採用サービスApplyNow、39万6,920人分が確定 公表済みの脆弱性に気づかず修正が遅れる

事案の概要データ

図解：この事故の構造

何が起きたのか

採用関連サービスを手掛ける株式会社ApplyNow（東京都港区）は2026年11月4日、9月9日に公表した同社サービスへの不正アクセスについて、39万6,920人の個人情報が漏えいしたと発表しました。10月9日の発表では約39万人分としていた件数が、調査によって確定しました。

対象は3つのサービス（Interview Cloud／ApplyNow／ApplyNow Sign）の利用者情報で、このうち3万67人分は、電子雇用契約サービスApplyNow Signで雇用契約を締結した人の情報です。

深刻なのは項目です。ApplyNow Signでは一部について、マイナンバー、金融機関名・口座情報、基礎年金番号、在留カード番号、雇用保険被保険者番号、扶養控除に関する情報まで流出しています。クレジットカード情報、本人確認書類の画像、面接動画は対象外とされています。

攻撃の経緯も公表されています。2026年8月9日にデータ分析ツールの脆弱性を悪用して侵入し、管理者権限を取得。8月23日と26日にデータベースの一部を閲覧し、9月7日に情報を一括取得しました。同日、ツールの停止をきっかけに異常を検知しています。

「公表されていた脆弱性を知らなかった」という原因

同社が挙げた原因の第一は、これです。ツールの提供元が公表していた脆弱性情報を把握しておらず、修正版の適用が遅れた。

つまり、直す方法はすでに世に出ていたのです。知らなかったから直せなかった。

これは中小企業にとって、最も身近で、最も見過ごされている原因です。本サイトでも繰り返し出てきます。

なぜ気づけないのか。理由は3つあります。①そのツールを入れた担当者が異動・退職した。②自動更新ではないツールだった。③そもそも何を使っているかの一覧がない。

やるべきことは、派手な投資ではありません。使っているソフト・ツール・サービスの一覧を作ることです。

一覧に入れる項目は4つで足ります。①名前 ②用途 ③提供元 ④更新の仕組み（自動／手動）。

そして④が「手動」のものだけ、提供元のお知らせメールを受け取る設定にする。これで「知らなかった」の多くは防げます。Excel1枚、半日の作業です。

もう1つ。同社は「接続元の制限がなかったことから、不正な操作の検知にも時間がかかった」としています。社内用の分析ツールが、どこからでもアクセスできる状態だったということです。再発防止策では特定のIPアドレスに限定したとしています。社内用のツールは社内からだけ。これも費用のかからない対策です。

「契約が終わったのにデータが残っていた」という二つ目の原因

同社が挙げたもう1つの原因が重いです。データの保管期間を定めておらず、契約終了後の企業・団体の情報も削除されずに残っていた。

これが何を生んだか。すでに取引を終えた企業の応募者データまで流出したのです。

実例があります。吉野家ホールディングスは、アルバイト応募者の情報が漏えいしたと公表し、契約終了後もデータが削除されずに残っていたと説明しています。

採用データは、この問題が特に出やすい領域です。考えてみてください。不採用になった人の履歴書・応募情報を、いつまで持っていますか。

多くの会社は決めていません。「また応募があったときの参考に」「何かあったときのため」。そうして残り続けます。

決め方の目安はこうです。①採用した人：在職中＋退職後の法定保存期間（労働者名簿等は原則3年）。②不採用の人：選考終了後○か月で削除（6か月や1年が一般的）。③応募を辞退した人：すぐ削除。

そして、サービスを解約するときに「データを消してください」と書面で依頼する。これを忘れると、本件のように他社のシステムに残り続けます。

解約時のチェックリストに、この1行を入れてください。「預けたデータの削除を依頼し、削除完了の連絡をもらう」。

時系列で見る経過

• 2026年8月9日攻撃者が社内のデータ分析ツールの脆弱性を悪用して侵入し、管理者権限を取得
• 2026年8月23日・26日データベースの一部を閲覧
• 2026年9月7日情報を一括取得。同日、ツールの停止をきっかけに異常を検知し、不正アカウントの無効化と侵入経路の遮断を実施
• 2026年9月9日不正アクセスを公表（マイナンバーを含む個人データの漏えいの可能性）
• 2026年10月9日漏えいを確認し、約39万人分と公表
• 2026年10月20日ごろ吉野家ホールディングスが、契約終了後もデータが残存していたことを含めて公表
• 2026年11月4日件数を39万6,920人で確定。マイナンバー・基礎年金番号・口座情報の流出も明らかにする

中小企業が学ぶべきポイント

1. 原因は「公表されていた脆弱性を知らなかった」こと。直す方法はすでに世に出ていた。
2. 使っているソフト・ツールの一覧を作る。名前・用途・提供元・更新の仕組み（自動／手動）の4項目で足りる。
3. 手動更新のものだけ、提供元のお知らせメールを受け取る設定にする。Excel1枚、半日の作業。
4. 社内用の分析ツールが、どこからでもアクセスできる状態だった。接続元を社内のIPに限定する。
5. 保管期間を決めていなかったため、契約終了後の企業の応募者データまで流出した。
6. 不採用者の応募情報は、選考終了後○か月で削除と数字で決める。応募辞退者はすぐ削除。
7. サービスを解約するとき、預けたデータの削除を書面で依頼し、完了の連絡をもらう。
8. 電子雇用契約サービスには、マイナンバー・口座情報・基礎年金番号が集まる。扱いは通常の顧客名簿と別にする。

出典・参考

• 公表済みの脆弱性に気づかず39万6920人分漏えい 採用サービスApplyNow 一部マイナンバーや口座情報も（ITmedia NEWS・2026年11月5日）
• ApplyNow 提供の採用管理プラットフォームに不正アクセス、マイナンバー含む個人データが漏えいした可能性（ScanNetSecurity・2026年9月25日）
• 吉野家がアルバイト採用業務を一部委託していた ApplyNow の採用管理プラットフォームに不正アクセス、契約終了後もデータ消去されず（ScanNetSecurity・2026年10月20日）