前回は、勤怠や給与のクラウドが一晩止まった話から始めました。今回は、その少し手前にある「採用の入口」の話です。応募フォームと採用管理のサービスで、この秋、漏えいの公表が続きました。
先に、要点を三つ
- 応募者の情報も、従業員と同じ個人情報です。 預け先で漏れても、応募者から見れば「あの会社に出した情報」です。一定の場合には、国への報告と本人への通知が自社に求められます。
- 電子の雇用契約では、マイナンバー・基礎年金番号・口座まで預けています。 連絡先が漏れるのとは重さが違います。
- 契約を終えたサービスに、データが残っていた例があります。 「解約した」と「消えた」は別です。
この秋、採用の入口で起きたこと
ある採用管理のクラウドサービスでは、8月から9月にかけて不正アクセスがあり、暫定で約39万人分が対象と公表されました。このうち約3万人分は、雇用契約を電子で結ぶ機能の利用者で、マイナンバー、基礎年金番号、口座の情報も含まれるとされています。10月には「漏えいの事実が確認された」と続報が出ました。
このサービスを使っていた企業や自治体が、それぞれ自社の応募者について公表しています。ある外食チェーンでは、委託を終えてから2年以上たった応募者の情報が残っていました。複数の自治体では、職員採用試験の受験者の情報が対象になりました。
もう一つは、Webサイトを作るサービスへの不正アクセスです。10月に公表されたこの件では、そのサービスで作られた各社のサイトの「フォームに送信された内容」が対象になりうるとされ、運営会社は「取得されたものとみなして対応する」としています。会社案内のサイトに採用の応募フォームを置いていれば、そこに書かれた氏名・連絡先・職歴が対象になり得ます。
どちらも、攻撃されたのは預け先です。しかし、応募者に通知をし、必要なら国に報告するのは、情報を集めた側の会社です。公的な集計では、民間や行政から国に届く漏えいの報告は、今年度の最初の3か月だけで約6,100件、そのうちマイナンバーを含むものが百件を超えています。珍しい話ではなくなっています。
「まだ社員でない人」の情報は、軽く扱われやすい
採用の情報は、入社した人の分は人事の台帳に移りますが、採らなかった人の分は、フォームや採用管理の画面に置いたままになりがちです。誰のものでもない状態で、長く残ります。前述の「2年以上残っていた」は、おそらくそういう経緯だったのだろうと考えられます。
もう一つ、応募フォームは「とりあえず全部聞いておく」設計になりやすいものです。生年月日、家族構成、現在の年収、健康状態。採否を決める段階で本当に要るものは、思ったより少ないはずです。集めた情報は、漏れたときにそのまま被害の大きさになります。
今日できる三つ
- 応募フォームの項目を減らす: 書類選考の段階で要らない項目は外します。マイナンバーや口座は、内定後に、必要になってから、別の経路で預かります。
- 解約・委託終了のときに「消した」ことを確かめる: 契約書に、終了時の削除と、削除したことの通知を入れます。すでに解約済みのサービスがあれば、残っていないかを一度問い合わせます。
- 応募者に「こちらから聞かないこと」を先に伝える: 漏えいの公表の後には、会社を名乗る連絡が届きやすいと考えられます。「メールでマイナンバーや口座を尋ねることはありません」と、募集ページや応募受付の自動返信に一文入れておくのが現実的ではないでしょうか。
採用の情報は、入社前に預かる最初の個人情報です。ここの扱いは、入社後の労務データの扱いにそのままつながります。次回は、ランサムウェアの統計から、中小企業の現実と、バックアップの「戻せるか」の話をします。前回の記事はこちらです。
ご相談は、当事務所の無料相談をご利用ください。
参考(一次情報)
- 採用管理サービス運営会社の公式告知(2026年9月9日公表・10月9日更新): https://applynow.co.jp/news/20260909
- Webサイト作成サービス運営会社の公式告知(2026年10月): https://studio.design/ja/security/notice/2026-10-incident
- 個人情報保護委員会「令和8年度第1四半期における漏えい等報告の処理状況」(2026年9月2日): https://www.ppc.go.jp/files/pdf/260902quarter-report_roueihoukoku.pdf
※本記事は一般的な情報提供であり、個別の法的助言やセキュリティ診断ではありません。記載した事実は2026年10月23日時点の公表内容で、今後の調査により変わることがあります。