公表済みの脆弱性に気づかず39万6920人分漏えい 採用サービスApplyNow 一部マイナンバーや口座情報も

何が起きたのか

ApplyNow（東京都港区）は、9月9日に公表した不正アクセスで個人情報が漏えいしたと、11月4日に発表しました。10月9日の発表では約39万人分としていましたが、調査の結果、件数が39万6920人分に確定しました。一部ではマイナンバーや口座情報も流出していました。

主な数字と事実

• 漏えいした人数は合計39万6920人分
• そのうち3万67人分は、電子雇用契約サービスで契約した人の情報
• 攻撃者が侵入したのは8月9日、情報を一括で取得したのは9月7日
• クレジットカード情報、本人確認書類の画像、面接動画は漏えい対象に含まれない
• 11月4日時点で、二次被害（漏えい情報の悪用）は確認されていない

どうして狙われたのか

攻撃者は、社内で使われていたデータ分析ツールの脆弱性を悪用しました。脆弱性とは、ソフトの欠陥のことです。ツールの提供元は以前にこの欠陥を公表していましたが、ApplyNowは情報を把握しておらず、修正版を入れるのが遅れていました。さらに、分析ツールから個人情報を見られる仕組みや、契約が終わった後もデータを消さない運用があったことも分かっています。

なぜ大切なのか

マイナンバーや口座情報のような重要な個人情報が含まれていたため、影響は大きいです。また、公表済みの弱点を放置すると、同じような事故が起きやすいことも示しています。企業は、ソフトの更新情報を確認し、不要なデータを早めに消すことが大切です。

今後注目すべき点

• 契約が終わった後のデータを削除する対応がどこまで進むか
• 不審な操作を自動で知らせる仕組みが導入されるか
• 個人情報の保管期間がきちんと決められるか
• 漏えい情報が実際に悪用される被害が出ないか