吉野家がアルバイト採用業務を一部委託していた ApplyNow の採用管理プラットフォームに不正アクセス、契約終了後もデータ消去されず

　株式会社吉野家ホールディングスは9月30日、株式会社吉野家と株式会社はなまるがアルバイト採用業務を一部委託していた株式会社ApplyNowの採用管理プラットフォームへの不正アクセスについて発表した。

　吉野家とはなまるでは2022年4月11日から2024年6月30日まで、ApplyNowにアルバイト採用業務の一部を委託し、ApplyNow提供の採用管理プラットフォームで応募を受け付けていたが、同プラットフォームは2026年8月9日から9月7日までデータ分析ツールの脆弱性を悪用した第三者からの不正アクセスが発生し、9月7日には当該ツールのデータベースから一部データが不正に出力されたことを確認している。

　漏えいしたのは2022年4月11日から2024年6月30日の期間に吉野家に応募した4,998件、はなまるに応募した368件で、項目は下記の通り。

面接シェアリングサービス「Interview Cloud」：氏名（カナ）、メールアドレス、電話番号、生年月日、性別、一部の方の住所、職業
録画面接「ApplyNow」：氏名（カナ）、メールアドレス、電話番号

　また、同社グループ従業員418件の吉野家・はなまる採用担当者のユーザー名、メールアドレス、暗号化されたパスワード、権限。

　吉野家ホールディングスおよびApplyNowでは10月1日以降、メールにて本件の案内を行う。

　なお、対象となる情報が契約終了後もApplyNowのデータベースに残っていたことについて、吉野家ホールディングスでは利用規約に準じて契約終了に伴い応募者の情報が同データベースから消去されるものと認識していたが、ApplyNowにおける実際の運用が吉野家ホールディングスの認識と異なっていたことを9月28日に確認している。

　ApplyNowでは、外部の専門調査会社による調査が継続しており、調査に必要な記録を保全する必要があることに加え、対象者への案内や問い合わせへの対応に際して連絡先が必要となることから、直ちに当該情報を消去できない状況にあり、これらの対応が完了次第、速やかに消去すると吉野家ホールディングスに説明を行っている。

　吉野家ホールディングスでは今後、委託先の管理体制や契約内容、定期的な監査等、委託先に対する管理方法を見直すとともに、SaaS導入時の審査やログ管理等、情報セキュリティ管理体制のさらなる強化を進めるとのこと。