- 重要度
- 重要度：5段階中4 4,998件
- 公表日
- 2026.09.30
- 原因の分類
- 製品・サーバーの脆弱性、サプライチェーン
- 対策可能性
- 判定保留
この記事の3行まとめ
- 委託先の採用管理サービスから、応募者と従業員の個人情報が漏えいした。
- データ分析ツールの脆弱性を悪用され、2026年8月から9月まで不正アクセスを受けた。
- 対象者は手続き不要で、不審な連絡は開かず、ApplyNowの窓口に確認する。
吉野家とはなまるが採用業務の一部を委託していたApplyNowの採用管理プラットフォームで、データ分析ツールの脆弱性を悪用した第三者による不正アクセスが起きた。2026年8月9日から9月7日まで続き、9月7日にはデータベースの一部が不正に出力された。応募者の氏名（カナ）、メールアドレス、電話番号などの情報（吉野家4,998件、はなまる368件）や、採用担当者のアカウント情報、当社グループ従業員の情報（418件）が漏えいした。現時点で二次被害は確認されていない。
確認された経路・公表元の推定
- 2026年8月9日から9月7日まで、ApplyNowの採用管理プラットフォームで、データ分析ツールの脆弱性を悪用した第三者による不正アクセスが起きた。
- 2026年9月7日、ApplyNowがシステム内部で異常なアクセスログを検知し、不正アクセスの痕跡を確認した。同日、遮断などの緊急措置を実施した。
- 2026年9月7日、当該ツールのデータベースから一部のデータが不正に出力された。
- 2026年9月16日、ApplyNowから吉野家・はなまるに、応募者と従業員の情報が外部に漏えいした可能性があると連絡があった。
- 2026年9月28日、契約終了後も応募者の情報がデータベースに残っていたことが確認された。
根拠の要点
公表資料にデータ分析ツールの脆弱性を悪用した不正アクセスと記載されている。不正アクセスに利用された経路の遮断と、原因となった脆弱性の修正が完了したとされる。
資料の基準時点：2026年9月30日時点
当時、対策できたのか
判定保留
資料は原因となった脆弱性の修正完了を記載しているが、脆弱性が既知だったか、攻撃時点でどの程度防御されていたかは書かれていない。契約終了後も応募者情報が消去されず残っていた点は、委託先の運用の問題として別に記載されている。そのため判定を保留とした。
公表された対策
- 原因となった脆弱性の修正が完了し、不正アクセスに利用された経路は遮断された。
- 影響を受ける可能性のある企業に、パスワード変更を促す連絡をした。
- ApplyNowは弁護士と連携して被害状況の全容解明と法的対応を進め、外部の専門調査会社が調査を継続している。
- 契約終了後に残っていた応募者の情報は、調査と連絡に必要な対応が完了次第、ApplyNowが消去すると説明している。
- 委託先の管理体制や契約内容、定期的な監査など、委託先に対する管理方法を見直す。
- SaaS導入時の審査やログ管理などを含め、情報セキュリティ管理体制を強化する。
- 10月1日以降、対象となる人にメールで本件の案内を送る。
まだ分からないこと
- 脆弱性の製品名や、CVE番号など脆弱性を特定する情報は資料に記載がない。
- 脆弱性がいつ公表され、攻撃時点で修正が済んでいたかは分からない。
- 対象件数はアカウント数で、重複があるため人数とは一致しない。
- 契約終了後も情報が残っていた期間や、社内運用の詳細は資料に記載がない。
- 面接の録画データは別の保管領域にあり不正アクセスは確認されていないとされるが、調査の詳細は記載がない。
- 組織の事業内容は資料に記載がない。
- 調査は継続中で、影響範囲の全容は確定していない。