吉野家ホールディングスは、過去に採用業務を一部委託していたApplyNowのデータベースが第三者の不正アクセスを受け、応募者5366件と採用関連の従業員情報418件が流出したと発表した。契約終了後もデータが残存していたことが分かり、原因はデータ分析ツールの脆弱性を突く不正アクセスだという。
吉野家ホールディングスとその子会社は、採用業務を委託していたApplyNowのデータベースが第三者の不正アクセスを受け、応募者の個人情報5366件と採用に関わるグループ従業員情報418件が流出したと説明した。流出対象にはInterview Cloud経由の応募分とApplyNow経由の応募分が含まれる。
流出した情報は氏名やメールアドレス、電話番号、生年月日、性別に加え一部の住所や職業といった項目で、採用担当者分のユーザー名、メールアドレス、暗号化されたパスワード、権限といった情報も含まれていた。9月30日時点で二次被害は確認されていないが、原因となった脆弱性の修正とデータの保全対応が行われた。
原因はApplyNowのデータ分析ツールの脆弱性を悪用した不正アクセスで、26年8月9日から9月7日まで発生し、同日中にデータベースから一部データの不正出力を確認。ApplyNowは同日中にアクセスを遮断し、脆弱性の修正を完了した。委託契約はすでに終了していたがデータは残っており、認識の食い違いは9月28日に判明した。対象者には10月1日以降、案内が送られ、手続きは不要とされた。今後、吉野家HDは委託先の管理体制や契約内容の見直し、定期監査の強化などを進める方針。