10年半、見える状態だった。攻撃はされていない

• 管理画面にアクセス制限が足りていなかった
• 期間は2016年3月から2026年10月16日まで
• 外部からの攻撃は検知されていない

スカイマークが、採用の問い合わせフォームに入力された情報が閲覧できる状態だったと公表した。対象は488人とされている。

この10月はずっと攻撃の話を書いてきたが、今回は攻撃ではない。それでも情報は見える状態だった。

何が起きていたか

原因は管理画面のアクセス制限の設定が不十分だったこととされている。

その画面はサイトからリンクされておらず、限られた社員しか場所を知らない状態だった。

「リンクが無い」は守りにならない

ここが要点になる。リンクされていないことと、見られないことは別だ。

• 場所が分かれば、誰でも開ける
• 場所は、検索の仕組みや履歴から知られることがある
• 一度知られたら、それ以降ずっと開ける

これはStudioがライブプレビューの削除を求めた件と同じ考え方になる。あちらも「URLが直接特定されたことは確認していないが、可能性を完全には否定できない」として削除を求めていた。

推測されにくい場所に置くのは、鍵をかけることの代わりにならない。

期間が10年半になる

2つの期間がずれているのが読みどころになる。

入力されたのは2020年2月まで。見える状態は2026年10月まで続いた。つまりフォームを使わなくなった後も、中身は6年以上残っていた。

使わなくなった仕組みが、残る

この形は今月何度も出てきた。

• skyticket — 決済方式の移行時に消し忘れたログ
• ヤマト — 2018年からの8年分の記録
• タイムズカー — 退会後も7年間保管していた免許証の画像
• 今回 — 使わなくなったフォームの管理画面が6年以上

攻撃されたかどうかに関係なく、残っているものは出うるという点は共通している。

確認する項目も毎回同じになる。

1. いま使っていない仕組みが、動いたままになっていないか
2. その中に、何が残っているか
3. いつまで持つかが決まっているか
4. 決めた期間を過ぎたものが、実際に消えているか

漏れたとは書かれていない

公表の仕方として、正確に書いておく。

• 外部からの攻撃は検知されていない
• 第三者によるアクセスや情報の流出は確認されていない
• 2025年6月以降のアクセス記録ではこの画面への活動は無い

ただしそれ以前の記録は残っていなかったとされている。つまり2025年6月より前については、確認できていないことになる。

「確認されていない」の読み方

今月の各社で何度も出てきた表現だが、意味は一定している。記録を見た範囲では見つからなかったということだ。

記録そのものが無い期間については、あったともなかったとも言えない。今回はそこを正直に書いている。

この区別は「漏えいしたおそれ」は何を意味しているのかに書いた。

含まれていた項目

住所、電話番号、クレジットカード情報は含まれていないとされている。

ただし学校名や勤務先、問い合わせの内容が入っている。どこに応募しようとしていたかが分かる情報になる。在職中に転職を考えていた人にとっては、性質の軽い情報ではない。

まとめ

• 原因は管理画面のアクセス制限の設定が不十分だったこと
• リンクが無いことは、守りにならない
• 見える状態は2016年3月から2026年10月16日まで
• 入力は2020年2月まで。使わなくなった後も6年以上残っていた
• 攻撃は検知されておらず、流出も確認されていない
• ただし2025年6月より前の記録は残っていない
• 項目に学校名・勤務先・問い合わせ内容が含まれる

出典

• 対象人数、期間、含まれていた項目、原因と対応については、ABEMA TIMES（2026年10月19日配信）の報道による

本記事は2026年10月19日時点の報道に基づく。外部からの攻撃や情報の流出は確認されていないと報じられている。本記事は法的な助言ではない。