吉野家・はなまるのアルバイト応募者5,366件の情報漏えい、漏れた電話番号とメールアドレスで何をされるのかまとめました

2026年9月30日、株式会社吉野家ホールディングスは、吉野家とはなまるがアルバイト採用業務を一部委託していた株式会社ApplyNowの採用管理プラットフォームへの不正アクセスで、個人情報が漏えいしたと公表しました[1]。対象は、2022年4月11日から2024年6月30日までに応募した人の情報で、吉野家4,998件、はなまる368件です[1]。漏れたのは、氏名（カナ）・メールアドレス・電話番号などで、サービスによっては生年月日・性別・一部の方の住所・職業も含まれるとしています[1]。

面接の録画データは別の保管場所にあり、不正アクセスは確認されていないとしています[1]。また、二次被害も確認されていないとしていますが、それで安心とは言い切れません。

「数年前に応募しただけの自分の情報で、何をされるのか」。「会社として、どこから手を打てばよいのか」。この記事では、その2つに答えるために、漏れた情報が悪用されうる場面と、採用の仕組みの中で本人確認が要る場所を、公開情報から整理しました。事故の経緯は報道も扱っているため、短くとどめます。

この記事の要点

• 吉野家・はなまる・ApplyNow・求人企業などを名乗る、名前入りのメールやSMS、電話に注意してください。会社側は暗証番号やパスワード、認証コードを尋ねないとしています。
• 応募者のパスワードは、公表された項目には含まれていません。採用担当者だった人で、同じパスワードを他のサービスでも使っている場合は、変えておくと安心です。
• 会社がまず見直したいのは、採用担当者のログインの確かめ方と、契約が終わった委託先に残るデータとアカウントです。

なお、本記事は公表文など公開情報だけをもとにしています。仕組みの画面を実際に試すような調査はしていません。確認できなかった点は「確認できず」と書いています。

何が起きたか（要約）

公表文[1][2]によると、概要は次のとおりです。

採用担当者の418件はアカウントの数で、重複があるため人数とは一致しないとしています[1]。なお、ApplyNowは9月9日の公表で、同じ不正アクセスで電子雇用契約「ApplyNow Sign」の個人番号や金融機関口座情報なども漏えいした可能性があるとしていました[2]。10月9日の更新では、その後の調査で漏えいの事実を確認したとし、対象は約39万人（うちApplyNow Signの利用者が約3万人）で、件数は外部機関の調査で確定するとしています[5]。吉野家・はなまるの対象項目には、ApplyNow Signの情報は挙げられていません[1]。

漏れた情報で、何ができてしまうか

公表文自体も、吉野家・ApplyNow・求人企業・行政機関・金融機関などを装った不審なメール、SMS、電話の可能性に触れています[1]。応募者は、すでに採用の手続きで連絡を受けたことがある人たちです。採用の連絡らしく見える偽物は、見分けにくくなります。

この採用の仕組みで認証が使われる場所

※「狙われやすさ」は、公開情報をもとにした当社の見立てです。実際のしくみを確かめたものではありません。

会社がまず見直すとよい所（優先順）

公表文では、委託先の管理体制や契約内容、定期的な監査などの見直しと、SaaS導入時の審査やログ管理などの強化が挙げられています[1]。一方で、ログインの確認方法を変えるといった記載はありませんでした。認証の観点からは、次の順で見直すことが考えられます。

1. 採用担当者のログインに、パスワード以外の確認をもう一つ足す。今回は担当者のパスワードそのもの（暗号化済み）が出ています。パスワードだけで入れる形のままだと、解読や使い回しに備えられません。
2. 契約が終わった委託先のアカウントとデータを棚卸しする。使わなくなった管理者アカウントが残っていないか、データの消去が確認できているか。
3. 応募者への公式な連絡のしかたを決め、応募者に知らせる。「この経路以外からは連絡しない」と示しておけば、偽の連絡を見分ける手がかりになります。

認証の観点から：「番号を知っている」と「その電話を持っている」は違う

今回、5,000件を超える応募者の電話番号と、採用担当者のログインに関わる情報が漏れました。ここで分けて考えたいのは、「電話番号を知っていること」と「その電話番号の回線を実際に持っていること」は別物だという点です。

前者は、もう第三者に知られてしまったかもしれません。一方で後者は、情報が漏れても変わりません。パスワードのように「知っているか」で確かめる仕組みは、漏れた時点で弱くなります。認証の土台を「持っているか」へ移すことが、漏えいの後にこそ効いてくる対策です。

SMSで届くワンタイムパスワードも、「持っているか」を確かめる方式の一つです。ただし米国NISTのガイドラインは、SMSなど電話網を使う確認方法を「制限付き（restricted）」の手段と位置づけています[4]。禁止ではありませんが、端末の入れ替えやSIMの変更、電話番号の乗り換え（ポーティング）といったリスクを踏まえ、それだけに頼りきらない設計が求められています。

当社Infront Securityの電話番号認証は、利用者がワンタップで指定の番号に発信し、その発信者番号と端末の情報をサーバー側で照合して本人を確かめます。電話番号を知っていても、その回線から発信できなければ認証は通りません。偽サイトは利用者の電話回線を持っていないため、フィッシングに耐性のある方式です。

今のログインを壊さずに「持っているか」の確認を足す方法については、お気軽にご相談ください。

お問い合わせはこちら