【スタディサプリ】機能の不備を突かれ、3,687件のメールアドレスの「登録の有無」を特定された可能性

公表：2026年10月3日（リクルート）、10月5日（千代田区）

3行でわかるポイント

1. 学習サービス「スタディサプリ」で、システムの一部機能の不備を突いた不正アクセスがありました。
2. 3,687件のメールアドレスについて、「スタディサプリに登録されているかどうか」を知られた可能性があります。
3. 氏名やパスワード、支払い情報の流出は確認されていません。スタディサプリやリクルートを装うメールに注意してください。

何が起きたか

9月30日、第三者による不適切な操作が見つかりました。ある機能の仕様の不備を利用して、特定のメールアドレスがスタディサプリに登録されているかどうかを確かめられる状態だったとみられます。具体的な機能名や手口は公表されていません。リクルートは同じ日に機能を直しています。

漏れた可能性のある情報

1. メールアドレスがスタディサプリに登録されているかどうか（3,687件）

対象は小学・中学・高校・大学受験講座の登録者です。東京都千代田区では、区内の児童・生徒8人が含まれていました。氏名、パスワード、決済情報の流出や、アカウントへの不正ログインは確認されていません。

影響／原因

「登録されている」と分かったメールアドレスは、スタディサプリを装った偽メールの宛先として狙われやすくなります。リクルートは緊急の点検と監視の強化を行い、対象者や学校・自治体に個別に連絡しています。

利用者が今すべきこと

1. スタディサプリやリクルートを名乗るメールのリンクは開かず、公式アプリやサイトからログインしましょう。
2. メールでパスワードや認証コードを求められても入力しないでください。
3. お子さんが使っている場合は、家族でこの注意点を共有しておくと安心です。

私たちが学べること

「このメールアドレスは登録済みです」と教えてしまう仕組みは、それだけで攻撃の手がかりになります。登録されていると分かれば、その会社をかたる偽メールの効果が上がるからです。氏名やパスワードが漏れていなくても、油断は禁物です。

経過

出典

1. リクルート：【重要】スタディサプリへの不正利用に関するお詫びとお知らせ（10月3日）
2. 千代田区：「スタディサプリ」登録メールアドレスの漏えいについて（10月5日）
3. セキュリティ対策Lab（10月6日）

※この記事は公開情報をもとにAIが要約しています。誤りや続報があれば、下の「コメント」またはサイト下部の「問合せ」からお知らせください。