---
title: "吉野家・はなまるの採用情報が漏えい、対象は5,784アカウント。残存データとサービス別の情報を確認する"
description: "応募者5,366件と採用担当者418件は人数ではなくアカウント数。Interview Cloudと録画面接の対象情報、10月1日以降の通知、契約終了後の残存データを整理する"
url: https://itpostjp.com/security/yoshinoya-applynow-unauthorized-access/
category: "セキュリティ"
published_at: 2026-10-01T23:10:00Z
updated_at: 2026-10-02T00:16:46Z
author: "IT Post編集部"
editor: "編集長 千田智也"
publisher: "IT Post by Rice Studio Lab"
language: ja-JP
ai_generated: true
ai_model: claude-sonnet-5
terms: ["サプライチェーン攻撃"]
---

# 吉野家・はなまるの採用情報が漏えい、対象は5,784アカウント。残存データとサービス別の情報を確認する

IT Post編集部 ＆ 編集長 千田智也

応募者5,366件と採用担当者418件は人数ではなくアカウント数。Interview Cloudと録画面接の対象情報、10月1日以降の通知、契約終了後の残存データを整理する

## 30秒で分かる結論

- 吉野家ホールディングスは2026年9月30日、アルバイト採用業務の一部を委託していた「ApplyNow」の採用管理プラットフォームへの不正アクセスにより、吉野家・はなまるの応募者5,366件と従業員418件、計5,784アカウントの情報漏えいを発表しました。重複があり、人数とは一致しません。
- 対象情報はサービス・立場で異なります。Interview Cloudの応募者情報には生年月日・性別、一部の住所・職業も含まれます。録画面接データの保管領域への不正アクセスは確認されていません。
- 対象者には10月1日以降メールで案内するとしています。吉野家の発表では対象者に手続きは不要とし、暗証番号・認証コードや振込を求める連絡への注意を呼びかけています。

## まず初めに

1つの採用管理システムが破られただけで、全国チェーンの牛丼屋から複数の市役所の採用試験まで、まとめて巻き込まれる。これが「委託先を一本化する」ことの裏側だ。吉野家の発表で目を引くのは、情報が漏れた人の中に「ApplyNowとの契約はすでに終わっていたのに、データだけ残っていた」ケースが含まれていたという点だ。契約を切ったつもりでも、データは律儀に居座り続ける。委託先が増えるほど、こういう「忘れられたデータ」の数も静かに増えていく。※個人の感想です

## 何が起きているのか

録画面接サービス「ApplyNow」などを提供する企業(きちりホールディングスの子会社)は2026年9月9日、同社の採用管理プラットフォームに第三者による不正アクセスがあったと発表しました。2026年8月9日から9月7日にかけて同社が利用するデータ分析ツールの脆弱性が悪用され、データベースの一部に不正アクセスされた痕跡が確認されています。9月7日に不正な出力を確認し、同日中にアクセスを遮断、脆弱性の修正も完了したとしています。

![データベースを描いた挿絵](/images/articles/yoshinoya-applynow-unauthorized-access-inline-1.webp)

吉野家の9月30日発表で確認できる対象は、面接シェアリング「Interview Cloud」と録画面接「ApplyNow」の応募者情報、および採用に関わるグループ従業員のユーザー情報です。電子雇用契約「ApplyNow Sign」で扱う個人番号等の情報とは分けて読む必要があります。ApplyNow Signに関する別の報道を、吉野家・はなまるの応募者の対象情報に加えてはいけません。

吉野家ホールディングスは9月30日、2022年4月11日から2024年6月30日までの応募者情報について、吉野家4,998件とはなまる368件、計5,366件が対象と公表しました。従業員418件を加えた計5,784件はアカウント数で、重複があるため人数ではありません。公式発表は情報漏えいを確認したと記載し、契約終了後も本来削除されるべきデータが残っていたと説明しています。

ApplyNowに関しては、入間市・所沢市など複数自治体の職員採用試験への影響も報じられています。ただし、組織ごとに対象情報・案内が異なるため、吉野家の対象範囲とは分けて確認してください。本記事では裏付けを確認できない「少なくとも7市」という集計を用いません。

今回の関係を整理すると、次のようになります。

| サービス・立場 | 対象情報 | 件数の扱い |
| --- | --- | --- |
| Interview Cloudの応募者 | 氏名（カナ）・メールアドレス・電話番号・生年月日・性別。一部の住所・職業 | 下段の録画面接と合わせ、吉野家4,998件・はなまる368件 |
| 録画面接ApplyNowの応募者 | 氏名（カナ）・メールアドレス・電話番号 | 応募者合計5,366アカウント。サービス別件数はここからは分かりません |
| 採用に関わるグループ従業員 | ユーザー名・メールアドレス・暗号化されたパスワード・権限 | 418アカウント |

録画面接データは別の保管領域にあり、その領域への不正アクセスは確認されていません。また、ApplyNowのプラットフォームと吉野家側のシステムは分断され、吉野家側システムへの不正アクセスも確認されていないとしています。いずれも9月30日の発表時点の説明です。

## なぜ重要なのか

今回の事案が重要なのは、1つの委託先システムへの不正アクセスが、飲食チェーンの採用窓口から複数の自治体の職員採用試験まで、業種も性質も異なる複数の組織に同時に波及した点です。採用管理・録画面接は外部のSaaS(クラウドサービス)に委託されることが多く、利用する組織が多いほど、1つの脆弱性が影響する範囲も広くなります。加えて、吉野家HDのケースでは「委託契約が終了した後もデータが残っていた」ことが明らかになっています。業務委託を終えたからといって、委託先に渡したデータが自動的に消去されるとは限らない、という実態を示す事例です。

## 私たちへの影響

指定期間に吉野家・はなまるの採用へ応募した人、および対象となる採用担当者は公式案内を確認してください。公式発表では対象者に手続きは不要とし、10月1日以降、吉野家側とApplyNowからメールで案内するとしています。通知完了を意味するものではなく、個別に連絡できない人には公表資料をもって案内するとしています。

両社が本件について暗証番号、パスワード、認証コード、カード番号、マイナンバーを聞いたり、金銭の振込を求めたりすることはありません。不審なメール等のリンク・添付ファイルを開かず、情報を入力しないこと、真偽に迷えば返信せずApplyNowの公式問い合わせ窓口へ連絡することが案内されています。

## 初心者が知っておくべきこと

「サプライチェーン攻撃」とは、攻撃者が標的の組織を直接攻撃するのではなく、その組織が利用する取引先・委託先のシステムを経由して侵入する攻撃手法です。今回のように採用管理システムのような共通の委託先サービスが狙われると、そのサービスを使う多数の企業・自治体が一度に影響を受けます。委託先に個人情報を預ける際は、委託元の企業・組織にも委託先の安全管理体制を監督する責任があるとされており(個人情報保護法上の「委託先の監督」義務)、契約終了後のデータ削除が徹底されていたかどうかも今回の事案が示した論点の一つです。

## IT Postの見方

IT Postでは、今回の事案を「便利な委託先の集中が、脆弱性も集中させる」という構図の典型例だと考えます。多くの企業・自治体が同じクラウドサービスを使うのはコストや手間を考えれば合理的ですが、その委託先が一度破られると、利用者側に落ち度が無くても情報が流出する非対称なリスクがあります。委託元には、委託先選定時の安全性確認だけでなく、契約終了後のデータ削除状況まで定期的に確認する仕組みが必要ではないかというのがIT Postの見方です。

## 今後どうなりそうか

ApplyNowからは、セキュリティ体制の見直しの進捗や全容解明に向けた追加調査の結果が発表される見込みです。吉野家HDや影響を受けた自治体からも、個別の対象者への案内状況について続報が出る可能性があります。IT Postでは、新しい発表があり次第あらためて取り上げます。

## 訂正履歴

- 2026-10-02T00:16:46Z: 漏えいを可能性としていた表記を訂正し、応募者5,366件（吉野家4,998件・はなまる368件）と従業員418件、計5,784件は重複のあるアカウント数で人数ではないと明記しました。サービス別の対象情報、録画データ領域への不正アクセス未確認、10月1日以降のメール案内・手続き不要という公式説明を追加。ApplyNow Signの個人番号等と区別し、裏付けのない7市の列挙・集計を取り下げました。

## 情報源

- [ApplyNow採用管理プラットフォームへの不正アクセスによる個人情報漏えいに関するお知らせとお詫び](https://www.yoshinoya.com/wp-content/uploads/2026/09/30185541/news_2026093004.pdf) — 株式会社吉野家ホールディングス（一次情報）
- [吉野家HD、バイト応募者の個人情報5366件漏えい 元委託先に不正アクセス 契約終了もデータ残存](https://www.itmedia.co.jp/news/article/2610/01/2000001928/) — ITmedia NEWS
- [ApplyNow 提供の採用管理プラットフォームに不正アクセス、マイナンバー含む個人データが漏えいした可能性](https://scan.netsecurity.ne.jp/article/2026/09/25/56304.html) — ScanNetSecurity
- [職員採用試験システムへの不正アクセス、全国で相次ぐ 受験者の情報漏えいか](https://news.yahoo.co.jp/articles/6f7a4cb4118e7f1a95bc7950118c5d2cb033e649) — ASCII.jp(Yahoo!ニュース)

## この記事に出てくるIT用語

- [サプライチェーン攻撃](https://itpostjp.com/terms/supply-chain-attack/): 攻撃対象を直接狙うのではなく、その対象が利用するソフトウェア部品や取引先などの供給網を経由して間接的に攻撃する手口です。

---

この記事は、公開情報と出典URLの検証、文章作成の一部に生成AIを使用しています。内容の責任はIT Post by Rice Studio Labが負います。

出典表記: IT Post by Rice Studio Lab — https://itpostjp.com/security/yoshinoya-applynow-unauthorized-access/