マイナビのクラウドサービスに不正アクセス、約11.2万件が漏えいの可能性

事案の概要データ

何が起きたのか

マイナビは2026年2月12日、利用しているクラウドサービスが不正アクセスを受け、約11.2万件の情報が漏えいした可能性があると公表しました。対象は一般利用者、法人の担当者、そして同社の従業員です。

検知は2025年12月であり、公表までに約2か月かかっています。この期間は調査に要した時間と考えられますが、利用者からすると「知らされないまま2か月が過ぎていた」ことになります。

「いつ公表するか」という難しい判断

情報漏えいが疑われたとき、企業は難しい判断を迫られます。早く公表すれば利用者は早く自衛できますが、内容が不正確だと混乱を招きます。逆に調査を待てば正確になりますが、その間に被害が広がる可能性があります。

実務上の考え方としては、「利用者が今すぐ取れる行動があるかどうか」で判断します。パスワード変更やカードの利用明細確認など、利用者側でできる対策があるなら、件数が確定していなくても早めに知らせるほうが被害を減らせます。

個人情報保護法では、一定の要件に該当する漏えい等が発生した場合、個人情報保護委員会への報告と本人への通知が義務づけられています（速報は概ね3〜5日以内）。この法定の枠組みを、社内の初動手順に組み込んでおくことが必要です。

時系列で見る経過

• 2025年12月利用しているクラウドサービスへの不正アクセスを検知
• 2025年12月〜2026年2月影響範囲の調査を実施
• 2026年2月12日約11.2万件の情報が漏えいした可能性があると公表

中小企業が学ぶべきポイント

1. 個人情報の漏えいが疑われたら、個人情報保護委員会への報告義務（速報は概ね3〜5日以内）を前提に動く。
2. 「利用者が今すぐできる自衛策」があるなら、件数が未確定でも早めに知らせる。
3. 利用しているクラウドサービスの一覧と、そこに保存している情報の種類を把握しておく。
4. 検知から公表までの社内手順（誰が判断し、誰が発信するか）をあらかじめ決めておく。

出典・参考

• 2026年 日本のセキュリティインシデントまとめ - printemps tokyo