吉野家ホールディングス 採用管理プラットフォーム「ApplyNow」への不正アクセスで応募者・従業員の個人情報が漏えい
- 公表日
- 2026/09/30
- 組織
- 株式会社吉野家ホールディングス
- 事故種別
- 不正アクセス
- 業種
- 小売・EC
- 影響件数
- 調査中
- 流出した情報
- 吉野家・はなまるの採用に2022年4月11日から2024年6月30日までに応募した人の個人情報（吉野家4,998件、はなまる368件）。項目は経由したサービスによって異なり、面接シェアリングサービス「Interview Cloud」経由の応募分は氏名（カナ）、メールアドレス、電話番号、生年月日、性別、一部の方の住所・職業、録画面接「ApplyNow」経由の応募分は氏名（カナ）、メールアドレス、電話番号。あわせて、採用に関わる当社グループ従業員418件分のユーザー名、メールアドレス、暗号化されたパスワード、権限（アカウント数であり、重複があるため人数とは一致しない）。面接の録画データは今回対象となったデータベースとは別の保管領域に保存されており、不正アクセスは確認されていない。2026年9月30日時点で確認できている内容で、現在も調査中。
何が起きたか
株式会社吉野家ホールディングスは2026年9月30日、同社グループの株式会社吉野家（以下、吉野家）と株式会社はなまる（以下、はなまる）がアルバイト採用業務の一部を委託していた株式会社ApplyNow（以下、ApplyNow）の採用管理プラットフォームで、データ分析ツールの脆弱性を悪用した第三者による不正アクセスが発生し、個人情報が漏えいしたと公表した。
ApplyNowの採用管理プラットフォームを通じて漏えいした情報には、同プラットフォームを通じて吉野家およびはなまるの採用に2022年4月11日から2024年6月30日までに応募した人の個人情報と、同プラットフォームを利用していた採用に関わるグループ従業員の情報が含まれる。吉野家とはなまるの委託契約は2024年6月に終了していたが、応募者の情報は契約終了後もApplyNowのデータベースに残っていた。
時系列
- 2022年4月11日〜2024年6月30日 - 吉野家とはなまるがApplyNowにアルバイト採用業務の一部を委託し、同社の採用管理プラットフォームで応募を受け付け
- 2026年8月9日〜2026年9月7日 - データ分析ツールの脆弱性を悪用した第三者による不正アクセスが発生
- 2026年9月7日 - 異常なアクセスログを検知・調査し、不正アクセスの痕跡を確認。直ちに不正アクセスの遮断などの緊急措置を実施。あわせて、当該ツールのデータベースから一部のデータが不正に出力されたことを確認
- 2026年9月16日 - ApplyNowから、影響範囲に吉野家およびはなまるの採用に応募した人の個人情報と、採用に関わるグループ従業員の情報が含まれ、外部に漏えいした可能性があるとの連絡を受ける
- 2026年9月21日 - 個人情報保護委員会へ報告
- 2026年9月28日 - 契約終了後も応募者の情報がApplyNowのデータベースに残っていたことを確認
- 2026年9月30日 - 「ApplyNow採用管理プラットフォームへの不正アクセスによる個人情報漏えいに関するお知らせとお詫び」を公表
- 2026年10月1日以降 - 対象者に対し、吉野家ホールディングスとApplyNowからメールで案内を送付
影響
2026年9月30日時点で確認できている内容は次のとおりで、現在も調査中。
- 吉野家・はなまるの採用に2022年4月11日から2024年6月30日までに応募した人の個人情報（吉野家4,998件、はなまる368件）
- 経由したサービスにより漏えいした項目が異なる。面接シェアリングサービス「Interview Cloud」経由の応募分は氏名（カナ）、メールアドレス、電話番号、生年月日、性別、一部の方の住所、職業。録画面接「ApplyNow」経由の応募分は氏名（カナ）、メールアドレス、電話番号
- 採用に関わるグループ従業員418件分のユーザー名、メールアドレス、暗号化されたパスワード、権限。件数はアカウント数であり、重複があるため人数とは一致しない
- 面接の録画データは対象となったデータベースとは別の保管領域に保存されており、不正アクセスは確認されていない
- 現時点で、漏えいした情報が不正に利用されたなどの二次被害は確認されていない
- 採用管理プラットフォームと吉野家ホールディングスのシステムは分断されているため、同社システムへの不正アクセスは確認されていない
当事者の対応
- 不正アクセスの痕跡を確認した2026年9月7日に、不正アクセスの遮断などの緊急措置を実施。不正アクセスに利用された経路は遮断され、原因となった脆弱性の修正も完了
- 社内の情報セキュリティ委員会への報告と、対応に向けた社内体制・確認フローの整備
- 2026年9月21日に個人情報保護委員会へ報告
- 対象となる人には2026年10月1日以降、吉野家ホールディングスとApplyNowからメールで案内を送付。対象者が手続きする事項はない
- 委託先の管理体制や契約内容、定期的な監査など委託先に対する管理方法の見直しと、SaaS導入時の審査やログ管理など情報セキュリティ管理体制の強化を進める
- ApplyNowは、外部の専門調査会社による調査に必要な記録の保全と、対象者への案内・問い合わせ対応のために直ちに情報を消去できない状況にあり、これらの対応が完了次第、速やかに消去すると説明
- 同社やApplyNow、求人企業、行政機関、金融機関などを装った不審なメール、SMS、電話への注意喚起と、ApplyNowの問い合わせ窓口、吉野家ホールディングスの相談窓口を案内
出典
- 資料名：ApplyNow採用管理プラットフォームへの不正アクセスによる個人情報漏えいに関するお知らせとお詫び
- 公表主体：株式会社吉野家ホールディングス（株式会社吉野家・株式会社はなまる）
- URL： https://www.yoshinoya.com/wp-content/uploads/2026/09/30185541/news_2026093004.pdf
- 公表日：2026年9月30日
出典
株式会社吉野家ホールディングス（株式会社吉野家・株式会社はなまる）「ApplyNow採用管理プラットフォームへの不正アクセスによる個人情報漏えいに関するお知らせとお詫び」