OfferBox、設定の不備で氏名・メールアドレスがブラウザの開発者ツールから見える状態に

事案の概要データ

図解：この事故の構造

何が起きたのか

i-plugは2026年10月5日、就活サービス「OfferBox」の利用企業向けページで、通信データに氏名・メールアドレスが含まれており、ブラウザの開発者ツールを使えば見える状態になっていたことを公表しました。

対象は「理論上の最大」として314,009人とされています。これは実際に閲覧された人数ではなく、「仕組み上、見えうる範囲の上限」という意味です。

不正アクセスを受けたわけではありません。

「画面に出していない＝送っていない」ではない

この事案は、Webシステムの設計でよくある落とし穴を示しています。

Webページは、サーバからブラウザへデータを送り、ブラウザがそれを画面に表示します。このとき、「画面に表示する分だけ」ではなく「とりあえず全部」送っておいて、表示する部分だけを選ぶ、という作り方をすることがあります。処理が簡単になるからです。

しかし、送られたデータはブラウザの中に存在しています。開発者ツール（ブラウザに標準で付いている機能で、F12キーなどで開けます）を使えば、画面に出ていない分も見ることができます。

つまり「画面に表示していないから大丈夫」は成り立ちません。ブラウザに送った時点で、相手は見られると考える必要があります。

就活データという機微な情報

就活サービスが扱うのは、学生の氏名・大学・専攻・自己PR・志望する企業などの情報です。「どの学生が、どの企業に興味を持っているか」が分かるデータです。

2019年のリクナビの事案（内定辞退率の予測データ販売）以降、就活データの扱いには社会的な注目が集まっています。学生は企業に対して立場が弱く、自分の情報がどう使われるかを選びにくいためです。

この事案では「理論上の最大」という丁寧な表現が使われました。実際の被害を過大にも過小にも見せない、誠実な公表のしかたと言えます。

時系列で見る経過

• （時期不明）利用企業向けページの通信データに、画面表示外の情報が含まれる状態になる
• 2026年10月設定の不備を確認し、是正
• 2026年10月5日理論上の最大314,009人分が見える状態だったことを公表

中小企業が学ぶべきポイント

1. 「画面に表示していない」情報でも、ブラウザに送っていれば見られる。
2. サーバからブラウザへ送るデータは、画面に必要な分だけに絞る。
3. 開発者ツールで自社サイトの通信内容を一度確認してみる。無料でできる点検。
4. 「理論上の最大」と「実際に閲覧された数」を分けて説明する。誠実な公表の型。

出典・参考

• 情報漏洩・不正アクセスの企業一覧（随時更新） - SmartScope