企業への不正アクセスや個人情報漏えいが相次ぐなか、吉野家ホールディングスが海外のIPアドレスからのアクセスを遮断する対策に動いたと報じられました。
吉野家とはなまるでは、アルバイト採用業務で利用していた外部サービス「ApplyNow」が不正アクセスを受け、応募者や採用担当者の情報が漏えいしています。
今回の件で注目したいのは、不正アクセスそのものだけではありません。
契約が終了した外部サービスに個人情報が残っていたことや、被害拡大を防ぐために企業がどのような対応を取るかという点も、今後のセキュリティ対策を考えるうえで重要です。
吉野家・はなまるで何が起きたのか
吉野家ホールディングスは2026年9月30日、吉野家とはなまるがアルバイト採用業務の一部で利用していたApplyNowの採用管理プラットフォームが不正アクセスを受けたと発表しました。
公表された対象データは、吉野家の応募者4,998件、はなまるの応募者368件、採用担当者418件です。
応募者情報は合計5,366件、採用担当者分を含めると計5,784件となります。
ここで注意したいのは、この数字がそのまま5,784人を意味するわけではないことです。公表されているのはデータやアカウントの件数であり、重複している可能性があります。
対象となった情報には、氏名、メールアドレス、電話番号、生年月日、性別のほか、一部では住所や職業なども含まれていました。
採用担当者については、ユーザー名や権限、暗号化されたパスワードなども対象となっています。
今回の不正アクセスでは、ApplyNowが利用していたデータ分析ツールの脆弱性が悪用されたことが確認されています。
契約終了後も個人情報が残っていた
今回の件で企業側が特に確認しておきたいのが、外部サービスに預けたデータの扱いです。
吉野家とはなまるはApplyNowとの契約をすでに終了していましたが、過去の応募者情報がデータベースに残っていました。
サービスの利用を終了したからといって、保存されているデータまで自動的に消えるとは限りません。
採用管理サービスのように多くの個人情報を扱うシステムでは、契約終了後のデータがいつ削除されるのか、バックアップには残るのか、削除完了を確認できるのかまで把握しておく必要があります。
使わなくなったサービスに個人情報が残り続けていれば、企業側が普段意識していない場所にリスクが残ることになります。
外部サービスを導入する際は、利用中の安全性だけでなく、契約終了後のデータ処理についても確認しておきたいところです。
吉野家は海外IPからのアクセスを遮断
日本経済新聞は、相次ぐ不正アクセスへの緊急対策として、吉野家ホールディングスが海外のIPアドレスからのアクセスを遮断したと報じています。
IPアドレスとは、インターネット上で通信元や通信先を識別するために使われる番号です。
海外から利用する必要がないシステムであれば、海外IPからのアクセスを制限することで、不正アクセスの機会を減らせる場合があります。
ただし、海外IPを遮断したからといって、すべての不正アクセスを防げるわけではありません。
攻撃者が日本国内のサーバーやネットワークを経由すれば、国内からのアクセスに見せることもできます。
また、海外IPの遮断は、システムそのものに存在する脆弱性を修正する対策ではありません。
そのため、アクセス元の制限だけでなく、認証の強化や脆弱性対策、不審な通信の監視などを組み合わせる必要があります。
緊急時には被害を広げない判断も必要
不正アクセスが確認されたとき、原因を詳しく調べることはもちろん重要です。
一方で、攻撃が続いている可能性がある場合は、調査と並行して被害を広げないための対応も必要になります。
外部からのアクセスを一時的に制限したり、問題が確認されたシステムをネットワークから切り離したり、特定の機能を停止したりする方法があります。
サービスを停止すれば業務への影響も出るため、簡単に判断できることではありません。
だからこそ、事故が起きたときに誰が判断するのか、どのような条件でシステムを止めるのかを事前に決めておくことが重要です。
攻撃を受けてから社内で一から相談していると、その間にも被害が広がる可能性があります。
外部サービスを利用する企業が確認しておきたいこと
今回の件では、吉野家自身のシステムではなく、採用業務で利用していた外部サービスが攻撃を受けました。
現在は、採用管理、顧客管理、ファイル共有、問い合わせ対応など、多くの業務でクラウドサービスやSaaSが使われています。
外部サービスを利用すること自体が問題なのではありません。
重要なのは、どのサービスに、どの情報を預けているのかを企業側が把握していることです。
サービスを選ぶ際には、料金や機能だけでなく、セキュリティ事故が起きた際の連絡方法、データの保存期間、契約終了後の削除方法なども確認する必要があります。
また、利用しているサービスを一覧で管理していなければ、すでに使っていないサービスに情報が残っていても気付けません。
今回のような事例を見ると、サービスの導入時だけでなく、利用中や解約後まで含めて管理することの重要性が分かります。
脆弱性を放置しないための確認も必要
今回の不正アクセスでは、データ分析ツールの脆弱性が悪用されたことが公表されています。
脆弱性とは、ソフトウェアやシステムに存在するセキュリティ上の弱点です。
企業で利用するシステムやソフトウェアが増えるほど、それぞれの製品にどのような脆弱性が見つかっているのかを管理することも難しくなります。
ソフトウェアを最新の状態に保つことに加え、外部からアクセスできるWebサイトやシステムに問題がないかを定期的に確認することも有効です。
CyberCrewでは、Webサイトやシステムにセキュリティ上の弱点がないかを確認する脆弱性診断や、実際の攻撃に近い方法で侵入の可能性を検証するペネトレーションテストを提供しています。
普段問題なく使えているシステムでも、外部から攻撃を受けたときにどこまで侵入される可能性があるかは、通常の運用だけでは分からないことがあります。
個人情報や重要な業務データを扱うシステムでは、定期的に安全性を確認しておくことが重要です。
流出した情報が外部に出回っていないか確認する
個人情報や認証情報が外部に持ち出された場合、その後どこで利用されるかを完全に把握することは難しくなります。
漏えいしたメールアドレスやパスワードなどが、後になってダークウェブなどで公開・売買されるケースもあります。
CyberCrewでは、こうした流出情報を検知・監視するサービス「ALIENGATE（エイリアンゲート）」を提供しています。
ALIENGATEでは、企業のドメインやメールアドレスなどに関連する情報を監視し、ダークウェブなどで確認された流出情報を把握できます。
従業員のメールアドレスや認証情報の流出が見つかれば、対象アカウントの確認やパスワード変更など、早い段階での対応につなげられます。
ただし、すべての情報漏えいを検知できるわけではありません。
システムへの侵入を防ぐ対策と、すでに外部へ出た情報を見つけるための対策では役割が異なります。
どちらか一方だけではなく、複数の対策を組み合わせることが必要です。
海外IPの遮断だけでは十分ではない
今回の報道では、海外IPからのアクセス遮断が取り上げられています。
海外から利用する必要がないシステムであれば、アクセス元を制限することで攻撃を受ける機会を減らせる可能性があります。
一方で、攻撃者が国内の環境を利用すれば、こうした制限を回避される場合があります。
また、アクセス元を制限しても、システムに残っている脆弱性や、不正に取得されたアカウントの問題が解消されるわけではありません。
海外IPの遮断は、状況に応じて行う対策の一つとして考えるのが適切です。
緊急時のアクセス制限と、脆弱性の修正、認証強化、ログ監視、不要なデータの削除などを分けて考える必要があります。
まとめ
吉野家とはなまるでは、採用業務で利用していたApplyNowへの不正アクセスにより、応募者情報5,366件と採用担当者情報418件が漏えいしました。
今回特に確認しておきたいのは、外部サービスとの契約が終了した後も応募者情報が残っていた点です。
クラウドサービスやSaaSを利用している企業では、利用中の安全性だけでなく、解約後にデータがどのように扱われるのかまで確認しておく必要があります。
海外IPからのアクセス遮断は、被害拡大を防ぐための選択肢の一つですが、それだけですべての攻撃を防ぐことはできません。
脆弱性対策、認証の強化、ログの監視、外部サービスに残っている不要なデータの削除など、自社の状況に合わせて複数の対策を進めることが重要です。
参考情報
- 吉野家ホールディングス「ApplyNow採用管理プラットフォームへの不正アクセスによる個人情報漏えいに関するお知らせとお詫び」
- 日本経済新聞「吉野家は海外IPからアクセス遮断 止まらぬ情報流出、企業が緊急対策」（2026年10月15日）
※本記事は2026年10月16日時点の公式発表および報道などの公開情報をもとに、株式会社CyberCrewが独自に整理・解説したものです。
投稿者プロフィール
-
CyberCrew（サイバークルー）は、企業の情報セキュリティをトータルで支援する専門チームです。高度なスキルを持つホワイトハッカーが在籍し、サイバー攻撃の監視・検知から初動対応、リスク診断や従業員向けのセキュリティ教育まで、幅広いサービスを提供。企業のニーズに応じた柔軟な対応で、安心・安全なIT環境の実現をサポートします。
■ 情報セキュリティサービス台帳登録事業者
■ セキュリティコンテスト受賞歴
CTF国際大会 世界No.1
CEH Master Leaderboard 世界No.1
Hack The Box Rank TOP10
■ 保有セキュリティ資格
GIAC GXPN、Cisco Cybersecurity Specialist、CEH Master、CEH Practical、
Cyber Security Professional Certificate、OSCP、OSCP+、CPENT、OSWP、
eCPPT、eMAPT、CRTS、SOC-100、PEN-100、
HTB Offshore Penetration Tester（Level 3）
