シェアフルの最大約750万アカウントに給与振込用の口座情報。本人確認書類の画像は含まれず、マイナンバーとカード情報は同社が保持していない

2026年11月13日

この記事のポイント

いつ：2026年11月4日23時30分ごろに不正アクセス、11月5日9時45分ごろ検知、同日14時までに経路を遮断。公表は11月9日
規模：個人アカウント最大約750万件、求人企業最大約7,500社分
個人の項目：氏名・住所・生年月日・給与振込用の口座情報・緊急連絡先・在留資格関連情報など。銀行口座に付随する暗証番号・パスワードは含まれないと公式が説明
含まれないもの：顔写真はデータ本体ではなくサーバーのURLが対象と報じられている。本人確認書類の画像は含まれない。マイナンバーとカード情報は同社が保持していない
読者は：対象の可能性があるユーザーには電子メール等で個別に連絡する方針。問い合わせ用の専用電話は050-5794-2002（平日9:00〜18:00・対象かの照会先としては示されていない）
まだ分からないこと：侵入経路と確定件数は公表されていない。ログインパスワードの扱いと二次被害の有無は公式の言及を確認できていない

「最大約750万」はアカウント数の上限値で、遮断は11月5日14時までに完了した

シェアフル株式会社は11月9日、社内管理システムへの不正アクセスで個人情報と法人情報が流出した可能性があると公式お知らせで公表しました。

「最大約750万件」は、アカウント数の上限です（INTERNET Watchは「750万件」、ITmedia NEWSは「750万アカウント」と表記し、どちらも実人数ではありません）。

不正アクセスは11月4日23時30分ごろに発生し、翌5日14時までに経路を遮断しました。以後、新たな不正アクセスは確認されていません。

外部の専門調査機関と原因を調査中で、個人情報保護委員会への報告手続きを進め、警察にも通報したとされています。サービスは通常どおり提供されていると、同社の「お詫びとご報告」のお知らせにあります。

漏れた可能性がある個人の項目は、氏名・住所・生年月日に、給与振込用の口座と緊急連絡先、在留資格関連情報が並ぶ

公式が示した項目は、後掲の表のとおりです。

在留資格関連情報の中身と対象範囲は、公式が説明していません。緊急連絡先は公式の表現が「利用者との関係＋電話番号」で、相手の氏名を含むかは確認できていません。編集部の整理では、家族など第三者の電話番号が含まれうるため、その人に偽の連絡が届くおそれがあり、登録した家族や知人にも知らせておくのが無難です。

顔写真はサーバーのURLが対象

INTERNET Watchの報道によると、顔写真のデータ本体は別のサーバーで管理され、アクセス遮断も完了しています。今回の対象はそのサーバーのURLです。URLが漏れた場合に写真が見られるのかは、公式の説明を確認できていません。

運転免許証の画像は今回のデータに含まれていない。マイナンバーとカードはそもそも保持していない

「含まれていない」は不正アクセスを受けたデータに入っていないことを確認したという説明、「保持していない」は同社が元々保有していないという説明です（公式お知らせ）。

分類	項目
漏えいの可能性がある項目	氏名・氏名カナ、電話番号、メールアドレス、住所、生年月日、給与振込用の銀行口座情報、顔写真を保管しているサーバーのURL、緊急連絡先、在留資格関連情報、その他のアカウント属性（登録日・就業回数・希望情報など）
含まれていないことを確認した項目	運転免許証などの本人確認書類の画像、給与金額・ポイント情報、就業実績等の契約・就業データ
同社が保持していない項目	マイナンバー、クレジットカード情報

暗証番号は含まれないとされる一方、本人確認に使われる情報はそろいうる

この節の行動の案内は、公式が示した部分を除き、編集部の一般的な助言です。

含まれないと述べたのは銀行口座の暗証番号まで

公式が「含まれない」と説明したのは、銀行口座情報に付随する暗証番号とパスワードです。アプリのログインパスワードが対象か、ハッシュ化（元に戻せない形への変換）されていたかは、公式の言及を確認できていません。公式が言及していない間は「無事」と読まず、シェアフルのパスワードを他サービスと使い回している場合は、先に変えておくのが無難です。

同社や関係機関を名乗る連絡が来たら

公式は、同社や関係機関を装う不審なメール・SMS・電話のおそれがあるとして、URLへのアクセスや添付ファイルの開封、暗証番号や個人情報の入力を避けるよう案内しています。同社が電話やメールで銀行口座の暗証番号やパスワードを尋ねることは一切ないとも説明しています。

口座情報だけで預金が動かせるかについて、公式は触れていません。ただ編集部の整理では、氏名・住所・生年月日・口座情報・緊急連絡先がそろうと、本人確認のつもりで尋ねられる情報が相手の手元にそろいます。暗証番号やパスワードを求められても応じず、金融機関を名乗る連絡も、連絡内の番号やURLではなく自分で調べた正規の窓口で確かめてください。

給与振込口座やパスワードの変更が必要かは、公式の明示的な案内を確認できていません。入出金の履歴を当面こまめに確認し、身に覚えのない動きは金融機関へ連絡してください。

自分が対象かどうかは、電子メール等での個別連絡を待つことになる

公式は、対象の可能性があるユーザーに電子メール等で順次個別に連絡する方針です。利用者が自分から照会する仕組みは示されておらず、開始時期や件数も確認できていません。公式のユーザー向けお知らせの電話窓口とフォームは問い合わせ先で、照会先としては示されていません。

送信元の表示だけでは真偽を判断できなかった別の事案もあるため、個別連絡の真偽を確かめたい時は、メール内のURLではなく公式サイトから窓口を辿ってください。

求人企業は最大約7,500社分、会社名・住所のほか担当者の氏名・部署・役職・連絡先が対象になりうる

法人の項目は会社名、電話番号、住所、郵便番号、担当者の氏名・部署名・役職・メールアドレス・電話番号、営業管理データの一部とされています。営業管理データの中身と、企業への個別連絡の方法・時期についての公式の言及は確認できていません。

担当者個人の連絡先が項目に入るため、編集部の整理では、担当者を名指しした偽の連絡も不自然に見えにくくなります。公式の注意喚起は同社や関係機関を装う連絡が対象で、自社に当てはめるなら、シェアフルを名乗るメールのURLや添付ファイルは開かず、窓口は自分で公式サイトから辿る行動になります。

まとめ

侵入経路と確定件数は公表されておらず、アプリのログインパスワードの扱いと二次被害の有無は公式の言及を確認できていません。11月12日時点で続報は確認できていません。個別連絡を待つ間は、暗証番号やパスワードを尋ねる連絡に応じず、他サービスと使い回しているシェアフルのパスワードは先に変え、窓口は公式サイトから辿ってください。