ApplyNow、39万6920人分の個人情報漏えいを確認

3サービス共通で、企業ユーザーの氏名、メールアドレス、ハッシュ化されたパスワード、権限情報が漏えいした。Interview Cloudでは応募者の氏名、フリガナ、電話番号、メールアドレスに加え、一部で選考情報や生年月日、性別、職業も含まれる。ApplyNow Signでは契約者の基本情報のほか、一部でマイナンバー、口座情報、在留カード番号、雇用保険被保険者番号、扶養控除関連情報などが対象となった。

クレジットカード情報、本人確認書類の画像、面接動画は含まれない。11月4日時点で二次被害は確認されていない。

原因と再発防止策

調査によると、攻撃者は社内で使うデータ分析ツールの脆弱性を悪用して8月9日に侵入し、管理者権限を取得した。8月23日と26日にデータベースの一部を閲覧し、9月7日に情報を一括取得した。同日のツール停止を機に異常を検知した。

同社は、提供元が公表していた脆弱性情報を把握しておらず、修正版の適用が遅れたと説明。接続元の制限がなく、不正操作の検知にも時間がかかった。さらに保管期間を定めておらず、契約終了後の企業情報も残っていた。

同社は修正版の適用や、分析ツールへのアクセスを特定のIPアドレスに限定する措置を実施済み。今後は契約終了後のデータ削除、不審な操作の自動通知、保管期間の設定を進める。