採用管理サービスを提供するApplyNowは2026年11月4日、「Interview Cloud」「ApplyNow」「ApplyNow Sign」への不正アクセスについて、外部専門機関の調査結果をまとめた最終報を公表しました。個人情報が漏えいしたのは396,920人で、このうちApplyNow Signで雇用契約を結んだ30,067人は、一部の人のマイナンバー（個人番号）、口座情報、基礎年金番号なども対象です。
原因は、社内で使っていたデータ分析ツールの脆弱性です。提供元が公表していた脆弱性を同社が把握しておらず、修正版の適用が遅れていました。
漏えいしたのは396,920人、サービスごとの項目
| サービス | 主な漏えい項目 |
|---|---|
| Interview Cloud（面接シェアリング） | 応募者情報：氏名、フリガナ、電話番号、メールアドレス。一部の人は選考に関する情報（応募日、面接日など）、生年月日、性別、職業 企業ユーザー情報：氏名、メールアドレス、パスワード（ハッシュ化して保存）、権限 |
| ApplyNow（録画面接） | 氏名、メールアドレス、パスワード（ハッシュ化して保存）、権限 |
| ApplyNow Sign（電子雇用契約） | 契約者情報：氏名、フリガナ、電話番号、メールアドレス。一部の人は生年月日、性別、住所、個人番号、金融機関名・口座情報、基礎年金番号、在留カード番号、雇用保険被保険者番号、扶養控除に関する情報 企業ユーザー情報：氏名、メールアドレス、パスワード（ハッシュ化して保存）、権限 |
| 対象 | 人数 |
|---|---|
| 応募者・契約者・企業ユーザー | 396,920人 |
| うち、ApplyNow Signで雇用契約を結んだ人 | 30,067人 |
個人番号は番号だけが対象で、本人確認書類の画像は含まれません。クレジットカード情報は同社が持っておらず、対象外です。面接動画や画像・PDFなどのファイルは、データベースとは別の場所に保管しており、これも対象外としています。
10月9日の続報では、対象は「約39万人（うちApplyNow Signの利用者が約3万人）」とされ、件数は外部機関の調査で確定するとしていました。最終報で人数が確定し、在留カード番号、雇用保険被保険者番号、扶養控除に関する情報、企業ユーザーのパスワード（ハッシュ化して保存）も項目として明記されています。
8月9日に侵入、9月7日にデータを一括取得
外部専門機関のフォレンジック調査は2026年9月18日に始まり、10月23日に終わりました。調査で分かった流れは次のとおりです。
| 日付 | 判明した事実・ApplyNowの対応 |
|---|---|
| 2026年8月9日 | 第三者が、データ分析ツールの公表済みの脆弱性を悪用して侵入し、管理者権限を取得 |
| 8月23日・26日 | ツールに接続されていた3サービスのデータベースの一部が閲覧される |
| 9月7日 | データベースが一括で取得される。ツールの停止をきっかけに同社が異常を検知し、同じ日に不正なアカウントなどを無効化・削除して侵入経路を遮断 |
| 9月9日 | 自社サイトで公表（親会社のきちりホールディングスもプレスリリースを公表） |
| 9月10日 | 所轄警察署に相談し、プライバシーマーク付与機関に報告 |
| 9月11日 | 個人情報保護委員会に速報を提出。全管理画面ユーザーのパスワードを強制リセット |
| 9月14日〜 | 利用企業・団体に報告 |
| 9月19日〜 | 対象者にメールなどで個別に通知。本人からのデータ削除の依頼にも順次対応 |
| 10月9日 | 漏えいの事実の確認、対象件数、項目を公表 |
| 10月23日 | 外部専門機関の調査が完了 |
| 11月4日 | 個人情報保護委員会に確報を提出し、最終報を公表 |
原因：脆弱性の見落としと、個人情報を参照できる構成
ApplyNowは、本件は同社の管理下にあるツールで起きたものだとして、原因を次の4点にまとめています。
- 提供元が公表していた脆弱性情報を把握しておらず、修正版の適用が遅れた
- ツールへの接続元を制限していなかった
- 不正な操作を検知・通知する仕組みはあったが、発見までに時間がかかった
- 分析ツールから個人情報を含むデータを参照できる構成だった。データの保管期間が決まっておらず、利用を終えた企業・団体のデータも削除されていなかった
再発防止策
| 状況 | 内容 |
|---|---|
| 実施済み | 侵入経路の遮断、不正に作られたアカウント・APIキーと不正に使われた管理者アカウントの無効化、ツールの脆弱性修正版への更新、データベース接続情報の更新、ツールへの接続を許可したIPアドレスに限定、全ユーザーの管理画面パスワードの強制リセット、脆弱性情報の定期的な確認と期限を決めた修正の適用 |
| 今後実施 | 利用を終えた企業・団体のデータの削除（実施中）、不審な操作を担当者へ自動通知する仕組み、データベースの暗号化対象項目の拡大、分析ツールが参照するデータを個人情報を含まない専用データに切り替え、個人情報・特定個人情報の保管期間の策定と自動削除、外部機関による脆弱性診断（年1回） |
応募者・契約者がとるべき対応
ApplyNowによると、本件が原因の不正利用などの二次被害は、現時点で確認されていません。個人番号を悪用した不正な手続きなどの申告もないとしています。同社や応募先の企業を装った不審なメール・電話・SMSに注意するよう呼びかけており、同社から口座情報、パスワード、個人番号を尋ねることはないとしています。
ここからは公式発表には書かれていない、筆者の見解です。ApplyNow Signで雇用契約を結んだ人は、勤務先や口座の情報を知っているかのような連絡が届くおそれがあります。「給与の振込先の確認」「年末調整の書類の再提出」などを名目にした連絡でも、リンク先で情報を入力せず、勤務先の担当部署に直接確かめることをおすすめします。企業ユーザーの人は、パスワードはハッシュ化されていましたが、同じパスワードをほかのサービスで使い回している場合は変更しておくと安心です。
問い合わせ先
- 電話：0120-401-373（平日10時〜18時、土日祝を除く。受付は2026年11月30日まで）
- メール：support_biz@applynow.co.jp（12月1日以降はメールのみで受け付け）
- 特設ページ：https://biz.applynow.jp/support/
まとめ
- ApplyNowの「Interview Cloud」「ApplyNow」「ApplyNow Sign」への不正アクセスで、396,920人の個人情報が漏えいした
- ApplyNow Signで雇用契約を結んだ30,067人は、一部の人のマイナンバー、口座情報、基礎年金番号、在留カード番号なども対象
- 原因は、社内のデータ分析ツールの公表済みの脆弱性への対応の遅れと、個人情報を参照できる構成だった
- 二次被害は確認されていない。勤務先や口座の情報を持ち出す連絡には、リンクから応じないようにしたい
- 電話窓口は11月30日まで。12月1日以降はメールで受け付ける
関連記事
出典：株式会社ApplyNow「不正アクセスによる個人情報漏えいに関する調査結果および再発防止策のご報告（最終報）」（2026年11月4日）
元記事URL：https://applynow.co.jp/news/20261104
出典：株式会社ApplyNow「当社サービスをご利用いただいているお客様への重要なお知らせとお詫び」（2026年9月9日、10月9日更新）
元記事URL：https://applynow.co.jp/news/20260909
コメント