リクルート「スタディサプリ」、機能の仕様の不備を突かれ3,687件が特定された可能性

事案の概要データ

図解：この事故の構造

何が起きたのか

リクルートは2026年10月3日、学習サービス「スタディサプリ」において、機能の仕様の不備を突いた不正アクセスにより、3,687件の情報が特定された可能性があると公表しました。

「仕様の不備」という原因

プログラムのバグではなく、機能の設計そのものに想定の甘さがあった、という原因です。10月6日に公表されたミスターマックスの「ソフトウェアの機能の不正利用」と同じ系統の問題です。

よくある例は、「メールアドレスを入力すると、登録済みかどうかを教えてくれる」機能です。パスワードを忘れたときの案内としては親切ですが、攻撃者から見れば「どのメールアドレスが登録されているか」を1つずつ確認できる道具になります。

この種の問題は、プログラムを更新しても直りません。「この機能は悪用できないか」という視点で設計を見直す必要があります。公開前のセキュリティレビューで、攻撃者の立場から機能を眺めることが有効です。

子どもの情報を扱うという重み

学習サービスの利用者は、小学生から高校生が中心です。本人が自分の情報を守る判断をするのは難しく、保護者が代わりに判断しています。

子どもの氏名・学年・学校・学習履歴といった情報は、本人が長い人生を送る中で意図せず使われ続ける可能性があります。大人の情報以上に、慎重な扱いが求められる種類のデータです。

教育・学習サービスを提供する事業者は、「集める情報を最小限にする」「保存期間を短くする」という原則を、より厳しく適用する必要があります。

時系列で見る経過

• 2026年10月機能の仕様の不備を突いた不正アクセスが発生
• 2026年10月事案を把握し、調査を開始
• 2026年10月3日3,687件の情報が特定された可能性を公表

中小企業が学ぶべきポイント

1. 「この機能は悪用できないか」という視点で、公開前に設計を見直す。
2. メールアドレスの登録有無を教える機能など、親切な機能ほど悪用されやすい。
3. 子どもの情報を扱うサービスは、収集項目と保存期間をより厳しく絞る。
4. 仕様の不備はプログラム更新では直らない。設計の見直しが必要。

出典・参考

• 情報漏洩・不正アクセスの企業一覧（随時更新） - SmartScope