バイトルで最大388万件のメールアドレス漏えい：海外からの不正アクセス、ディップが公表

はじめに

2026年10月9日、求人サイト「バイトル」「バイトルNEXT」を運営するディップ株式会社は、海外からの不正アクセスにより、登録会員のメールアドレス最大3,885,771件が漏えいしたと公表しました。NHKとTBSも同日夜に報じています。

同社によると、漏えいしたのはメールアドレスのみで、氏名、電話番号、パスワード、クレジットカード情報などは含まれていません。とはいえ、仕事を探している人の約390万件のメールアドレスのリストは、詐欺グループにとって非常に使い勝手のよい材料です。

この記事では、ディップが公表した事実、会員にとっての実際のリスク、そして日本の中小企業がこの件から学べること（バイトルで採用活動をしている企業と、会員機能のある自社サイトを運営している企業の両方）をまとめます。情報はすべて末尾の参考資料に基づいています。

ディップが公表した内容

同社の公式発表によると、経緯は次のとおりです。

• 2026年10月6日： Webサイトの一部機能で第三者による不正アクセスを確認。
• 確認後ただちに海外からのアクセスをすべて遮断し、該当プログラムを改修。技術的な防御措置は完了したとしています。
• 同じ10月6日に、対象会員へ**「バイトル」「バイトルNEXT」上でお知らせ**し、順次メール等で個別に案内を開始。
• 10月9日： 漏えいの可能性がある最大件数を含む公式発表を公開。

原因について、ディップはシステムの一部機能における仕様の不備を突いた、海外からの不正アクセスと説明しています。どの機能か、どのような不備だったかは明らかにしていません。調査中の段階としては一般的な対応です。

また、個人情報保護委員会と総務省関東総合通信局へ報告し、警察への相談も進めているとしています。「バイトル」「バイトルNEXT」を含む同社のサービスは引き続き利用できます。

漏えいした情報

公式発表によると：

• 「バイトル」「バイトルNEXT」会員登録者のうち、漏えいした可能性のある件数は最大3,885,771件。これは最大値で、必ずしも人数とは一致しません。
• 漏えいしたのはメールアドレスのみ。
• 含まれないもの： 氏名、電話番号、パスワード、クレジットカード情報など。
• 発表時点で、メールアドレス以外の個人情報の流出、インターネット上への流出、不正利用は確認されていないとしています。

実際のリスク：求人をかたるフィッシング

メールアドレスだけなら被害は小さく見えますが、文脈が重要です。このリストを持つ者は、各アドレスがアルバイト・派遣などの求人サイトの利用者のものだと分かります。そのため、本物らしい偽メッセージを作りやすくなります。たとえば：

• 「バイトルからのお知らせ」を装い、偽のリンクでアカウント確認や「パスワード再設定」を求める；
• 条件が良すぎる求人の案内で、個人情報や身分証、前払いの費用を求める；
• 「面接」の招待を装い、ログイン情報を盗むサイトやアプリのインストールへ誘導する。

これらは当社によるリスク分析であり、ディップが報告した事実ではありません。ただし同社も同様の注意喚起をしており、スパムメールやなりすましメールに注意し、身に覚えのないリンクや添付ファイルを開かないよう求め、メール等でパスワードやクレジットカード情報を尋ねることは一切ないと明言しています。

バイトルに登録している人がすべきこと

1. 「バイトル」を名乗るメールやSMSで、ログイン情報、パスワード、カード情報、支払いを求められたら疑ってください。 メッセージ内のリンクではなく、URLを直接入力するか公式アプリから開きましょう。
2. 他のサービスと同じ（または似た）パスワードを使っている場合は変更しましょう。 ディップはパスワードは漏えいしていないとしていますが、使い回しは常にリスクです。
3. 普段使うメールアカウントで二要素認証を有効にしましょう。
4. 最初の連絡でお金や書類を求める求人には注意。 まっとうな企業は採用のためにお金を請求しません。
5. 不安な場合は、ディップの発表に記載された公式の問い合わせフォームを利用しましょう。

中小企業が学べること

技術的な詳細が分からなくても、Webサイトやフォーム、会員機能を持つ中小企業にとって実践的な教訓があります。

バイトルなどの求人サイトで採用している企業の場合：

• 応募者に伝えましょう。 自社はメールでパスワード、口座情報、支払いを求めることはない、と求人広告や自動返信に一文入れるだけでも効果があります。
• 連絡手段を統一しましょう。 求人サイトのシステムか自社ドメインのメールなど、常に同じ経路を使えば、応募者が偽メッセージに気づきやすくなります。

顧客・会員アカウントのあるサイトを運営している場合：

1. ユーザー情報を返す機能を見直す。 検索、登録確認、「パスワードを忘れた方」、内部APIなどが必要以上の情報を返したり、メールアドレスの登録有無を判別できたりしないようにしましょう。
2. リクエスト数を制限する。 少数のアドレスから異常な量の照会が来るのは、自動収集の典型的な兆候です。レート制限とアラートで早期に気づけます。
3. ログを監視し、営業時間外のアラートを確認する担当者を決めておきましょう。
4. 封じ込め策を用意する。 ディップは緊急措置として海外からのアクセスを全遮断しました。国内向けにしかサービスしていない中小企業なら、WAFやCDNでこの遮断をすぐ実行できるよう準備しておくと、インシデント時に貴重な時間を稼げます。
5. 必要な情報だけを集め、休眠アカウントのデータは削除しましょう。持っていない情報は漏れません。
6. 報告ルールを知っておく。 個人情報保護法では、1,000人を超える漏えいや、不正アクセスなど不正の目的が疑われる場合、個人情報保護委員会への報告が義務です。「速やかに」行う速報と、30日以内（不正目的の場合は60日以内）の確報の2段階です。
7. お知らせのひな形を準備する。 何が起きたか、どの情報か、利用者は何をすべきか、問い合わせ窓口。ディップの発表もこの構成で、参考になります。

今回の件は、ブックオフの漏えい、ローソンIDの漏えい、Communeの漏えいなど、最近続いている国内インシデントの一つでもあります。どの件でも、その後に来やすいのはフィッシングです。

まとめ

バイトルの漏えいは「メールアドレスのみ」ですが、規模は最大約390万件に上ります。ディップはアクセス遮断、不備の修正、利用者への通知を迅速に行いましたが、リストはすでに第三者の手にあります。今後数週間は、求人をかたるメッセージを疑うことが最大の防御になります。

調査は続いており、件数が変わる可能性もあります。ディップが新たな事実を公表した場合は、この記事を更新します。

参考資料

• ディップ株式会社: 「バイトル」「バイトルNEXT」不正アクセスによる一部メールアドレス漏えいに関するお知らせとお詫び (2026-10-09)
• NHKニュース: 「バイトル」会員メールアドレス 388万件余漏えいのおそれ
• TBS NEWS DIG: 「バイトル」など運営の「ディップ」 最大388万件あまりの会員メールアドレス流出のおそれ
• 個人情報保護委員会 (PPC): 漏えい等の対応とお役立ち資料

---

あなたのビジネスにも導入しませんか？

KGA ITは、中小企業向けにAIアシスタント、業務自動化、Webサイトの導入を支援しています。ご相談は無料で、24時間以内にご返信します。プランは月額5,000円から。

• 電話: 080-9732-1062
• メール: kga-it@outlook.com
• お問い合わせページ: kga-it.com/ja/contact