エン・ジャパン「ミドルの転職」に不正アクセス、8日間で2,503件のリスト型攻撃を検知

「『ミドルの転職』に不正アクセスって、うちの登録情報も覗かれたかもでしゅか？」
「リスト型攻撃って、パスワードを使い回してると確実にやられるって本当でしゅか？」

チップス

転職サイトに登録してるってだけで不安になってきたでしゅ……対策ってどうすればいいでしゅか？

ボス

ふふふ、リスト型攻撃の本質と、サービス側と利用者側それぞれの守り方を整理しよう。

本記事では、ミドルの転職で起きたリスト型攻撃の手口と、企業・利用者の両側で取るべき対策を解説します。

読み終わるころには、自社サービスと自分のアカウント、両方の守り方が整理できます。

ミドルの転職に起きたこととエン・ジャパンの対応

事案の概要と、運営側の対応スピードを整理します。

8日間で2,503件、検知から即時ブロックへ

エン・ジャパンは2026年6月2日、ミドルの転職のWebサーバで不正ログインを検知しました。
調査の結果、5月26日から6月2日までの8日間で2,503件の不正ログイン試行が確認され、攻撃元IP群は当日中にブロックされています。
同社はパスワードをハッシュ化管理しており、自社からの流出は確認されていません。
履歴書情報の改ざんや、企業側管理画面への侵入も認められませんでした。

事案の経過は以下のとおりです。

公式リリースはエン・ジャパンのお知らせで公開されています。

全ユーザーパスワードリセットと相談窓口開設

同社は全ユーザーのパスワードをシステム的にリセットし、6月5日に専用の相談窓口を開設しました。
パスワード再設定方法はメールで通知され、グループ他サービスでの同様の被害は確認されていません。
個人情報保護委員会への報告と警察への通報も完了しており、初動の透明性は比較的高い対応でした。

チップス

8日で2,500件って、ボットで延々と試されていたんでしゅね……

ボス

そう、人手ではなく自動化された総当たり風の試行だ。だからこそ検知の閾値設計が問われる。

リスト型攻撃の仕組みと両側の守り方

サービス事業者と利用者、それぞれの立場でやるべきことをまとめます。

「他社流出のID/PWを試す」シンプルな脅威

リスト型アカウントハッキングは、別サービスから流出した認証情報を、別サイトのログインに片っ端から試す攻撃です。
パスワードを使い回しているユーザーが1人でもいれば、攻撃者は確実に侵入口を得ます。
自社のシステムが堅牢でも、利用者の習慣に依存する点が厄介な脆弱性です。

事業者側の検知・防御ポイントをまとめます。

利用者側でいま見直す3点

利用者ができる対策はシンプルですが効果的です。
パスワード使い回しをやめ、可能な限りMFAを有効化し、転職系・金融系・メインメールの3カテゴリだけはユニークなパスワードに変更してください。
パスワードマネージャを使えば、サービスごとに長い文字列を管理する負担はゼロに近づきます。

チップス

転職・金融・メインメールの3つだけでも、ユニークなパスワードに変えるでしゅ！

ボス

そうだ。完璧を目指す必要はない。守るべき3つから固めるだけで、リスクは大きく下がる。

まとめ

ミドルの転職の事案は、検知と初動が早かった反面、利用者の使い回し癖がそのまま侵入リスクを引き起こす構図を改めて示しました。
事業者は閾値監視・MFA標準・漏洩PW拒否の3点を、利用者は「守るべき3アカウント」のユニーク化とMFA有効化を急いでください。
履歴書情報や経歴データが集まる転職サイトは、漏洩した瞬間のキャリア被害が大きい領域です。
習慣を変えるなら、被害ニュースが出た今がいちばん動きやすいタイミングです。

ボス

セキュリティは習慣の積み上げだ。今日の一歩で、明日の被害は確実に減らせる。

チップス

帰ったら、まずパスワードマネージャー入れてみるでしゅ！