チップス
どんぐり大学卒、一般企業の情報システム部で働く若手エンジニア。
入社1〜3年目らしい悩みを抱えつつ、日々の運用やセキュリティ対応に奮闘中。慌てんぼうだが素直で吸収力が高く、ボスに鍛えられながら着実に成長している。
ボス
セキュリティ、インフラ、運用の修羅場をくぐってきた歴戦のエンジニア。サイバーセキュリティラボの所長でボスと呼ばれている。
現場視点と経営視点の両方から、本当に使えるセキュリティとキャリア戦略を叩き込む。口は悪いが面倒見はよく、若手育成と実践的な情報発信に力を注いでいる。
@boss_sec_labo
「スキルマーケットに登録した履歴書が漏れたら、何に悪用されるの？」
「一度遮断したのに、なぜ同じ日にまた入られたの？」
チップスボス、ココナラで履歴書や職務経歴書が流出したってニュースを見たでしゅ！副業の登録に使っていたでしゅ……。
ボス「ココナラスキルマーケット」の件だな。履歴書449件と職務経歴書関連の書類1845件が持ち出された。
チップス最初の不正アクセスはすぐ止めたって書いてあるのに、どうして流出したんでしゅか？
ボス同じ日のうちに、もう一度入られたんだ。そこがこの事件の教訓だな。
副業やフリーランスの仕事を探すために、スキルマーケットへ経歴を登録する人が増えています。
この記事では、ココナラが公表した不正アクセスの経緯と流出した情報、登録者と運営側が備えるべき点を整理します。
3行で分かるニュースのポイント
読み終えるころには、経歴書類の流出で気をつけたい二次被害と、侵入を一度止めたあとに何をすべきかが分かるはずです。
オススメ求人・フリーランス案件
【ISMS認証取得支援・PMO（3拠点）】東京都（赤坂駅・リモート併用）／セキュリティマネジメント
【大手企業のセキュリティ推進・脆弱性診断対応】東京都・田町（常駐）／脆弱性レポート・情シス業務
【大手リユース企業のSOC/CSIRT運用・インシデント対応】東京都・飯田橋（リモート併用）／EDR・SIEM・運用自動化
【脆弱性管理・診断基盤の内製化推進】東京都（フルリモート）／ツール導入・セキュリティ運用
【セキュリティ企画推進・コンサルタント】大阪（リモート併用）／セキュリティ戦略・ポリシー策定
【セキュリティ基準準拠・運用改善支援（NIST・ISMS）】豊洲（リモート併用）／PMO
【社内セキュリティ技術コンサルティング】東京・渋谷（常駐）／インフラ全般・設計レビュー・最新技術調査
【セキュリティサービス基盤の環境改善支援】東京・武蔵小杉（フルリモート）／AWS・マルチクラウド・構成改善
【インフラセキュリティ・脅威検知構築】東京・六本木（常駐）／Azure・ゼロトラスト・AD
【Zscalerゼロトラストネットワーク運用】東京・調布（リモート併用）／設計・構築・運用
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
【年収600～1000万円】IT人材紹介企業での社内SE（セキュリティ・ガバナンス）
プロダクトセキュリティエンジニア【AWS・GCP】年収650～1000万
【700～900万】セキュリティ診断テックリード
役員直下｜コーポレートIT・セキュリティ責任者候補【627～908万円】
同じ日に2度の不正アクセスがあり、会員の書類が持ち出されたことが確認されました。
ココナラの発表によると、同社は2026年10月8日、ココナラスキルマーケットへの第三者による不正アクセスを検知しました。
ITmedia NEWSによると、当日の経緯は以下の通りです。
| 時刻 | 出来事 |
|---|---|
| 午前2時5分 | 不正アクセスを検知し、遮断 |
| 午後1時ごろ | 再び不正アクセスを検知 |
| 午後3時ごろ | 情報が持ち出された形跡を確認 |
| 午後3時44分 | 攻撃経路を遮断 |
| 午後9時27分 | 脆弱性の修正を完了 |
同社は10月9日に事案を公表し、警察への通報と個人情報保護委員会などへの報告を行うとしています。
流出したのは、ココナラスキルマーケットに履歴書や職務経歴書を登録していた一部の会員の書類です。
公表された範囲は以下の通りです。
現時点で、情報が公開されたり悪用されたりした事実は確認されていないとしています。
最初の遮断で止まったと考えず、侵入口そのものをふさぐまでが対応です。
発表によると、同社は脆弱性の修正を当日の午後9時27分に終えました。
最初の検知から修正の完了までは、約19時間かかっています。
この間に再び不正アクセスを受けた経緯から、次のような教訓が読み取れます。
攻撃者は、一度失敗しても同じ弱点を何度も試してきます。
履歴書や職務経歴書には、氏名や連絡先に加えて、勤務先や経歴など本人をよく知る人しか分からない情報が並びます。
こうした情報は、本人に合わせた手の込んだ詐欺の材料になります。
登録者が気をつけたい点は以下の通りです。
ココナラは、メールやSMS、電話でパスワードやクレジットカード情報などの認証情報を尋ねることはないとしています。
ココナラスキルマーケットが2026年10月8日に不正アクセスを受け、履歴書449件と職務経歴書関連書類1845件が流出しました。
最初の不正アクセスは遮断したものの、同じ日に再び不正アクセスを受け、脆弱性の修正が終わる前に書類が持ち出されています。
経歴を知っているかのような依頼や連絡は、本物らしく見えても慎重に確かめましょう。
運営側は、侵入を遮断したあとも原因の脆弱性をふさぐまで、攻撃が続く前提で備えることが大切です。
ボス一度追い払っただけで安心するな。扉が壊れたままなら、また来る。
チップス怪しいスカウトのメッセージが来たら、まず疑ってかかりましゅ！
オススメ求人・フリーランス案件
【ISMS認証取得支援・PMO（3拠点）】東京都（赤坂駅・リモート併用）／セキュリティマネジメント
【大手企業のセキュリティ推進・脆弱性診断対応】東京都・田町（常駐）／脆弱性レポート・情シス業務
【大手リユース企業のSOC/CSIRT運用・インシデント対応】東京都・飯田橋（リモート併用）／EDR・SIEM・運用自動化
【脆弱性管理・診断基盤の内製化推進】東京都（フルリモート）／ツール導入・セキュリティ運用
【セキュリティ企画推進・コンサルタント】大阪（リモート併用）／セキュリティ戦略・ポリシー策定
【セキュリティ基準準拠・運用改善支援（NIST・ISMS）】豊洲（リモート併用）／PMO
【社内セキュリティ技術コンサルティング】東京・渋谷（常駐）／インフラ全般・設計レビュー・最新技術調査
【セキュリティサービス基盤の環境改善支援】東京・武蔵小杉（フルリモート）／AWS・マルチクラウド・構成改善
【インフラセキュリティ・脅威検知構築】東京・六本木（常駐）／Azure・ゼロトラスト・AD
【Zscalerゼロトラストネットワーク運用】東京・調布（リモート併用）／設計・構築・運用
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
【年収600～1000万円】IT人材紹介企業での社内SE（セキュリティ・ガバナンス）
プロダクトセキュリティエンジニア【AWS・GCP】年収650～1000万
【700～900万】セキュリティ診断テックリード
役員直下｜コーポレートIT・セキュリティ責任者候補【627～908万円】
