2026年9月末から10月にかけて、不正アクセスによる個人情報漏洩の公表が相次いでいます。10月7日から9日には、個人情報保護委員会、JPCERT/CC、IPA(情報処理推進機構)、経済産業省などが立て続けに注意喚起を出しました。
「うちは小さい会社だから狙われない」と感じている方もいるかもしれません。しかし人材紹介会社は、履歴書や現年収、転職理由といった「漏れたら候補者の人生に関わる情報」を毎日扱う仕事です。会社の規模に関係なく、情報が通る経路があれば漏洩は起こり得ます。
この記事では、人材紹介会社が押さえておきたい情報漏洩のリスクと対策を、実際の事例を交えて整理します。
この記事でわかること
- 人材紹介会社の情報漏洩が特に重い理由
- 実際に起きた漏洩の事例と、そこから学べること
- 人材紹介の業務に潜む「漏れやすい場面」
- 少人数でも今日からできる対策チェックリスト
- 万一漏れたときの報告義務と初動
人材紹介会社の情報漏洩が「特に重い」3つの理由
1. ひとり分の情報が濃い
人材紹介会社が扱うのは、氏名や連絡先だけではありません。職務経歴、現年収や希望年収、転職理由、他社の選考状況まで、ひとりの候補者について深い情報がひとまとまりになっています。
通販サイトの会員情報が漏れるのとは、1件あたりの重さが違います。
2. 「転職活動をしていること」自体が秘密
多くの候補者は在職中に転職活動をしています。情報が漏れて現在の勤務先に知られれば、それだけで候補者の立場が悪くなるおそれがあります。
候補者は「この会社なら任せられる」と信頼して情報を預けています。漏洩はその信頼を一度で失う出来事です。
3. 法律上の責任が二重にかかる
人材紹介会社には、個人情報保護法に加えて職業安定法の規制がかかります。
職業安定法第5条の5と、それに基づく指針では、求職者の個人情報の収集・保管・使用を「業務の目的の達成に必要な範囲内」に限ることや、適正に管理するための措置を講じることが求められています。
許可申請の際に提出した「個人情報適正管理規程」の内容と、日々の実務がずれていないかも問われます。許可取得の要件については人材紹介業の免許取得方法で詳しく解説しています。
実際に起きた情報漏洩の事例
漏洩の経路は大きく4つに分けられます。経路ごとに事例を紹介し、人材紹介会社にとっての教訓を整理します。件数・日付は公表時点のものです。
| 経路 | 事例 | 人材紹介会社にとっての教訓 |
|---|---|---|
| 外部からの不正アクセス | 2026年9月前後から国内組織で相次いだ事案 | 自社サイトの応募フォームや管理画面も狙われ得る |
| 委託先・利用ツールの被害 | 採用管理プラットフォームへの不正アクセス(2026年9月公表) | 自社に落ち度がなくても、使っているツール経由で漏れる |
| 内部からの持ち出し | 人材紹介会社の元従業員による持ち出し(2024年11月公表) | 独立・転職が多い業界だからこそ起きやすい |
| ヒューマンエラー | 履歴書の誤送信、メールの宛先間違い | 少人数の会社で最も身近な経路 |
外部からの不正アクセス
JPCERT/CCの注意喚起によると、2026年9月前後から国内組織で不正アクセスが相次いでいます。手口として挙げられているのは、既知の脆弱性の悪用、機器の管理不備、公開アプリから得たAPIキーの悪用などです。
大企業だけの話ではありません。管理画面の弱いパスワードや、更新していないシステムは、会社の規模に関係なく攻撃の入り口になります。
委託先・利用ツールの被害
採用管理プラットフォーム「ApplyNow」などを提供する株式会社ApplyNowは、2026年8月9日から9月7日にかけて第三者による不正アクセスを受けたと公表しました。利用企業の応募者情報が外部に漏えいした可能性があり、利用企業側でも相次いでお知らせが出されました(UNITISのまとめ)。
ここで学べるのは「自社に落ち度がなくても漏れる」ということ です。それでも、候補者から見れば情報を預けた相手はあなたの会社です。どのツールに、どんな情報を預けているかを把握しておく必要があります。
内部からの持ち出し
人材紹介業を営むアクシスコンサルティング株式会社は、2024年11月、元従業員が在籍中に登録者と取引先の個人情報を転職先に持ち出していたと公表しました。対象は計1,306名と報じられています(ScanNetSecurity)。
発覚のきっかけは登録者からの問い合わせで、社内では気づけていませんでした。人材紹介業界はコンサルタントの独立や同業への転職が多く、同じことはどの会社でも起こり得ます。
ヒューマンエラー
少人数の人材紹介会社で最も身近なのが、誤送信や紛失です。推薦のたびに履歴書をメールで送る運用では、宛先を一度間違えるだけで漏洩になります。
人材紹介の業務に潜む「漏れやすい場面」
候補者の登録から入社後までの流れに沿って、情報が漏れやすい場面を確認しておきましょう。
| 業務 | 漏れやすい場面 |
|---|---|
| 候補者登録 | 応募フォームの脆弱性、取得した情報の保存先がバラバラ |
| 面談 | オンライン面談の録画データ、個人のメモアプリに残る面談記録 |
| 推薦 | 履歴書をメールに添付して送る際の宛先間違い。パスワード付きZIPを同じ経路で送る運用 |
| 選考調整 | 個人のLINEや携帯での候補者とのやり取り。会社の管理外に履歴が残る |
| 退職者対応 | アカウントの停止忘れ、個人端末に残ったデータ |
特に注意したいのは、候補者情報が「会社の管理外」に出ていく場面 です。個人のスマートフォン、個人のチャット、ローカルに保存したファイルは、会社から見えず、退職時にも回収できません。
今日からできる対策チェックリスト
IPAが10月9日に公表した「速やかに実施すべき対策」を、人材紹介会社の業務に読み替えてチェックリストにしました。社内で共有してお使いください。
アカウントとツール
候補者情報の扱い
社内ルール
IPAは「不要な情報は持たない」ことを基本原則として挙げています。人材紹介会社にとっては、使わなくなった候補者データを溜め込まないことが、最も手軽で効果の大きい対策です。
万一漏れたら：報告義務と初動
個人情報保護委員会への報告が必要なケース
個人情報保護委員会への報告が義務になるのは、次の4つのいずれかに当たる場合です。実際に漏れたと確定していなくても、「おそれ」の段階で対象になります。
- 要配慮個人情報が含まれる(面談で聞くことがある健康状態など)
- 財産的被害が生じるおそれがある
- 不正の目的で行われたおそれがある(従業員による持ち出しも含む)
- 本人の数が1,000人を超える
報告の期限は次のとおりです。
| 報告 | 期限 |
|---|---|
| 速報 | 発覚から3〜5日以内 |
| 確報 | 発覚から30日以内(不正目的のおそれがある場合は60日以内) |
内部からの持ち出しは「不正の目的」に当たるため、件数が少なくても報告対象になる点に注意が必要です。
初動で優先すること
- 該当するアカウントを停止し、被害の拡大を止める
- ログを消さずに保全する
- 専門のセキュリティベンダーに調査を依頼する
- 候補者・取引先への連絡内容を準備する
IPAの注意喚起でも、異常を見つけたら速やかにインシデントと判断し、専門ベンダーへ詳細調査を依頼することが強く推奨されています。
Crowd Agentの情報管理の取り組み
求人データベース「Crowd Agent」を運営する株式会社Groovesでも、候補者の情報をお預かりするサービスとして、情報管理に取り組んでいます。
- プライバシーマークを取得しています。
- 掲載求人はすべて企業の人事が合意したものです。 推薦先の企業と、候補者情報をお渡しする相手の責任の所在が明確です。
「履歴書をメールでやり取りしない」「候補者情報を個人の端末に残さない」といった運用を、仕組みとして支えられることを目指しています。
まとめ
情報漏洩は大企業だけの問題ではなく、候補者の情報を扱うすべての人材紹介会社の問題です。
- 人材紹介会社の情報は1件あたりが重く、職業安定法による管理義務もある
- 漏洩の経路は「不正アクセス」「委託先・ツール」「内部の持ち出し」「ヒューマンエラー」の4つ
- まずはチェックリストで自社の現状を確認し、情報が通る経路を減らす
- 漏れたときは「おそれ」の段階で報告義務が生じることがある
まずはチェックリストの1項目めから、自社で使っているツールの棚卸しを始めてみてください。
参考資料
この記事へのコメントはありません。