吉野家HD／ApplyNow ― 契約終了後も残った応募者データが漏えい

要点

発表された事実

吉野家ホールディングス・吉野家・はなまるは2026年9月30日、過去にアルバイト採用業務の一部を委託していたApplyNowの採用管理プラットフォームで、データ分析ツールの脆弱性を悪用した第三者による不正アクセスが発生し、個人情報が漏えいしたと公表した（はなまるうどん公式PDF）。
漏えい対象は、2022年4月11日〜2024年6月30日の応募者情報5,366件（吉野家4,998件・はなまる368件）と、採用担当者アカウント418件（ユーザー名、メールアドレス、暗号化パスワード、権限）。
不正アクセス期間は2026年8月9日〜9月7日。9月7日にデータベースから一部データが不正出力されたことが確認された。遮断と脆弱性修正は完了。二次被害は9月30日時点で未確認。
両社とApplyNowの委託契約は2024年6月に終了していたが、応募者情報がApplyNow側データベースに残っており、吉野家側の「契約終了で消去される」という認識と運用が異なっていたことが9月28日に判明した。
ApplyNowの親会社・きちりホールディングスも9月9日に子会社での漏えい可能性を適時開示している（きちりHD適時開示PDF）。同開示では電子雇用契約「ApplyNow Sign」について個人番号・基礎年金番号・口座情報を含む可能性にも言及している（吉野家発表の対象範囲とは別サービス）。
【2026-10-05追記】焼鳥屋「鳥貴族」を運営するエターナルホスピタリティジャパンも2026年10月1日、ApplyNowの面接代行サービス「Interview Cloud」で同じ「データ分析ツールの脆弱性」を悪用した不正アクセスがあり、鳥貴族のパート・アルバイト応募者の一部の氏名・メールアドレス・電話番号・生年月日・性別が漏えいしたと公表した。件数は記載されていない（鳥貴族公式PDF）。吉野家・はなまる以外の委託元が名前を出して公表した例になる。
【2026-10-06追記】愛知県みよし市も、2022〜2024年度の職員採用試験（一次試験の動画面接）でApplyNowの録画面接システムを使っており、応募者1,035件の氏名・メールアドレス・電話番号が漏えいした可能性があると公表した（ページの更新日は2026年10月2日）。市は9月30日にApplyNowからの電話で把握した。利用規約では取引終了後に個人情報を削除することになっていたが、ApplyNowのシステム内で、取引履歴の確認や応募者からの問い合わせ対応を理由に保管が続いていたという。動画データは別の保存領域にあり対象外と報告を受けている（みよし市のお知らせ）。
【2026-10-08追記】静岡県富士市も10月7日、職員採用試験のプレゼンテーション動画試験で使っていたApplyNowについて続報を出し、令和4〜8年度の申込者815件の氏名（カナ・漢字）、メールアドレス、電話番号、受験番号が外部へ漏えいしたとApplyNowから報告を受けたと公表した。動画データは別の保存領域で対象外（富士市のお知らせ）。また、これまで拾えていなかった公表として、埼玉県入間市（9月17日更新、1,276件）と所沢市（9月19日発表、1,701件）も職員採用試験の動画面接の受験者情報の漏えいを公表していた（入間市、所沢市）。
【2026-10-09追記】静岡県島田市も10月7日の続報で、令和4年度の職員採用試験（一般事務／大学卒）の一次試験の申込者等113件が外部へ漏えいしていたとApplyNowから報告を受けたと公表した。申込者の氏名（漢字・カナ）、電話番号、メールアドレス、生年月日、電子申請の受付番号に加え、島田市役所側のユーザー名、パスワード、メールアドレス、権限も漏えいした項目に挙げている（島田市のお知らせ）。
【2026-10-10追記】新潟県魚沼市も（ページ更新日10月9日）、令和4・5年度の職員採用試験で使った録画面接サービス「ApplyNow」から、応募登録情報86件と市担当者の登録情報30件が漏えいしたと公表した。応募者は氏名、メールアドレス、電話番号、生年月日、職業、性別、受験番号、合否状況、市担当者はユーザー名、パスワードに関する情報、メールアドレス、利用権限。履歴書等のファイル、本人確認書類の画像、面接動画は対象外。市はApplyNowに、サービス利用終了後も市のデータが保存されていた経緯と消去状況の報告を求めるとしている（魚沼市のお知らせ）。
【2026-10-20追記】福岡県古賀市も10月19日、令和4〜6年度の職員採用試験で使った採用管理ツール「ApplyNow」から、応募者567件の氏名、フリガナ、メールアドレス、電話番号、生年月日、郵便番号、住所が漏えいしたと公表した。二次被害は確認されていない。応募者にはApplyNowからお詫びと注意喚起のメールが送られ、同社で外部専門機関による詳細な調査が続いている。市はApplyNowに、データの消去状況と再発防止策の報告を求めるとしている（古賀市のお知らせ）。
【2026-10-20追記】読売新聞（10月20日）によると、ApplyNowから古賀市へは9月にメールで連絡があったが、10月16日に応募者から問い合わせがあるまで市役所内で共有されず、発表が遅れたという。市人事秘書課は「対象者に心配と迷惑をかけたことを深くおわび申し上げる」としている（読売新聞オンライン）。

わかっていないこと

悪用された「データ分析ツール」の製品名・版数・脆弱性の種別（CVEの有無）
攻撃者の正体・動機、漏えいデータのその後の流通有無
ApplyNowの顧客全体（他企業・自治体の応募者・契約者）の最終的な影響件数（鳥貴族は件数を出しておらず、自治体ではみよし市1,035件、【2026-10-08追記】富士市815件、入間市1,276件、所沢市1,701件、【2026-10-09追記】島田市113件、【2026-10-10追記】魚沼市は応募者86件・市担当者30件、【2026-10-20追記】古賀市567件）
ApplyNow Signに関する個人番号等の対象者への個別案内の進捗
ApplyNow自身が、契約終了後もデータを保管していた理由と、ほかの委託元のデータの扱いをどう説明するか（みよし市の発表では、規約上は削除するはずだったが、取引履歴の確認や問い合わせ対応を理由に保管されていた）

関係しそうな既知の手口

（考察）SaaS／委託先に残存した個人データが、本社システムと分断されていても被害範囲に含まれる構図は、委託終了後の「データライフサイクル管理」の不備として繰り返し指摘される類型に近い。
（考察）「データ分析ツール」経由の侵害は、本番DBに接続したBI・ETL・分析基盤が攻撃面になるパターンと整合しうるが、本件でそれが該当するかは未公表。

概要

吉野家・はなまるが過去に利用していた採用SaaS（ApplyNow）が不正アクセスを受け、契約終了後も残っていた応募者・担当者情報が漏えいした。
侵入の入口は「データ分析ツールの脆弱性」と公表されているが、製品や技術詳細は出ていない。
委託先の契約終了後のデータ消去と、SaaS導入時の接続コンポーネント管理が、国内事例として読み取れる論点になる。

この記事では、公式発表・適時開示・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。

何が起きたか（時系列）

時期	出来事
2022-04-11〜2024-06-30	吉野家・はなまるがApplyNowにアルバイト採用業務の一部を委託（応募受付期間）
2024-06	両社とApplyNowの委託契約が終了（吉野家発表）
2026-08-09〜09-07	ApplyNow側でデータ分析ツールの脆弱性を悪用した不正アクセス（ApplyNow／吉野家発表）
2026-09-07	ApplyNowが異常アクセスログを検知。不正アクセスの痕跡を確認し、遮断等の緊急措置。同日、DBから一部データの不正出力を確認
2026-09-07以降	ApplyNowが弁護士と連携し調査・法的対応を開始。影響企業へパスワード変更を促す連絡
2026-09-09	きちりHDが子会社ApplyNowでの個人データ漏えい可能性を適時開示
2026-09-11	ApplyNowが入間市に、受験者の個人情報が外部へ漏えいした可能性を報告（入間市発表）
2026-09-16	ApplyNowから吉野家側へ、吉野家・はなまるの応募者・従業員情報が影響範囲に含まれる旨の連絡
2026-09-16	ApplyNowが入間市・所沢市に、受験者の個人情報の漏えいを確認したと報告（両市の発表）
2026-09-17	入間市が、職員採用試験の動画投稿面接の受験者1,276件の漏えいを公表（ページ更新日）
2026-09-19	所沢市が、職員採用試験の動画投稿型面接の受験者1,701件の漏えいを公表
2026-09-21	吉野家側が個人情報保護委員会へ報告
2026-09-28	契約終了後もデータが残っていたことについて、吉野家側認識とApplyNow運用の相違が確認される
2026-09-30	吉野家HD・吉野家・はなまるが連名でお知らせを公表。ITmedia等が報道（10月1日付記事あり）
2026-09-30	ApplyNowが電話で、みよし市に職員採用試験の応募者情報が漏えいした可能性を連絡（みよし市発表）
2026-10-01	エターナルホスピタリティジャパン（鳥貴族）が、Interview Cloud経由で鳥貴族の応募者の一部の情報が漏えいしたと公表。対象者にはApplyNowから順次個別連絡（鳥貴族発表）
2026-10-02	愛知県みよし市が、録画面接システムの応募者1,035件の漏えいの可能性を公表（ページ更新日）
2026-10-07	静岡県富士市が続報。プレゼンテーション動画試験の申込者815件（氏名・メール・電話・受験番号）の漏えいをApplyNowから報告されたと公表
2026-10-09	新潟県魚沼市が、令和4・5年度の職員採用試験の応募登録情報86件と市担当者の登録情報30件（パスワードに関する情報を含む）の漏えいを公表（ページ更新日）
2026-10-19（月）	福岡県古賀市が、令和4〜6年度の職員採用試験の応募者567件（氏名・フリガナ・メール・電話・生年月日・郵便番号・住所）の漏えいを公表（古賀市）
2026-10-20（火）	古賀市ではApplyNowからの9月のメール連絡が、10月16日に応募者から問い合わせがあるまで市役所内で共有されず、発表が遅れたと報道（読売新聞）

発表内容の整理

事実

被害の範囲（吉野家発表・2026年9月30日時点）

区分	件数	主な項目
応募者（Interview Cloud）	吉野家・はなまる合算で応募者合計5,366件の内訳に含まれる	氏名（カナ）、メール、電話、生年月日、性別、一部の住所・職業
応募者（録画面接 ApplyNow）	同上	氏名（カナ）、メール、電話
グループ従業員（採用担当）	418件（アカウント数。人数とは一致しない）	ユーザー名、メール、暗号化パスワード、権限

面接の録画データは別保管領域で、不正アクセスは確認されていない。
ApplyNowプラットフォームと吉野家側システムは分断されており、吉野家システムへの不正アクセスは確認されていない。
対象者への手続きは不要。10月1日以降、メールで案内。暗証番号・パスワード・認証コード・クレジットカード・マイナンバーや振込を求める連絡はしない、と注意喚起している。

きちりHD／ApplyNow側で追加して読める点

ApplyNowはInterview Cloud・ApplyNow・ApplyNow Signを挙げ、Signについては雇用契約情報・個人番号・基礎年金番号・口座情報を含む可能性があると9月9日時点で記載している。
吉野家発表の対象はInterview Cloudと録画面接ApplyNowに限定されており、Signが吉野家案件に含まれるかは発表文からは読み取れない。

ほかの委託元の公表（2026-10-05追記）

鳥貴族（エターナルホスピタリティジャパン、2026年10月1日）: Interview Cloudの応募者の一部。漏えい項目は氏名・メールアドレス・電話番号・生年月日・性別。件数は非公表。ApplyNowから順次個別に連絡しているが、連絡先を確認できない人がいるため公表したとしている。二次被害は確認されていないとのApplyNowからの報告を受けている。問い合わせ先はApplyNowの窓口（吉野家案件と同じ）。
【2026-10-06追記】愛知県みよし市（ページ更新日2026年10月2日）: 2022〜2024年度の職員採用試験の一次試験で使った録画面接システム「ApplyNow」の登録者1,035件。項目は氏名・メールアドレス・電話番号。動画面接の動画は別の保存領域で対象外。対象者にはメールで連絡する予定。市は、委託先の不正アクセス対策と、契約終了後の削除の確認が十分でなかったことを課題に挙げ、今後の委託契約で、契約終了時にバックアップを含む返還・削除を義務づけ、消去証明書などの提出を受けるとしている。
【2026-10-08追記】静岡県富士市（続報、ページ更新日2026年10月7日）: 令和4〜8年度の職員採用試験のプレゼンテーション動画試験の申込者815件。項目は氏名（カナ）、漢字氏名、メールアドレス、電話番号、受験番号。動画データは別の保存領域で対象外。
【2026-10-08追記】埼玉県入間市（ページ更新日2026年9月17日）: 令和5〜8年度の動画投稿面接試験のエントリー者1,276件。項目は氏名（漢字・カナ）、電話番号、メールアドレス、受験職種。ApplyNowから9月11日に漏えいの可能性、9月16日に漏えいの確認を報告された。
【2026-10-08追記】埼玉県所沢市（2026年9月19日発表）: 令和4〜7年度の動画投稿型面接試験のエントリー者1,701件。項目は氏名、メールアドレス、電話番号。動画データは別の保管領域で対象外。
【2026-10-09追記】静岡県島田市（続報、ページ更新日2026年10月7日）: 令和4年度の職員採用試験（一般事務／大学卒）の一次試験申込者等113件。申込者の項目は氏名（漢字・カナ）、電話番号、メールアドレス、生年月日、電子申請の受付番号。あわせて、島田市役所に関する情報としてユーザー名、パスワード、メールアドレス、権限が漏えいした。
【2026-10-10追記】新潟県魚沼市（ページ更新日2026年10月9日）: 令和4・5年度の職員採用試験の応募登録情報86件と市担当者の登録情報30件。応募者の項目は氏名、メールアドレス、電話番号、生年月日、職業、性別、受験番号、合否状況。市担当者の項目はユーザー名、パスワードに関する情報、メールアドレス、利用権限。応募者用のログインパスワードはサービス上存在しないため漏えいはない。二次被害は確認されていない。
【2026-10-20追記】福岡県古賀市（2026年10月19日）: 令和4〜6年度の職員採用試験で使った採用管理ツール「ApplyNow」の応募者567件。項目は氏名、フリガナ、メールアドレス、電話番号、生年月日、郵便番号、住所。経緯として、9月7日にApplyNowが異常なアクセスログを検知して遮断し、脆弱性のあったツールへのアクセスの完全遮断と修正パッチの適用を終えたと説明している。二次被害は確認されていない。市はApplyNowにデータの消去状況と再発防止策の報告を求め、委託先の個人情報管理、利用終了時のデータ消去、脆弱性対応の確認、事故時の連絡体制を点検するとしている。
【2026-10-20追記】古賀市の公表が10月19日になった経緯について、読売新聞は、ApplyNowから市へは9月にメールで連絡があったものの、10月16日に応募者から問い合わせがあるまで市役所内で共有されていなかったと報じた（読売新聞オンライン）。

考察

【2026-10-20追記】（考察）古賀市の公表は、漏えい項目に郵便番号と住所を挙げている。この記事でこれまで取り上げた自治体の公表（みよし市・富士市・入間市・所沢市・島田市・魚沼市）には住所は含まれていなかった。同じApplyNowでも、委託元が使っていた機能や入力させていた項目によって漏えいした中身が違う可能性があり、件数だけでなく項目も委託元ごとに確認する必要がある。

【2026-10-20追記】（考察）古賀市の例は、委託先が通知を出していても、受け取った側で担当部署に届かなければ公表や本人への案内が遅れることを示している。委託先からのインシデント連絡を誰が受け、どこへ回すかを契約時に決めておくことも、委託先管理の一部になる。

【2026-10-09追記】（考察）島田市の発表は、応募者の情報だけでなく、委託元の職員がApplyNowの管理画面に入るためのアカウント情報（ユーザー名・パスワード・権限）も漏えいの対象に挙げた点が、これまでの委託元の公表と異なる。パスワードがどの形式で保存されていたかは書かれていない。同じパスワードをほかのシステムで使い回していれば影響が広がるため、委託元側でも、契約先SaaSの管理用アカウントのパスワードを変更し、使い回しがないかを確かめる必要がある。

【2026-10-06追記】みよし市の発表は、吉野家側の「契約終了で消去される」という認識と運用の違いについて、中身を具体的に書いている。規約では削除するはずだったデータが、取引履歴の確認や問い合わせ対応という委託先側の都合で残されていた。委託元が削除を確認していなかった点を市自身が課題として認め、消去証明書の提出を求める方針を示しており、次の段落で挙げる(1)の論点に対する、委託元側の具体的な対策の例になる。

本件の社会的な読みどころは、技術的なゼロデイ詳細よりも、(1) 委託終了後のデータが残存していたことと、(2) 本番データに触れる分析ツールが攻撃経路になったことの二つである。前者は委託契約・利用規約・削除証跡の実務、後者はSaaSにおける「本体アプリ以外の接続コンポーネント」の棚卸しとパッチ管理の問題として整理できる。

関係しそうな既知の手口

考察

委託先・SaaSの侵害が委託元の個人情報漏えいとして公表される構図は国内でも繰り返されている。本件では「契約は終わっているのにデータが残っていた」点が明示されており、委託終了チェックリスト（削除確認・証明書・アクセス権回収）の重要性を示す材料になる。
「データ分析ツール」の固有名・CVEは未公表のため、特定製品への紐づけはできない。一般論として、本番DBやレプリカに接続したBI・顧客データ基盤は、本体アプリと同等以上の権限を持ちやすく、脆弱性や認証情報漏えいの影響が大きい。

利用者・運用者がいまできること

事実（発表に基づく注意）

対象になりうる応募者・担当者は、吉野家／ApplyNowを装った不審メール・SMS・電話に注意する（公式は暗証番号等を尋ねないと明記）。
ApplyNow問い合わせ: support_biz@applynow.co.jp / 0120-401-373（全日9:00–18:00）
吉野家HDお客様相談室: 0120-69-5114（9:00–17:00）

考察（委託元・SaaS利用者向け）

委託・SaaS契約終了時に、個人データの削除完了を書面または画面上の証跡で確認する運用を点検する。
本番個人データに接続する分析・ETL・サポートツールの一覧、権限、パッチ方針を棚卸しする。
暗号化パスワードが漏えいした採用担当アカウントは、他サービスとのパスワード使い回しがないか確認する（本件パスワードは「暗号化された」とあるが、アルゴリズム強度は未公表）。

参考リンク

原文をGitHubで読む ↗