マイナビ個人情報漏洩の一覧（2020〜2026年の7件）：11万件の対象確認・登録は危険か・偽連絡の見分け方

マイナビとそのサービスが公表した情報漏洩・不正アクセスの事案で、公式発表を確認できたものは2020年から2026年までに7件あります。最新は2026年3月31日の第三報で、同社が利用するクラウドサービスへの不正アクセスにより、一般ユーザー74,224件を含む合計111,505件の個人情報が流出した可能性があるとしています。2026年10月13日時点で、マイナビのお知らせ一覧とマイナビ転職のお知らせ一覧に、これより新しい漏洩の公表はありません。

この記事では7件を年別に一覧にし、「いまマイナビに登録して大丈夫か」「暗証番号通知センターなど、マイナビを名乗る連絡は本物か」に公式発表の文言で答えます。続けて、自分が対象かの確かめ方、11万件の事案の経緯と内訳、パスワード点検の手順、相談先を整理します。

まとめ：マイナビ情報漏洩の要点

• 公式発表を確認できた事案は7件です。外部からの攻撃は2021年のマイナビ転職への不正ログイン（212,816名分）と2026年の業務用クラウドへの不正アクセス（111,505件）の2件で、残る5件は設定の誤りやシステムの不具合でした。
• 2023年には新卒向け「マイナビ」の応募者管理システムで、応募者1,662名のデータが別の企業15社に渡る不具合も起きています。
• 2026年の事案はサービスサイトとそのデータベースへの不正アクセスによるものではないと公式に書かれており、マイナビ転職やマイナビバイトのログインや応募はこれまでどおり使えます。
• 対象者には順次個別連絡があり、届かなかった人には第三報の公表が連絡の代わりになります。問い合わせは臨時お問い合わせ専用サイトで受け付け、案内されているメールアドレスはフォームの操作方法の質問用です。電話窓口は案内されていません。
• マイナビは、求人案内や入社サポートで金銭を求めることは一切ないと公表しています。「暗証番号通知センター」は過去のマイナビ転職の掲載企業向け資料にある名称で、求職者向けの窓口でも、情報漏洩の問い合わせ窓口でもありません。

マイナビの情報漏洩・不正アクセス事案：2020〜2026年の公表日別一覧

マイナビと各サービスの公式のお知らせで確認できた、個人情報の漏洩・不正アクセスの事案は次の7件です。グループ会社を含むすべての公表を網羅したものではありません。

件数の単位は各発表の表記どおりで、「名」と「件」が混在しています。2026年の事案の公式発表は第一報〜第三報、2025年はマイナビのお知らせ（2025年10月3日）です。

2021年：マイナビ転職への不正ログインと画像認証・パスワード強化

2021年1月17日から2月9日にかけて、外部で不正に取得されたとみられるパスワードで、マイナビ転職のWEB履歴書へのなりすましログインが行われた事案です。マイナビ転職のお知らせ（2021年2月12日）によると、件数は退会者を除く212,816名分でした。マイナビ転職は全ユーザーのパスワードをリセットし、2月17日にログイン画面へ画像認証を導入しています。同年10月6日のお知らせでは、前回ログインから180日間ログインがないアカウントのパスワードを自動でリセットし、強度が「無効」のパスワードでは登録や変更ができないようにしたと告知しました。

マイナビ農業とTECH+の3件：アンケートフォームと提案資料の設定不備

マイナビ農業のお詫び（2020年8月13日）によると、8月6日のYouTubeライブで視聴者向けのWEBアンケートの回答が、後から回答した別の人に見える状態でした。対象は49名で、氏名・メールアドレス・住所・電話番号などです。

IT・テクノロジー情報サイト「TECH+」は、TECH+のお知らせに2件を載せています。2021年12月13日の告知では、イベントのクイズ回答ページ（Googleフォーム）の設定不備で、12月7日から10日までに回答した37名の氏名・メールアドレス・回答内容が、後から回答した人に表示されていました。2023年4月26日の告知は、協賛営業用の提案資料30種に、2019年11月と2022年12月のセミナー参加登録者1,210名の個人情報を含むグラフの元データが残っていたとしています。資料はCRMシステムで営業代理店に共有していましたが、公開設定の誤りで、2020年8月1日から2023年4月20日まで検索エンジン経由で第三者が見られる状態でした。項目は氏名・勤務先・勤務先電話番号・職位などです。

2023年10月：新卒「マイナビ」の応募者管理システムで別企業へ応募者データ

新卒向け就職情報サイト「マイナビ」に付随する応募者管理システム「MIWS」で、企業が応募者データをCSVで取り出すと、別の企業の応募者データが混ざる事象が2022年2月17日から2023年9月13日まで起きていました。対象は「マイナビ2023」「マイナビ2024」「マイナビ2025」で企業に応募した人の一部1,662名で、本来は取得できないデータを受け取った企業は15社です。項目は氏名・メールアドレス・住所・電話番号・所属学校などでした。

原因は、CSVを作る途中の一時ファイルの処理中にミドルウェア障害などが起き、他社の出力内容が混在したことです。マイナビは15社にデータの削除を依頼して了承を得て、ダウンロード直前に要求元の企業のデータかを確かめる処理を加えました。告知ページは削除済みのため、Internet Archive に保存された告知（2023年10月25日）で確認しています。

2025年の社給端末管理クラウド：権限誤設定による社員情報の公開状態

2025年の事案は利用者の情報ではありません。社員に貸与するPCや携帯電話を管理するクラウドで、アクセス権限の設定を誤ったため、社員氏名・社員番号・役職・所属部署名・就業場所・付与メールアドレスが2022年11月26日から2025年9月2日まで外部から閲覧できる状態でした。第三者による不正アクセスの形跡は確認されていないとしています。

2026年の公式告知：漏洩の公表ではない注意喚起とアクセス障害

2026年の事案は第三報（3月31日）が最新報で、2026年10月13日時点でマイナビのお知らせ一覧に第四報はありません。同じ年に出たその他の告知は次のとおりで、いずれも漏洩の公表ではありません。

8月13日のお知らせは他サービスと共通のパスワードを避けるよう求めるもので、マイナビ転職で不正ログインが起きたとは書いていません。9月29日13時20分頃からのアクセス障害は30日17時50分頃に解消し、原因や不正アクセスとの関係は書かれていません。

いまマイナビに登録して大丈夫か：公式発表から言えることと言えないこと

公式発表から言えること：2026年の不正アクセスの対象外だったサービスサイトとデータベース

第三報は、本件が「当社が提供する各サービスサイト、およびそのデータベースに対する不正アクセスによるものではありません」とし、サービスの利用に影響はないとしています。本件に起因する二次被害や不正利用も確認されていないと書いています。外部からマイナビ転職のログインが破られたという公表は、2021年の不正ログインが最後です。ただし、利用者の応募データが意図しない相手に渡った事案としては、2023年の応募者管理システムの不具合があります。

公式発表から言えないこと：侵入されたクラウドの名称と手口と再発の可能性

2026年の事案は、侵入されたクラウドサービスの名称も手口も公表されていません。業務用のクラウドに利用者の氏名や住所が置かれていた以上、サービス本体が無事でも流出は起こりえたということです。再発しないと判断できる材料は、公式発表の中にはまだありません。

登録するかの判断の目安：7件のうち利用者の対策が届くのは1件

7件を原因で分けると、利用者の対策が届く範囲ははっきりしています。他のサイトと異なるパスワードを使えば、他サイトから流出した認証情報を転用する2021年型の不正ログインには備えられます。マイナビ転職も2026年8月13日のお知らせで同じことを求めています。残る6件は事業者側の設定、システムの不具合、業務用クラウドで起きたもので、利用者がどれだけ注意しても防げません。

したがって「登録は危険か」は、事案の件数よりも、そのサービスに預ける情報と利用の必要性で決めるのが筋です。転職活動に必要な期間だけ使い、使い終えたら退会する使い方なら、事業者側に情報が残る期間を短くできる可能性があります。2021年の事案では対象から「退会者は除く」と明記されていました。ただし、2026年の業務用クラウドに退会者の情報が残っていたかどうかは公表されていないため、退会するときは個人情報の削除範囲と保管期間もあわせて問い合わせてください。

マイナビを名乗る連絡の真偽：暗証番号通知センターと詐欺の確認手順

本物か偽物かを推測で決めず、マイナビの資料と、公式が「送らない」「求めない」と書いている内容から確かめます。

暗証番号通知センター：掲載企業向けのID発行手順と漏洩の問い合わせ窓口の区別

「暗証番号通知センター」は、マイナビ転職に求人を掲載する企業向けの手順に出てくる名称です。代理店が公開しているマイナビ転職の媒体資料（2018年1月11日時点の情報）には、掲載を申し込んだ企業がメールでログインIDとパスワード設定画面のURLを受け取り、暗証番号通知センターから設定用の暗証番号を電話で受け取る流れが書かれています。同じ資料は、営業担当がログインIDやパスワードを聞くことはないとしています。現在も同じ手順かどうかは、この資料からは分かりません。

一方、マイナビのお知らせ一覧、マイナビ転職のお知らせ一覧、11万件の事案の第一報〜第三報には、この名称は出てきません。11万件の事案の問い合わせは第三報にある臨時お問い合わせ専用サイトで受け付けており、電話窓口は案内されていません。掲載の手続き中の企業なら、契約している営業担当に確認します。求職者がこの名称で電話・SMS・メールを受け取ったら、記載の番号やリンクは使わず、自分で開いたマイナビ転職のヘルプ・よくある質問から問い合わせて確かめてください。

マイナビの注意喚起が書いている「しないこと」とメールマガジンの送信元

マイナビの2026年1月7日の注意喚起は、同社と同社グループの社員・役員・サービスを装った詐欺が発生しているとして、次のように書いています。

• 「求人案内や入社サポートの過程で金銭の支払いを要求することは一切ありません」
• 社員・役員から初回コンタクトを取る際は、公式ドメインからのメールと名刺などの公式ツールを経て案内している
• 手口の例として、SMSやメールで採用担当や役員を名乗り、SNSへ誘導して金銭をだまし取るものや、偽サイトで求人を募るものを挙げている

マイナビ転職の2026年4月9日のお知らせは、キャンペーンやコラボ企画を装ったフィッシングメール、SNSの偽アカウントからの当選連絡、電話やメールでの「覆面調査員」の仕事の勧誘、メールマガジンを装ったフィッシングメールを挙げ、こうした電話・SMS・メールは送っていないとしています。メールマガジンの送信元は [email protected]、[email protected]、[email protected] の3つで、種類と配信日はメールマガジンの種類と配信日で確認できます。

受け取ったメール・SMS・電話の真偽を自分で確かめる手順と相談先

• カード番号、銀行口座、ログインパスワード、暗証番号、認証コードを入力させる・聞き出す連絡には応じない。第三報が案内している手続きは専用サイトでの問い合わせだけです。
• 送信元の表示名やアドレスは偽装できます。メール内のリンクや添付資料は開かず、自分で www.mynavi.jp や tenshoku.mynavi.jp を開いて公式のお知らせを確認します。
• 宛名が本名で住所が正しくても、本物の証拠にはなりません。2026年の事案で流出した可能性があるのは、まさに氏名・メールアドレス・住所です。
• 金銭をだまし取られた、または不審な勧誘を受けた場合は、注意喚起が案内している警察のサイバー犯罪相談窓口や消費者ホットラインに相談します。

偽メールの誘導先と本物のドメインの違い、URLの確かめ方はフィッシング詐欺の成立の仕組みと技術的対策で詳しく扱っています。

マイナビ情報漏洩で自分が対象かを確認する手順と公式の問い合わせ先

第三報によると、マイナビは対象者へ順次個別に連絡しており、「ご連絡がかなわなかった方につきましては、本公表をもってご連絡に代えさせていただきます」としています。登録時のメールアドレスを今は使っていない人には、連絡が届かないまま終わる可能性があります。

1. 登録時のメールアドレスの受信箱と迷惑メールフォルダで、マイナビからの連絡を探す。
2. 連絡が見つからなければ、www.mynavi.jp の「お知らせ」から第三報のページを開く。
3. 第三報に載っている「臨時お問い合わせ専用サイト」（survey.mynavi.jp のフォーム）から問い合わせる。フォームの操作が分からない場合の連絡先は [email protected] です。

マイナビ情報漏洩の発生経緯：異常の検知から第三報公表までの時系列

マイナビが公表した日付を並べると、検知から最初の公表まで69日、流出の可能性を確認してから件数の公表まで74日かかっています。これは公表までの日数で、第一報は関係機関へ報告済みとしていますが、個人情報保護委員会へ報告した日付は公表されていません。

出典はマイナビの第一報、第二報、第三報です。第一報と第二報は件数を示さず、対象を「ユーザー様およびお取引先ご担当者様」としていました。第三報で初めて、マイナビとグループ会社の従業員15,672件が対象に加わっています。

原因について第三報が書いているのは「当社が利用するクラウドサービスに対し、通常のセキュリティ対策を回避する不正アクセスが行われたことに起因する」という一文だけです。どのクラウドサービスか、認証情報の窃取か設定の不備か脆弱性の悪用かは明かされていません。調査は外部のセキュリティ専門会社の協力のもとで行い、警察などの関係機関と連携したと説明しています。

流出の可能性がある情報：11万1,505件の対象者別の内訳と項目

第三報の注記は3つです。1件に含まれる項目は対象者ごとに異なること、クレジットカード情報とマイナンバーは含まれないこと、グループ会社3社（マイナビワークス、マイナビパートナーズ、マイナビグローバル）からの委託業務の情報を含むことです。これらのグループ会社としか取引のない人も対象に入っている可能性があります。

読み取るときに気をつけたい点が2つあります。まず、数字は「件数」で、人数とは書かれていません。同じ人が複数のサービスに登録していた場合の数え方は公表されていません。次に、項目の列挙は「など」で終わっています。パスワードは列挙に入っておらず、パスワードが流出したことを示す記載もありません。ただし含まれないとも明記されていないため、次の章では予防としてパスワードの見直しも入れています。

情報漏洩後の二次被害への備え：一般ユーザーと法人担当者それぞれの対策

第三報の時点で、マイナビは本件に起因する二次被害や不正利用を確認していないと書いています。ただ、氏名とメールアドレスの組は、公表から時間がたってからフィッシングに使われることもあるため、立場ごとに備えておきます。

一般ユーザー：パスワードの使い回し解消と不審な請求書・郵送物への警戒

最優先は、マイナビで使っているパスワードを他のサービスで使っていないかの確認です。2021年のマイナビ転職の事案は、他所で漏れたパスワードを使った不正ログインでした。同じメールアドレスとパスワードの組を使っているなら、マイナビを含めて使い回し先のすべてで別々のパスワードに変えます。住所が対象に含まれるので、身に覚えのない請求書やはがきが届いても記載の連絡先には連絡せず、差出人を自分で調べてから対応します。

使い回しているパスワードが、すでに他所の流出データに入っていないかを確かめるには、Have I Been Pwned の Pwned Passwords API の範囲検索が使えます。公式の説明どおり、パスワードについて送信するのは SHA-1 ハッシュの先頭5文字だけで、照合は利用者の端末側で行います。調べられるのは「そのパスワード文字列が既知の流出データにあるか」で、自分のアカウントが被害に遭ったかどうかではありません。次の Python（3.8以降・標準ライブラリのみ）は入力を画面に表示せず、表示を伏せられない環境では入力前に止まります。

# パスワードが既知の流出データに含まれるかを確かめる（Pwned Passwords の範囲検索）
# 送信するのは SHA-1 ハッシュの先頭5文字だけで、パスワード本体は送らない
import getpass
import hashlib
import urllib.request
import warnings

# 非表示で入力できない環境では、入力を受け付ける前に止める
warnings.simplefilter("error", getpass.GetPassWarning)
pw = getpass.getpass("確認するパスワード（画面に表示されません）: ")
digest = hashlib.sha1(pw.encode("utf-8")).hexdigest().upper()
prefix, suffix = digest[:5], digest[5:]
req = urllib.request.Request(
    f"https://api.pwnedpasswords.com/range/{prefix}",
    headers={"User-Agent": "pwned-check-sample", "Add-Padding": "true"},
)
with urllib.request.urlopen(req, timeout=20) as res:
    body = res.read().decode("utf-8")
count = 0
for line in body.splitlines():
    tail, _, n = line.partition(":")
    if tail == suffix:
        count = int(n)
        break
if count:
    print(f"流出データに {count:,} 回出現しています。このパスワードは使わないでください。")
else:
    print("流出データには見つかりませんでした（安全の保証ではありません）。")

法人の担当者：取引先を装う振込先変更への備えと既知の連絡先での確認

法人の担当者21,609件には勤務先法人名が含まれます。氏名・勤務先・メールアドレスがそろうと、「採用広告の請求先が変わった」「口座を変更した」と取引先を装うビジネスメール詐欺の文面が作りやすくなります。振込先の変更依頼はメールだけで承認せず、登録済みの電話番号など既知の連絡先で相手に確認し、別の担当者が承認する手順を社内で決めておきます。手口の実例はディープフェイク詐欺とBECの手口と防御にまとめています。

業務用クラウド経由の漏えいを踏まえた企業のデータ保管先と権限の点検

7件のうち5件は、外部の攻撃ではなく社内の設定や処理の誤りで起きています。第三報の再発防止策は、監視範囲の拡充とアラート基準の見直し、運用ルールの標準化、定期点検の仕組み化、従業員教育の4つで、どれも方向性の記載です。SaaSやクラウドに顧客情報を置く企業が自社で点検するなら、次の3点から始めます。

• 業務用クラウドや営業資料のどこに顧客・取引先の個人データが置かれているかの棚卸し。2023年のTECH+の件は、提案資料のグラフに残った元データから漏れました。
• アクセス権限と共有設定の定期点検。2025年の誤設定は2年9か月以上、2023年のTECH+の公開設定は2年8か月以上気づかれていませんでした。
• 管理者アカウントの多要素認証と、普段と違う場所や時間帯からのログインを知らせるアラート。

管理者アカウントの多要素認証やアクセス権限の棚卸しを仕組みとして組み込みたい場合は、認証基盤・ID管理システム開発で現状の構成から相談できます。国内で公表される漏えい件数の推移は個人情報漏えい件数の推移で確認できます。

個人情報保護法から見た今回の漏えい対応と対象となった利用者の権利

漏えい発生時の個人情報保護委員会への報告と本人通知の義務・例外条件

個人情報保護法26条は、一定の漏えいについて個人情報保護委員会への報告と本人への通知を義務づけています。対象の類型は同法施行規則7条が定めており、「不正の目的をもって行われたおそれがある」行為による漏えい等（3号）と、本人の数が千人を超える漏えい等（4号）が含まれます。2026年の事案は第三者による不正アクセスのため、該当すると考えられる類型は3号です。報告は、事態を知った後速やかに行う速報と、知った日から30日以内（3号は60日以内）の確報の2段階です（規則8条）。

本人への通知には例外があり、法26条2項ただし書は、通知が困難な場合に「本人の権利利益を保護するため必要なこれに代わるべき措置」をとれば足りるとしています。第三報は、連絡がかなわなかった対象者には公表をもって連絡に代えるとしています。公表内容だけでは、この要件を満たすかまでは判断できません。委員会への報告の実務は個人情報保護委員会への報告義務で扱っています。

利用者が請求できるデータの開示と利用停止・消去の条件および相談先

利用者は、マイナビが保有する自分のデータの開示を請求できます（法33条）。さらに法35条5項は、本人が識別される保有個人データについて26条1項の報告対象となる事態が生じた場合に、利用停止や消去を請求できると定めています。事業者が応じる範囲は、本人の権利利益の侵害を防止するために必要な限度です（同条6項）。

損害賠償は、流出の事実だけで金額が決まるわけではありません。ベネッセの顧客情報流出訴訟で最高裁（2017年10月23日判決）は、プライバシー侵害を認めたうえで精神的損害の有無と程度を審理させるため大阪高裁に差し戻しました。マイナビの第三報には補償の記載はありません。

マイナビの対応に納得できないときの相談先は2つあります。マイナビの個人情報保護方針は、苦情の申出先として認定個人情報保護団体の一般財団法人日本情報経済社会推進協会（JIPDEC）の個人情報保護苦情相談室（0120-700-779）を挙げています。個人情報保護委員会の「個人情報保護法相談ダイヤル」（03-6457-9849、9:30〜17:30、土日祝日・年末年始を除く）は、ガイドラインやQ&Aに基づく助言をする窓口で、個別の事業者の対応が違法かどうかの判断には応じていません。

よくある質問

マイナビで情報漏洩はありましたか。最新の事案はいつですか？

公式発表を確認できた事案は2020年から2026年までに7件です。最新は2026年3月31日の第三報で、業務用クラウドへの不正アクセスにより111,505件の個人情報が流出した可能性があるとしています。2026年10月13日時点で、これより新しい漏洩の公表は確認できません。

マイナビの個人情報漏洩で自分が対象かどうかはどうすれば分かりますか？

マイナビから順次個別に連絡されています。連絡が見当たらない場合は、第三報に載っている臨時お問い合わせ専用サイトから問い合わせてください。電話窓口の案内はありません。

マイナビに登録するのは危険ですか。マイナビバイトは安全ですか？

2026年の事案はサービスサイトとそのデータベースへの不正アクセスによるものではないと公式に書かれており、マイナビ転職やマイナビバイトの利用に影響はないとされています。ただし侵入手口は公表されておらず、過去7件のうち6件は利用者側の対策では防げない種類でした。他サービスと異なるパスワードを使い、預ける情報と利用期間を絞り、退会時には削除範囲も確認するのが現実的な判断です。

マイナビ転職の暗証番号通知センターからの連絡は本物ですか？

「暗証番号通知センター」は、2018年時点のマイナビ転職の媒体資料に、掲載企業がパスワードを設定するための暗証番号を電話で伝える窓口として出てきます。求職者向けの窓口ではなく、情報漏洩の問い合わせ窓口とも別です。過去の資料に名称があることと、いま受けた連絡が本物かは別の問題なので、掲載企業は営業担当に、求職者は自分で開いたマイナビ転職の公式サイトから問い合わせて確かめてください。

マイナビを名乗る求人や副業の連絡で費用を求められました。詐欺ですか？

マイナビは2026年1月7日の注意喚起で、求人案内や入社サポートの過程で金銭の支払いを要求することは一切ないと公表しています。SNSへの誘導や登録料・投資名目の支払いには応じず、被害に遭った場合は警察のサイバー犯罪相談窓口に相談してください。

関連記事

• ユニバーサルミュージック個人情報流出（310万件）｜対象確認・今すべき対処と詐欺の見分け方
• さくらインターネットの不正アクセスと最大136万件｜管理基盤経由の侵害と利用者の点検手順
• KDDI系メール漏えい：BIGLOBE・@niftyの「本人確認のお願い」と電話は本物か
• 村田製作所の情報漏洩｜約8.8万件に取得のおそれ・2026年不正アクセスの原因と時系列
• 個人情報保護委員会への報告義務｜対象4類型・速報3〜5日と確報30日の実務