吉野家・はなまるの委託先への攻撃（2026年9月）
公式の最新の発表 2026年9月30日techtech.club の最終確認 2026年10月24日
要点
吉野家とはなまるのアルバイトの応募を受け付けていた、株式会社ApplyNow の採用の仕組みが不正アクセスを受け、2022年4月11日〜2024年6月30日に応募した人の名前（カナ）・メールアドレス・電話番号などが漏れました。「Interview Cloud」というサービスの分は、生年月日・性別、一部の人の住所・職業も含まれ、採用を担当する従業員のアカウントの情報も漏れました。面接の録画は別の場所に置かれていて不正アクセスは確認されておらず、悪用された被害も確認されていません。
- 状態
- 調査中会社が原因や範囲を調べています
- 流出
- 流出あり（会社が確認）
- 原因
- 委託先への攻撃
- 公表した日
- 2026年9月30日
- 公式の最新の発表
- 2026年9月30日
- techtech.club の最終確認
- 2026年10月24日
- 対象と件数
- 2022-04-11〜2024-06-30 に、ApplyNow を通じて吉野家とはなまるのアルバイト採用に応募した人。吉野家 4,998件、はなまる 368件（2026-09-30 時点）。加えて、採用に関わるグループの従業員のアカウント 418件（アカウントの数で、重複があるため人数とは一致しない）
あなたが対象か
- 2022年4月11日〜2024年6月30日に、ApplyNow を通じて吉野家かはなまるのアルバイトに応募した（吉野家 4,998件、はなまる 368件。2026年9月30日時点）
- 吉野家・はなまるの採用に関わり、ApplyNow の仕組みを使っていたグループの従業員（アカウント 418件。重なりがあるため人数とは合わない）
- 対象の人には、2026年10月1日から、会社と ApplyNow からメールで案内が届く（個別に連絡できない人には、公式発表が案内の代わり）
やること
対象の人
会社・ApplyNow・求人企業・役所・金融機関などを名乗る、怪しいメール・SMS・電話に気をつける
会社と ApplyNow が、この件で暗証番号・パスワード・認証コード・クレジットカード番号・マイナンバーを聞いたり、振り込みを頼んだりすることはありません
怪しい連絡が来たら、URLや添付ファイルを開かず、個人情報やパスワードなども入れずに、すぐに消す
本物か迷ったら、差出人に返信せず、ApplyNow の問い合わせ窓口に連絡する
やらなくてよいこと
- この件で、対象の人が自分でする手続きはありません
困ったときの問い合わせ先
株式会社ApplyNow 問い合わせ窓口（この件の中身・影響の範囲・自分の状況・怪しい連絡についての相談）。電話 0120-401-373（毎日 9:00〜18:00。混むときはメールも使えます）、メール support_biz@applynow.co.jp。吉野家・はなまるについては、株式会社吉野家ホールディングス お客様相談室。電話 0120-69-5114（9:00〜17:00）
何が起きたか
経緯
- 入り口（経路）
- アルバイト採用業務の一部の委託先の株式会社ApplyNow が提供する採用管理プラットフォーム。データ分析ツールの脆弱性が悪用された
- 起きた期間
- 2026-08-09〜2026-09-07。2026-09-07 に、ツールのデータベースから一部のデータが不正に出力された
- 会社が気づいた日
- 2026-09-07
漏れた、または漏れたおそれのある情報
- 個人情報
- 応募した人の氏名（カナ）・メールアドレス・電話番号。面接シェアリングサービス「Interview Cloud」の分は、生年月日・性別・一部の人の住所・職業も
- 認証情報
- 吉野家・はなまるの採用担当者のアカウントのユーザー名・メールアドレス・暗号化されたパスワード・権限
- そのほか
- 含まれないもの：面接の録画データ（別の保管領域にあり、不正アクセスは確認されていない）
会社の対応
2026-09-07、ApplyNow がシステムの異常なアクセスログを見つけて調べ、不正アクセスの痕跡を確かめた。同じ日に、遮断などの緊急の措置を取った。不正アクセスの経路は遮断され、原因の脆弱性の修正も済んだ。ApplyNow は弁護士と連携して被害の全容を調べ始め、影響を受ける可能性のある企業にパスワードの変更を促した。2026-09-16 に ApplyNow から会社に連絡があり、社内の情報セキュリティ委員会に報告して対応の体制を整えた。ApplyNow と連携して影響の範囲を調べている。応募者の情報は、契約の終了後も ApplyNow のデータベースに残っていた（会社は、契約の終了に伴い消されるものと認識していた）。ApplyNow は、調査と案内に必要なため今は消せず、対応が終わり次第消すと説明している。プラットフォームと自社のシステムは分かれていて、自社のシステムへの不正アクセスは確認されていない。二次被害は確認されていない。委託先の管理と、SaaS を入れるときの審査やログの管理など、自社の情報セキュリティの管理体制を強める
届け出
個人情報保護委員会へ報告した（2026-09-21）
このページの言葉の意味
- 不正アクセス
- 許可なく、ほかの人のシステムやデータに入りこむこと
- アカウント
- サービスを使うための、自分専用の登録
- SMS
- 携帯電話の番号あてに届く、短いメッセージ
- URL
- ホームページの場所を示す文字列（https:// などで始まるもの）
- 添付ファイル
- メールに付けて送られてくるファイル
- 認証コード
- ログインなどのときに届く、本人かを確かめるための数字
- 脆弱性
- システムやソフトの作りの弱いところ。攻撃の入り口に使われることがある
- 暗号化
- 決まった鍵が無いと読めない形に変えること
- 二次被害
- 漏れた情報が悪用されて起きる、そのあとの被害（不正なログインや詐欺など）
- SaaS
- インターネット経由で使う、サービスの形のソフト
- ログ
- いつ、だれが、何をしたかの記録
- データベース
- 情報を整理して保存しておく仕組み
- 委託先
- 仕事やサービスの一部を任せている会社
- 個人情報保護委員会
- 個人情報の扱いについて、会社などを監督する国の機関
これまでの経過
公式の発表と、techtech.club が確かめたこと・直したことを、新しい順に並べています。
- techtech.club
公式の発表を確かめた。新しい発表は無かった
- techtech.club
公式の発表を確かめた。新しい発表は無かった
- techtech.club
techtech.club で掲載を始めた
- techtech.club
記録の内容を直した
- techtech.club
読む人向けの解説を書いた
- 公式
出典（公式発表）
- 第一報ApplyNow採用管理プラットフォームへの不正アクセスによる個人情報漏えいに関するお知らせとお詫び公開 2026年9月30日