の乗り換え（ポーティング）といったリスクを踏まえ、それだけに頼りきらない設計が求められています。
当社Infront Securityの電話番号認証は、利用者がワンタップで指定の番号に発信し、その発信者番号と端末の情報をサーバー側で照合して本人を確かめます。電話番号を知っていても、その回線から発信できなければ認証は通りません。偽サイトは利用者の電話回線を持っていないため、フィッシングに耐性のある方式です。
「知っているか」を「持っているか」に置きかえる進め方については、お気軽にご相談ください。
出典
- シェアフル株式会社「社内管理システムへの不正アクセスによる個人情報および法人情報流出の可能性に関するお詫びとお知らせ」（2026年11月9日）https://sharefull.com/information/9480/ （2026年11月10日取得）
- シェアフル ヘルプ「認証コードでのログイン方法」（2025年10月23日更新、2026年11月10日取得）https://support.sharefull.com/hc/ja/articles/360058276494
- シェアフル ヘルプ「シェアフル登録携帯電話番号を変更したい」（2026年11月10日取得）https://support.sharefull.com/hc/ja/articles/4405423140633
- シェアフル ヘルプ「銀行口座情報の変更」（2026年11月10日取得）https://support.sharefull.com/hc/ja/articles/360018037534
- シェアフルマガジン「【企業向け】シェアフルの管理画面ログイン方法」（2026年8月4日、2026年8月18日更新、2026年11月10日取得）https://sharefull.com/content/business/32579/
- シェアフル お知らせ「新機能リリース／管理画面にチャットボットを導入、勤怠管理用QRのデザインを変更 など」（2026年6月29日）https://sharefull.com/information/9042/ （2026年11月10日取得）
- NIST SP 800-63B Rev.4（2025年8月）§3.1.3.3 https://pages.nist.gov/800-63-4/sp800-63b.html
- ソフトバンク 送信元が偽装されたSMSに関するご注意（2020年3月4日掲載、2020年12月3日更新）https://www.softbank.jp/mobile/info/personal/news/support/20200304a/
- シェアフル ヘルプ「シェアフルサポートへの問い合わせ」（2026年4月27日更新、2026年11月10日取得）https://support.sharefull.com/hc/ja/articles/900006272563
