牛丼の吉野家と、うどんのはなまるが、アルバイトの採用を委託していた会社の仕組みが不正アクセスを受け、応募者や従業員の情報が漏えいしました。注目したいのは、委託の契約がすでに終わっていたのに、消えるはずの応募者の情報が残っていた点です。吉野家ホールディングスと委託先のApplyNowの公表から整理します。
何が起きたか
吉野家ホールディングスは2026年9月30日、吉野家とはなまるがアルバイトの採用業務の一部を委託していた株式会社ApplyNowの採用管理プラットフォームで、データ分析ツールの脆弱性を悪用した第三者による不正アクセスがあり、個人情報が漏えいしたと公表しました。
吉野家とはなまるは、2022年4月11日から2024年6月30日まで、ApplyNowが提供する仕組みで応募を受け付けていました。この仕組みに、2026年8月9日から9月7日まで不正アクセスがあり、9月7日には、そのツールのデータベースから一部のデータが不正に出力されたことが確認されました。
吉野家ホールディングスの公表の対象範囲(9月30日時点)出典: 吉野家ホールディングス「ApplyNow採用管理プラットフォームへの不正アクセスによる個人情報漏えいに関するお知らせとお詫び」(引用)
漏えいしたのは、2022年4月11日から2024年6月30日までに応募した人の情報で、吉野家が4,998件、はなまるが368件です。採用にかかわる同社グループの従業員の情報も418件あり、採用担当者のユーザー名、メールアドレス、暗号化されたパスワード、権限が含まれます。面接の録画は別の場所に保存されていて、不正アクセスは確認されていないとしています。
ApplyNowの仕組みと吉野家ホールディングスのシステムは分かれていて、同社のシステムへの不正アクセスは確認されていません。二次被害も、公表の時点で確認されていないとしています。
契約の終了後も、情報が残っていた
吉野家ホールディングスは、利用規約に沿って、契約の終了とともに応募者の情報はApplyNowのデータベースから消えるものと認識していました。しかし、ApplyNowの実際の運用はその認識と違っていたことが、9月28日に分かったとしています。
契約の終了後も応募者の情報が残っていたことと、今後の見直し出典: 吉野家ホールディングス「ApplyNow採用管理プラットフォームへの不正アクセスによる個人情報漏えいに関するお知らせとお詫び」(引用)
ApplyNowは、外部の専門の調査会社による調査が続いていて記録を守る必要があることと、対象者への案内や問い合わせの対応に連絡先が要ることから、すぐには消せないと説明しています。対応が終わりしだい、速やかに消すとしています。ApplyNowも10月9日の更新で、契約が終わった企業・団体の応募者の情報は、調査の完了後に各社と協議して消し、消し終えたら個別に報告すると公表しました。
吉野家ホールディングスは今後、委託先の管理の体制や契約の内容、定期的な監査など、委託先の管理の方法を見直し、SaaSを入れるときの審査やログの管理も強めるとしています。
時系列
- 2022年4月11日〜2024年6月30日: 吉野家とはなまるが、ApplyNowにアルバイトの採用業務の一部を委託
- 2026年8月9日〜9月7日: ApplyNowの仕組みに、データ分析ツールの脆弱性を悪用した不正アクセス
- 2026年9月7日: ApplyNowが異常なアクセスの記録を検知し、同じ日に遮断
- 2026年9月9日: ApplyNowが自社のサイトで公表(9月11日に企業ユーザーの管理画面のパスワードを強制リセット)
- 2026年9月16日: ApplyNowから吉野家ホールディングスに、影響の範囲に同社の応募者と従業員の情報が含まれると連絡
- 2026年9月21日: 吉野家ホールディングスが個人情報保護委員会に報告
- 2026年9月28日: 契約の終了後も情報が残っていたことを確認
- 2026年9月30日: 吉野家ホールディングスが公表。10月1日以降、対象者にメールで案内
- 2026年10月9日: ApplyNowが、漏えいの事実の確認と、全体で約39万人分という件数を公表。外部の調査の結果は10月末ごろに公表の予定
ApplyNow全体では約39万人分
ApplyNowは、面接シェアリングの「Interview Cloud」、録画面接の「ApplyNow」、電子雇用契約の「ApplyNow Sign」で不正アクセスがあったとしています。10月9日の更新では、漏えいした対象を約39万人分(うちApplyNow Signの利用者が約3万人)とし、件数は外部の機関の調査で確定するとしました。ApplyNow Signの一部の人では、マイナンバー、基礎年金番号、金融機関の口座情報なども含まれます。吉野家とはなまるの件は、このうちの一部です。
影響する会社・しない会社
- 影響する: 2022年4月11日から2024年6月30日までに、吉野家やはなまるのアルバイトに応募した人です。10月1日以降、吉野家ホールディングスとApplyNowからメールで案内が届きます。手続きは不要で、本件を名乗る不審な連絡に注意するよう呼びかけています。
- 影響する: ApplyNowのサービスを使っている、または使っていた企業・団体です。契約が終わった会社の応募者の情報も残っていたため、過去に使っていた会社も、ApplyNowからの連絡を確かめます。
- 影響する(考え方として): 採用や人事の業務を、外部のSaaSや委託先に任せている会社です。契約の終了とともに消える、と思っているデータが、本当に消えているかは、確かめないと分かりません。
委託先にデータを渡すときの注意は、ココナラに不正アクセス 履歴書449件漏えい 外注先に渡すファイルの注意でも整理しています。
情シスが今日やること
- 契約が終わったSaaS・委託先の一覧を作る。採用、人事、勤怠、アンケートなど、個人情報を預けていたサービスのうち、すでに契約が終わったものを洗い出します。使っているものだけでなく、やめたものも一覧に残します。
- 消去の条項を読み直す。利用規約や委託の契約に、契約が終わったあと、いつまでに、どのデータを、どう消すかが書かれているか。「消えるものと認識していた」で終わらせず、条項の文言を確かめます。
- 消した証拠をもらう。契約が終わるときは、消去の完了の報告や証明書を、書面で求めます。バックアップや分析用の複製に残っていないかも、あわせて聞きます。
- 退去の手順を決めておく。契約をやめるときに、データの書き出し、消去の依頼、管理者アカウントの停止、連携の解除を、誰がいつやるかを、手順として残しておきます。
- 使っている委託先にも聞く。今の委託先が、分析用のツールなどに個人情報の写しを持っていないか、持つならどう守っているかを確かめます。今回の入り口は、ApplyNowが社内で使っていたデータ分析ツールでした。
