採用管理サービスの会社で、データ分析ツールの脆弱性を突かれ、応募者など約39万人の情報に漏洩のおそれ

何が起きたか

この事故で流出した、または流出したおそれがある情報は、応募者の氏名（カナ）、メールアドレス、電話番号、一部は生年月日・住所。電子契約サービスでは個人番号、基礎年金番号、口座情報を含む契約者情報。約39万人（調査中）です。その後の対応と影響は、ツールへのアクセスを遮断し、パッチを当てた。データベースの接続情報を更新し、企業ユーザーのパスワードを強制的にリセットした。個人情報保護委員会に速報を出し、警察に相談したです。

原因になったのは「社内で使うデータ分析ツールの脆弱性を悪用された」です。公表された内容では、生成AIは事故に関わっていません。

なぜ起きたか

公表文によると、データ分析ツールの脆弱性を突いた第三者が、約1か月にわたり不正にアクセスしていた。会社は不正アクセスに使われたアカウントを無効にし、データベースの接続情報を更新した。

原因の種類は「不正アクセス」です。第三者がシステムに入り、情報を見たり持ち出したりした事故を指します。このサイトに掲載している事故のうち、同じ種類の原因で起きた事故は131件あります。

事故が起きてから公表されるまで

1. 2026年8月9日不正アクセスが始まる
2. 9月7日異常なアクセスログを検知し、ツールへのアクセスを遮断
3. 9月9日初報を公表
4. 9月30日利用企業の飲食チェーンが自社分5,784件を公表
5. 10月9日続報で約39万人と公表

どうすれば防げたか

上の流れでは、最初から公表まで、途中で異常に気づいて止める仕組みが働いていません。

止められた可能性がある所（当社の見立て）

データ分析ツールを外部から接続できない場所に置き、本番データベースへの接続情報をツールに持たせる範囲を絞っていれば、被害を小さくできた可能性がある。

この見立ては、公表された原因から当社が考えたものです。当事者の調査の結果とは異なる場合があります。

自社で確認する3つの手順

上から順に、短い時間で確認できるものを並べています。

1. データ分析ツールやBIツールが本番のデータベースにどの権限で接続しているか確認する
2. 分析ツールがインターネットから接続できる状態か確認する
3. マイナンバーや口座情報を分析用のデータから外せるか確認する

自社に同じ原因があるか

当てはまるものを選んでください。1つでも当てはまれば、この事故と同じ原因が自社にもある可能性があります。

出典と更新の履歴

• 不正アクセスによる個人データ漏えいの可能性に関するお知らせ2026.09.09
• 吉野家ホールディングス：ApplyNowへの不正アクセスに関するお知らせ2026.09.30
• ApplyNow 提供の採用管理プラットフォームに不正アクセス（ScanNetSecurity）2026.09.25