求人サイト「バイトル」「バイトルNEXT」を運営するディップは10月9日、会員のメールアドレスが最大3,885,771件漏えいした可能性があると発表した。漏れたのはメールアドレスだけで、氏名、電話番号、パスワード、クレジットカード情報は含まれていないという。
ディップ 10月9日 お詫び (最大3,885,771件・メールアドレスのみ・対象外の情報・海外からのアクセス遮断・個別案内・報告と相談)ディップ株式会社
アドレスだけの漏えいは軽く見えやすい。ただ、このアドレスの持ち主が求人サイトに登録していることまで相手に知られた、という点は残る。仕事を探している人の受信箱に、これから何が届きうるかを整理する。
10月6日に確認、9日に件数を公表
ディップの発表によると、10月6日にウェブサイトの一部機能で第三者からの不正アクセスを確認した。原因は「システムの一部機能における仕様の不備を突いた、海外からの不正アクセス」で、同社は確認後ただちに海外からのアクセスをすべて遮断し、プログラムを直したとしている。
会員向けの第一報は、6日のうちにバイトルのお知らせ欄に出ていた。その時点では「漏えいした可能性がある」という段階で、件数はまだ示されていなかった。9日の発表で、最大約389万件という数字と、パスワードとカード情報も対象外だという説明が加わった。
数字の扱いには注意がいる。冒頭では「一部漏えい」と書きつつ、件数は「漏えいした可能性のある件数は最大」と表現している。389万件すべてが取られたと確かめられたわけではない。インターネット上への流出や、不正に使われた事実も、現時点では確認されていないという。
不正アクセスがいつから続いていたのか、具体的にどんな手口だったのかは、発表に書かれていない。個人情報保護委員会と総務省関東総合通信局への報告、警察への相談は「進めております」という段階だ。
求人サイトのアドレスだから届きうるメール
アドレスだけが漏れたとき、まず起きうるのは、そのアドレス宛てにもっともらしいメールが届くことだ。今回のアドレスは求人サイトの会員のものだと分かっている。送る側から見れば、仕事を探している人、あるいは探したことがある人の一覧になる。
そう考えると、偽のメールがとりうる形は想像がつく。面接の日程調整、スカウトの連絡、応募内容の確認、登録情報の更新のお願い。どれも求職中なら開いてしまいそうな件名だ。ディップも、スパムメールやなりすましメールが届くおそれがあるとして、身に覚えのないリンクや添付ファイルは開かないよう呼びかけている。
もう一つ、同社がはっきり書いていることがある。ディップからメールなどでパスワードやクレジットカード情報を尋ねることは一切ない、という点だ。これは見分けるときの基準として使える。
個別の案内と、自分で決めておくこと
ディップは、対象となる会員に、順次メールなどで個別に案内するとしている。本物の案内と偽のメールが、同じ時期に似た件名で届くかもしれない。発表には、個別メールが本物かどうかを見分ける方法 (送信元のアドレスなど) は書かれていない。だから、届く前に自分のやり方を決めておくほうが確実だ。
- メール本文のリンクからはログインしない。バイトルはブックマークか公式アプリから開く
- パスワードやカード番号の入力を求めるメールには応じない。同社はそれを尋ねないと明言している
- バイトルと同じパスワードを、ほかのサービスで使っていないかを見直す。今回パスワードは対象外だが、メールアドレスはログイン ID として使われることが多い
手間もある。求職中は企業からの連絡を待っているので、知らない差出人のメールを一律に無視するわけにもいかない。応募した覚えのある企業か、バイトルのサイト内のメッセージにも同じ連絡が来ているかを確かめる、という一手間が毎回かかる。アドレス自体を変える手もあるが、同じアドレスで登録したほかのサービスの変更まで付いてくる。
問い合わせの窓口は、発表に載っているウェブフォームだけで、電話窓口は示されていない。
次に見るのは、バイトルのお知らせ欄と、ディップのニュース欄だ。個別メールがいつ届き始めたか、不正アクセスの期間や手口について調査の結果が出るかは、まずそこに載る。
ことば
- なりすましメール — 実在の会社やサービスの名前を使い、本物の連絡のように見せかけたメール。漏えいの発表があった直後は、その会社の名前を使ったものが出回りやすい。
- 個人情報保護委員会 — 個人情報の扱いを監督する国の機関。一定の規模や内容の漏えいが起きた会社には、この委員会への報告と本人への通知が法律で求められている。
あなたのメールアドレスは、仕事探しのために、いくつのサイトへ登録されているだろうか？
