у японского сервиса найма утекли номера My Number и банковские реквизиты

Токийская компания ApplyNow, которая делает сервисы для онлайн-собеседований и электронных трудовых договоров, 4 ноября опубликовала¹ итоговый отчёт об утечке. Пострадали 396 920 человек: соискатели, сотрудники компаний-клиентов и люди, подписавшие трудовые договоры. В октябре компания называла около 390 тысяч.

По данным отчёта, 9 августа взломщик проник во внутренний инструмент анализа данных и сразу получил права администратора. 23 и 26 августа он просматривал базы подключённых сервисов, а 7 сентября выгрузил их целиком. Аномалию в компании заметили в тот же день. Причиной ApplyNow называет уязвимость, о которой производитель инструмента уже сообщил публично: компания «не знала» об этом и обновилась с опозданием. Подключиться к инструменту можно было с любого адреса, он видел персональные данные, а сведения клиентов, с которыми контракт уже закончился, не удалялись.

Сильнее всего пострадали 30 067 человек, подписавших договоры через ApplyNow Sign. У части из них утекли номер My Number (японский номер для налогов и соцстрахования), банковские реквизиты, номер пенсионного и страхования занятости, сведения об иждивенцах и номер карты резидента — документа, который выдают иностранцам на долгосрочное проживание. У остальных — имена, телефоны, почта, даты собеседований, у сотрудников клиентов — хеши паролей. Видео собеседований и сканы документов, по словам компании, хранились отдельно.

Какой инструмент взломали, ApplyNow не называет. 6 августа разработчики открытой BI-системы Metabase раскрыли SQL-инъекцию CVE-2026-72898: без входа она позволяла выполнять SQL-запросы к базе приложения и получить права администратора. Metabase подтвердила, что уязвимость уже эксплуатировали. 14 августа японский JPCERT/CC выпустил² отдельное предупреждение, а в октябре упомянул³ её среди причин серии утечек в японских компаниях и призвал проверить «BI-инструменты, не предназначенные для публичного доступа». ApplyNow не подтверждала, что речь о Metabase.

По данным SmartScope⁴, 30 сентября об утечке через подрядчика ApplyNow сообщила Yoshinoya Holdings, владелец сети ресторанов «Ёсиноя».

ApplyNow обещает никогда не спрашивать реквизиты, пароли и My Number. Горячая линия работает до 30 ноября, с 1 декабря — только почта. Удалить свои данные можно по запросу. Вторичного ущерба компания пока не зафиксировала.

Источники

1. ApplyNow ↩

2. JPCERT/CC ↩

3. JPCERT/CC ↩

4. SmartScope ↩