B43/100
情報漏えい · 中
ApplyNow採用管理プラットフォームに不正アクセス 不要データを削除せず
ティアB · 今週中にパッチ – 次のスプリントで対応
影響を受ける人： ApplyNowを利用し利用を終えた企業・団体の採用データ
ティアBの理由： 悪用確認済み または 公開エクスプロイト
影響範囲
攻撃
被害
修正
悪用確認済み
要点
- ApplyNowが提供する採用管理プラットフォームへの不正アクセスが報じられた
- 利用を終了した企業・団体のデータが削除されずに残っていたとされる
なぜ重要か
利用終了後のデータが保持され続けると、不正アクセス時の被害範囲が広がる。採用管理など個人情報を扱うシステムを開発する立場では、データの保持期間と削除手順の設計を見直す必要がある。
ティアの根拠となったチェックリスト
チェックリスト · 10項目中2項目が「はい」
| はい | 開発者に影響 | 採用管理のSaaSであり、企業の採用担当や運用部門が業務で使うサービスに該当する |
| いいえ | 基幹インフラ | 特定ベンダーの単一の採用管理サービスであり、ほぼすべてのチームが使う基幹インフラではない |
| いいえ | 人気ツール | ニッチな業務向けSaaSであり、開発者が広く使う一般的なツールではない |
| はい | 悪用確認済み | scan.netsecurity.ne.jpが、採用管理プラットフォームへの不正アクセスが起きたと報じている |
| いいえ | 公開エクスプロイト | scan.netsecurity.ne.jpの記事に、エクスプロイトや概念実証が公開されたという記述はない |
| いいえ | 認証不要のリモート攻撃 | scan.netsecurity.ne.jpの記事に、攻撃経路や必要な権限についての記述はない |
| いいえ | 完全な乗っ取り | scan.netsecurity.ne.jpの記事に、管理者権限の取得やコード実行が起きたという記述はない |
| いいえ | シークレットの流出 | scan.netsecurity.ne.jpの見出しは不要データの未削除を伝えるが、データが持ち出されたとは書かれていない |
| いいえ | サプライチェーン | scan.netsecurity.ne.jpの記事に、正規パッケージや更新経路を通じた悪意あるコードの配布は書かれていない |
| いいえ | 修正なし | scan.netsecurity.ne.jpの記事に、修正版の有無や対応状況についての記述はない |
出典
ApplyNow 提供の採用管理プラットフォームに不正アクセス、利用終了した企業団体のデータを削除せず ↗ scan.netsecurity.ne.jp · 3時間前