対象：求人サイトMyBRANDSに、求職者または企業担当者として登録したことがある人（退会した人を含む）。本記事は同社の公式発表にもとづく解説で、攻撃の手順は扱いません。
続報待ち：この記事は公式発表に合わせて更新します
- 対象者
求人サイトMyBRANDSに、求職者または企業担当者として登録したことがある人（退会した人を含む）。
- 影響が確認された範囲表で見る ↓
- データの送信
可能性があるとされた項目
- 氏名・メールアドレス・電話番号・プロフィール（職歴など）
- ログイン用パスワード
- 暗号を解く鍵
- 未確認事項
- 送られたデータの中身（実際に何が持ち出されたか）
- 不正に使われた鍵の詳しい経緯と原因
- 対象者へのメール通知がすべて届く時期
さらに2件
- サービスの再開時期
- 不正使用（二次被害）の有無
- 今やること手順を見る ↓
- MyBRANDSと同じパスワードを使っていないか確かめる
- 求職者：採用担当・スカウトを名乗る連絡は、公式の窓口で確かめる
- 企業担当者：社内の注意と、同じ人のアカウントを見直す
さらに2件
- 同社を名乗る連絡は、メールのリンクを開かずに確かめる
- 問い合わせは、MyBRANDS事務局にメールで
- 最終確認日時
- 2026年11月2日時点
発表の続報予定と確認の記録
同社は、新たに知らせるべきことや再開の時期は、発表ページで知らせるとしています。11月2日に、10月30日付の発表の本文を確認しました（同社のサイトは自動取得を受け付けないため、ブラウザで確認）。取得した本文に、続報の記載はありませんでした。サービスは停止中で、安全を確認できるまで再開しないとしています。
求職者・企業担当者が今日やること
MyBRANDSと同じパスワードを使っていないか確かめる
同社は、MyBRANDSと同じパスワードを他のサービスでも使っている場合は、そちらを変更するよう求めています。企業のご担当者は社内のシステムも含みます。MyBRANDSでの手続きは必要ないとしています。
- 使い回したサービスのパスワードを、それぞれ別のものに変える（パスワード漏えいの確認方法）
- 使えるサービスでは多要素認証を設定する
- 覚えきれないときはパスワードマネージャーを使う
求職者：採用担当・スカウトを名乗る連絡は、公式の窓口で確かめる
氏名、電話番号、メールアドレス、職歴がそろうと、「あなたの経歴を見て連絡した」という本物らしい連絡を作れます。面接の日程、書類の確認、スカウトを名乗る連絡が来ても、本文のリンクや書かれた電話番号は使わず、自分で開いた企業の公式サイトや求人の窓口で確かめます。
同社は、本件の同社からの連絡では、ログインのコードやパスワード、金銭のやりとりに関わることを尋ねることはないとしています。そうした連絡は応じないのが基本です。
企業担当者：社内の注意と、同じ人のアカウントを見直す
企業の担当者として登録した人の氏名、メールアドレス、電話番号は、取引先や求職者を装った連絡の宛先になりえます。MyBRANDSと同じパスワードを社内システムなどで使っていないかを確かめ、使っていれば変えます。あわせて、同僚にも、求人や応募者を装う不審な連絡に注意するよう伝えます（当サイトの勧め）。
同社を名乗る連絡は、メールのリンクを開かずに確かめる
同社は、本件の同社からのメールにはリンクを載せていないとしています。リンクが載ったメールや、ログインを求めるメール、SMSは、本件の知らせとは考えないでください（当サイトの勧め）。同社は、本件のメールは発表の6.に載せたアドレスから送るとしています。対象の人には、10月30日から順にメールで知らせるとしています。
問い合わせは、MyBRANDS事務局にメールで
同社は、本件の問い合わせは、応募先やスカウトを受けた企業ではなく、MyBRANDS事務局へメールで送るよう案内しています。24時間受け付けで、求職者用と企業用の2つの窓口があり、登録したメールアドレスから送るとしています。宛先は公式発表のページに載っているものを使います。
① 採用担当・スカウト・MyBRANDSを名乗る電話／メール／SMS
氏名・職歴・電話番号が正しい → ここでは判断しない
↓
② リンク・番号は使わず、企業の公式サイトや公式発表の窓口で確かめる
↓
③-A 公式側に載っていない
ログインコード・パスワード・金銭を求める → 応じない
③-B 公式側にも同じ案内がある
公式の案内に沿って手続きする
何が起きたのか（株式会社iDAの発表より）
以下は、同社の「MyBRANDSへの不正アクセスによる個人情報漏えいのおそれについて（お詫びとお知らせ）」（2026年10月30日）にもとづきます。
2026年10月21日〜22日
委託先で使っていたクラウドの管理用の鍵（アクセスキー）が第三者に不正に使われた（同社の説明）。同社は、この経緯を「サービスの停止中に脆弱性への対応を進めていたところ」と書いている10月26日
複製したデータベースから外部へデータが送られた記録があることが分かった（同社の説明）10月30日
お知らせを公表。発表の時点で、個人情報保護委員会への報告と警察への相談は済んでいるとしている（日付は書かれていない）。対象の人へのメール通知を、この日から順に始めるとしている11月2日
当サイトが発表の本文を確認。続報の記載なし
- 対象の情報
- MyBRANDSに登録した人（退会した人を含む）の、氏名、メールアドレス、電話番号、プロフィール（職歴など）、ログイン用パスワード（変換した値）等。登録内容によって異なる。求職者と企業の担当者の情報が対象
- 含まれないもの
- クレジットカードと銀行口座の情報は預かっておらず、含まれない。iDA（ida-mode.com）やMyBRANDS新卒など、MyBRANDS以外のサービスは今回の対象ではない
- 暗号化と鍵
- 氏名・メールアドレス・電話番号・住所は暗号化して保存していた。暗号を解くための鍵も取得されたおそれがある
- 同社の対応
- サービスを停止中で、安全を確認できるまで再開しない。個人情報保護委員会へ報告し、警察に相談。委託先とともに原因を調査し、再発防止に取り組む
- 二次被害
- 現時点で、情報が悪用された事実（二次被害）は確認されていない
分かっていること・分かっていないこと
2026年11月2日時点の状態です。続報が出たら、この表を書き換えます。
| 項目 | 発表の内容 | 状態 |
|---|---|---|
| 鍵の不正使用 | 10月21日〜22日に、委託先で使っていたクラウドの管理用の鍵が第三者に不正に使われた | 同社の説明 |
| データの送信 | 複製したデータベースから外部へデータが送られた記録がある | 確定（同社） |
| 送られたデータの中身 | 確認できていない。預かっていた情報はすべて対象として知らせている | 調査中 |
| 氏名・メールアドレス・電話番号・プロフィール（職歴など） | 外部に漏えいしたおそれ | 可能性（同社） |
| ログイン用パスワード | 変換した値が、漏えいのおそれのある情報に入っている | 可能性（同社） |
| 住所 | 一覧に明記なし（「等」あり）。同社は預かった情報をすべて対象として知らせており、暗号化して保存していた項目として住所を挙げている | 記載なし |
| 暗号を解く鍵 | 取得されたおそれがある | 可能性（同社） |
| クレジットカード・銀行口座 | 預かっておらず、含まれない | 含まれない（同社） |
| MyBRANDS以外のサービス | 対象ではない | 含まれない（同社） |
| 件数 | 最大約13万5千件（アカウント数、10月30日時点）。退会者を含む | 最大（同社、10月30日時点の上限） |
| 原因の詳しい経緯 | 鍵が使われた理由などは書かれていない | 調査中 |
| 不正使用・二次被害 | 現時点で確認されていない | 確認されていない（同社） |
| 対象者への連絡 | 10月30日から順にメールで送付（全員に届く時期は未公表） | 同社の説明 |
| 規制当局 | 個人情報保護委員会へ報告、警察に相談したと同社が説明。当局側の発表は当サイトでは確認していない | 記載なし（当局） |
| サービスの再開 | 停止中。安全の確認まで再開しない | 調査中（時期は未公表） |
読み方の注意：「おそれ」と「暗号化」
同社の発表は、情報が「外部に漏えいしたおそれがある」と書いており、中身を確認できていないため預かった情報すべてを対象として知らせています。当サイトは同社の言葉をそのまま使います。また、暗号化して保存していた項目も、暗号を解く鍵が取得されたおそれがあるため、読まれた前提で備えるのが安全です（当サイトの勧め）。
氏名・連絡先・職歴で何が起きうるか
以下は、この項目の組み合わせから一般に起きうることで、本件で起きたと同社が公表しているものではありません。
- 氏名＋メールアドレス＋電話番号：採用担当やスカウトを名乗る、本物らしい電話・メール・SMSの宛先になる
- 職歴などのプロフィール：「あなたの経歴を見て」と具体的に書ける材料になり、疑いにくい連絡を作れる。応募した企業や希望の職種を使った偽の連絡にも注意する
- 企業担当者の氏名・メール・電話：取引先や応募者を装った、業務メールに見える連絡の宛先になる
- パスワード（変換した値）：一般に、変換した値からでも、短い・ありがちなパスワードは元の文字列を割り出されることがある。同じパスワードを使った他のサービスへの不正ログインの材料になりうる（パスワードのハッシュ化とは）
同社は、カード情報と銀行口座の情報は含まれないとしています。ただし、面接や採用手続きを名目に、カード番号、口座の暗証番号、本人確認書類の写しをメールやメッセージで求める連絡は、偽物の可能性が高いと考えて対応します。
運営者が見直すこと
鍵が使われた詳しい経緯は公表されていません。ここでは、公表された経緯（委託先で使っていた鍵、複製したデータベース、暗号を解く鍵も取得されたおそれ）から言える、一般的な見直しの点だけを挙げます。
- 委託先に渡すクラウドの鍵：委託先ごとに別の鍵にし、必要な操作・必要な期間だけに権限を絞り（最小権限）、定期的に作り直す（ローテーション）。不要になったら無効にする。使われていない鍵が残っていないかを棚卸しする
- 暗号化したデータと、暗号を解く鍵の置き場所：同じ権限で両方に届くと、暗号化は守りになりません。鍵は別の管理サービスや別の権限に分け、データを読める人・鍵を使える人を別にする
- データベースの複製：検証や移行で作る複製も、本番と同じ強さで守り、使い終えたら消す。複製を作れる権限と、外へ送れる経路を絞る
- 外部への大量送信の検知：同社は、外部へデータが送られた記録があることが分かった、と説明しています。外部への転送量を記録して通知する設定は、気づくまでの時間を縮めます
これらは一般的な見直しの点で、同社がこれらを行っていなかったという意味ではありません。
出典（公開記録）
本記事の事実関係は、以下の公開情報にもとづきます。公表されていない経緯や、送られたデータの中身は推測していません。同社のサイトは自動取得を受け付けないため、ブラウザで本文を確認しました。
- 株式会社iDA「MyBRANDSへの不正アクセスによる個人情報漏えいのおそれについて（お詫びとお知らせ）」（2026年10月30日、11月2日に確認） — ida-mode.com
更新履歴
2026-11-02：初版。同社の10月30日の発表にもとづく（11月2日に確認、続報は見当たらず）。
次に読む
- 同じ求人サイトの型：バイトルの不正アクセス（メールアドレスのみ漏えい、偽の面接連絡への備え）
- 認証情報から始まる事案：認証情報の窃取から始まった2026年の漏えい
- 詐欺メッセージへの備え：フィッシングとは
- 運営者向け（鍵や秘密情報の管理）：漏えいした認証情報が失効しないまま使える問題
- アカウントを守る：多要素認証の選び方 ／ パスワードマネージャーの選び方
- 2026年の他の事案：情報漏えい・サイバー攻撃の一覧（国内・海外）