人材SaaSに潜む、
顧客情報流出リスク

文書情報

改訂履歴

配布先

A社 CTO、セキュリティ責任者、開発部門責任者（本書の再配布はA社内に限ります）

目次

1. 1. エグゼクティブサマリー3
2. 2. 診断概要4
3. 3. 検出事項一覧6
4. 4. 検出事項の詳細7
5. 5. 推奨対応計画11
6. 6. 前提条件・免責事項12

1. エグゼクティブサマリー

1.1 総合評価

1.2 結論

通常の採用担当者アカウントでログインした状態から、別の導入企業が管理する候補者情報を参照できる経路を確認しました（F-001）。悪用された場合、A社を利用するすべての導入企業の候補者情報（氏名・連絡先・職歴・履歴書・選考評価）が流出する可能性があります。

加えて、同じ「テナント間の分離」に関わる不備が履歴書ファイルの配信（F-002）とCSV出力（F-003）でも確認されており、個別の実装ミスではなく、認可処理の設計方針に起因する問題と判断しています。

1.3 検出件数

• CRITICAL 1件
• HIGH 2件
• MEDIUM 4件
• LOW 6件

1.4 経営判断をお願いしたい事項

1. 01

   F-001の即日暫定対応の承認：該当APIへのアクセス制限により、一部画面の表示が数時間遅延する可能性があります。

2. 02

   本番環境の過去ログ調査の実施：本番環境でも同じ実装であるため、過去に悪用された形跡がないかの確認を推奨します。

3. 03

   導入企業への説明方針の準備：ログ調査で不審なアクセスが確認された場合に備え、報告・通知の手順を事前に整理してください。

2. 診断概要

2.1 診断対象

2.2 診断条件

診断期間

2026年9月14日〜9月25日（実働8日間）

診断環境

A社より許諾を受けたステージング環境（本番と同一のアプリケーションバージョン）

使用アカウント

テナントA：管理者1・一般2／テナントB：一般1（いずれもA社より貸与された検証用）

診断手法

AIによるソースコード・通信の網羅的解析と、診断員による手動での再現確認

対象外

本番環境、外部決済サービス、OS・ミドルウェア層、サービス妨害（DoS）にあたる検査

2.3 診断の進め方

1. STEP 1

   AIが全画面・全APIの通信とソースコードを解析し、疑わしい箇所を抽出

2. STEP 2

   診断員が1件ずつ再現を試み、誤検知を除外

3. STEP 3

   影響範囲と悪用の容易さから深刻度を判定

4. STEP 4

   修正方針と優先順位をまとめ、本書として報告

2.4 深刻度の定義

深刻度は、CVSS v3.1の基本値を参考に、取り扱う情報の機微性・影響を受ける件数・悪用の容易さを加味して当社基準で判定しています。

2.5 診断項目別の結果

3. 検出事項一覧

合計13件の検出事項を確認しました。状態はすべて本書発行時点のものです。

※ F-001は速報版の報告を受け、2026年9月26日にA社にてアクセス制限による暫定対応が実施されています。

4. 検出事項の詳細

分類

認可制御の不備（IDOR / BOLA）／CWE-639

該当箇所

GET /v1/candidates/{candidate_id}

CVSS v3.1

7.7（AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:N）

必要な権限

任意の導入企業の一般アカウント（管理者権限は不要）

検出方法

AI解析で検出 → 診断員が手動で再現を確認

概要

候補者詳細を取得するAPIは、リクエストで指定された候補者IDのみを条件にデータを検索しており、ログイン中ユーザーの所属テナントと、候補者の所属テナントが一致するかを確認していません。そのため、候補者IDを書き換えるだけで、他の導入企業が管理する候補者の情報を取得できます。

再現手順

1. テナントAの一般ユーザーとしてログインする
2. 自社の候補者詳細画面を開き、APIへのリクエストを確認する
3. リクエスト中の候補者IDを、テナントBに属する候補者のIDに置き換えて送信する
4. エラーにならず、テナントBの候補者情報が返却される

証跡

GET /v1/candidates/cnd_8f3a****（テナントBの候補者ID） HTTP/1.1
Host: api.example-a.test
Authorization: Bearer ********（テナントA 一般ユーザー）

HTTP/1.1 200 OK
{
  "candidate_id": "cnd_8f3a****",
  "tenant_id": "tnt_b0b2****",
  "name": "架空 太郎",
  "email": "candidate@example.test",
  "phone": "000-0000-0000",
  "resume_file": "resume_sample.pdf",
  "evaluation": "二次面接通過 / 評価コメントあり"
}

※ 証跡は一部をマスクしています。表示している個人情報はすべて架空のものです。

F-001 テナント境界を越えて、候補者情報を参照できる（続き）

想定される影響

原因

データの取得処理が「候補者ID」だけを条件にしており、「誰の、どのテナントのデータか」の確認が各APIの実装者に委ねられています。同じ書き方のAPIが他にも存在する可能性が高く、F-002・F-003も同じ原因から発生しています。

推奨対策

candidate = Candidate.find(params[:candidate_id])

candidate = current_user.tenant.candidates.find(params[:candidate_id])

あわせて、テナントの確認を各APIで個別に書くのではなく共通の仕組み（ミドルウェア等）に集約し、「他テナントのIDを指定すると拒否される」ことを確認する自動テストを追加してください。

参考情報

• OWASP API Security Top 10 2023：API1 Broken Object Level Authorization
• CWE-639：Authorization Bypass Through User-Controlled Key

分類

アクセス制御の不備／CWE-284

該当箇所

GET /files/resumes/{file_key}

CVSS v3.1

6.5（AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N）

概要

履歴書のダウンロードURLは発行から7日間有効で、ダウンロード時にログイン中ユーザーの権限を確認していません。URLが社内チャットやメールで転送された場合、権限のない人でも履歴書を取得できます。

推奨対策

URLの有効期限を5分程度に短縮し、ダウンロードのたびに閲覧権限を再確認してください。

分類

認可制御の不備／CWE-639

該当箇所

POST /v1/admin/exports/candidates

CVSS v3.1

6.8（AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:N/A:N）

概要

管理者向けの候補者CSV出力で、絞り込み条件を「全件」にした場合のみテナントIDの条件が外れ、他の導入企業の候補者を含むCSVが出力されます。管理者権限が必要なため深刻度はHIGHとしていますが、1回の操作で流出する件数が最も多い経路です。

推奨対策

画面からの絞り込み条件にかかわらず、ログイン情報から得たテナントIDを出力条件に必ず付与してください。

分類

ログへの機微情報の記録／CWE-532

該当箇所

APIサーバーのアクセスログ・エラーログ

CVSS v3.1

4.4（AV:N/AC:H/PR:H/UI:N/S:U/C:H/I:N/A:N）

概要

候補者の登録・更新APIのリクエスト内容が、氏名・メールアドレス・電話番号を含んだままログに出力されています。ログは開発者全員が閲覧でき、保持期間の定めもありません。

推奨対策

個人情報の項目をマスクしてから出力し、ログの保持期間と閲覧できる担当者を定めてください。

F-005〜F-013 について

MEDIUM 3件・LOW 6件の詳細は、F-001〜F-004と同じ書式（概要・再現手順・証跡・推奨対策）で記載しています。本サンプルでは掲載を省略しています。

5. 推奨対応計画

深刻度と修正の依存関係をもとに、以下の順序での対応を推奨します。想定工数はA社開発チームでの作業を想定した目安です。

想定工数 合計：21.5人日（再診断を除く）

6. 前提条件・免責事項

1. 本診断は、A社による書面での許諾のもと、合意した対象範囲・期間・手法に限って実施しました。
2. 本書は診断実施時点・実施範囲で確認できた事項を報告するものであり、範囲外の箇所や診断後の変更について安全を保証するものではありません。
3. 本書には再現手順と影響範囲を記載していますが、そのまま悪用できる形の攻撃コードは含めていません。
4. 本書の取り扱いはA社の情報管理規程に従い、社外への開示は当社との協議のうえで行ってください。

付録：準拠した基準

• OWASP Top 10（2021）／OWASP API Security Top 10（2023）
• IPA「安全なウェブサイトの作り方」
• CVSS v3.1（共通脆弱性評価システム）