新卒就活「OfferBox」、学生の氏名などを利用企業が開発者ツール経由で閲覧可能に　最大31万人

公開 2026年10月06日 10時26分

[ITmedia]

印刷する Googleで優先するソースとして追加

　企業が興味を持った学生にオファーを送る、新卒向け“逆求人”サービス「OfferBox」を運営するi-plug（東証グロース上場）は10月5日、利用企業向けの特定のページで、利用学生の氏名とメールアドレスが通信データに含まれていたと発表した。

OfferBoxの学生向けサイトより

ニュースリリースより

　ブラウザの開発者ツールで開発者向け画面を表示すると、これらの個人情報が見える状態だったという。対象となる可能性がある学生は、理論上の最大値で31万4009人に上る。

　「OfferBox」は、学生が企業からのオファー（個別連絡の申込）を承諾するまで、氏名を利用企業に開示しないとしていたが、今回、企業がページを表示するためにサーバからブラウザに送られるデータに、学生の姓（LASTNAME）、名（FIRSTNAME）、メールアドレス（LOGINID）の3項目が含まれていた。

　氏名は姓名そのままではなく、文字コード（例：A4A2など）で表示されており、文字コード変換ツールなどを使って初めて姓名が分かる形だった。

　8月27日、利用企業から、特定の環境下でオファーを承諾していない学生の氏名と思われるものが表示されているとの問い合わせを受けて社内調査を開始。翌28日に設定不備を解消した。

　設定不備は5月12日から8月28日まで続いており、31万4009人は、この期間に検索対象となっていた2027年卒と28年卒の利用学生の総数。実際に利用企業が閲覧した学生の数とは一致しない。

　原因はシステムの設定不備。機能のリリース時に、意図しない個人情報が表示されていないかを確認する工程はあったが、サービス利用画面の表示確認にとどまり、通信データの内容までは確認していなかった。

　情報を閲覧できたのは利用企業に限られ、現段階で利用企業以外の第三者への流出は確認していない。個人情報は通信データ上にのみ存在し、通常の利用では企業から見られる状況になかったため、対象者を正確に特定できないとしている。

　再発防止策として、新機能のリリース判定基準を定期的に見直し、リリース判定のガイドラインを再整備する。

印刷する