株式会社ApplyNowは11月4日、9月9日に公表した同社提供の「Interview Cloud」「ApplyNow」「ApplyNow Sign」への不正アクセスによる個人情報漏えいの可能性について、最終報を発表した。
同社では、提供する「Interview Cloud」「ApplyNow」「ApplyNow Sign」に第三者から不正アクセスがあり、データベース内に保存されていた一部データへの不正アクセスの痕跡を確認しており、全容解明に向けた調査を行っていた。
外部専門機関によるフォレンジック調査の結果、下記が判明している。
・第三者は、ApplyNowが社内で利用していたデータ分析ツールの提供元が公表していた脆弱性を悪用し、8月9日に侵入し、管理者権限を取得していた。
・データ分析ツールに接続されていたApplyNowサービス（「Interview Cloud」「ApplyNow」「ApplyNow Sign」）のデータベースについて、8月23日・26日に一部が閲覧され、9月7日に一括で取得されている。
・9月7日にツールの停止を契機にApplyNowが異常を検知し、同日中に不正なアカウント等の無効化・削除を行い、侵入経路を遮断している。
同社では発生原因として、分析ツールから個人情報を含むデータを参照できる構成となっていたこと、データの保管期間を定められておらず、利用を終了した企業・団体に係るデータの削除が行われていなかったことを挙げている。
漏えいした個人情報は応募者・契約者・企業ユーザーの396,920人と「ApplyNow Sign」で雇用契約を締結した30,067人で、その内容は下記の通り。
対象サービス：Interview Cloud
応募者情報：氏名、フリガナ、電話番号、メールアドレス、一部は選考に関する情報（応募日、面接日等）、生年月日、性別、職業
企業ユーザー情報：氏名、メールアドレス、パスワード（ハッシュ化）、権限
対象サービス：ApplyNow
応募者情報：氏名、フリガナ、電話番号、メールアドレス、一部は選考に関する情報（応募日、面接日等）、生年月日、性別、住所、職業、受験番号、学校名
企業ユーザー情報：氏名、メールアドレス、パスワード（ハッシュ化）、権限
対象サービス：ApplyNow Sign
契約者情報：氏名、フリガナ、電話番号、メールアドレス、一部は生年月日、性別、住所、個人番号（マイナンバー）、金融機関名・口座情報、基礎年金番号、在留カード番号、雇用保険被保険者番号、扶養控除に関する情報
企業ユーザー情報：氏名、メールアドレス、パスワード（ハッシュ化）、権限
同社では9月19日から、対象者にメール等で個別に通知を行っている。
同社では今後、下記の再発防止策を実施するとのこと。
・利用を終了した企業・団体に係るデータの削除（実施中）
・不審な操作を検知し担当者へ自動通知する仕組みの導入
・データベースの暗号化対象項目の拡大
・データ分析ツールが参照するデータを、個人情報を含まないよう加工した専用のデータに切り替え
・個人情報・特定個人情報の保管期間の策定と、期間経過後の自動削除の仕組み化
・外部機関による脆弱性診断の定期実施（年1回）
