要点
- 採用サービスの ApplyNow が、不正アクセスで応募者・契約者・企業の担当者など39万6920人分の情報が漏れたと最終的に発表した。
- 電子の雇用契約サービス「ApplyNow Sign」で契約した3万67人のうち一部は、マイナンバー、口座情報、基礎年金番号まで漏れた。
- ApplyNow によると、原因は社内のツールの欠陥で、提供元が公表して修正版も出ていたのに、適用が遅れていた。
何が起きたか
ApplyNow（東京都港区）は2026年11月4日、9月に公表した不正アクセスの「最終報」を出した。対象は、ApplyNow が運営する3つのサービスである。
- Interview Cloud
- ApplyNow（録画で選考するサービス）
- ApplyNow Sign（雇用契約を電子で結ぶサービス）
最終報の表によると、漏れた中身はサービスによって違う。いちばん重いのは ApplyNow Sign だ。契約した人の氏名、フリガナ、電話番号、メールアドレスが漏れた。さらに一部の人は、生年月日、性別、住所、マイナンバー（番号のみ）、金融機関名と口座情報、基礎年金番号、在留カード番号、雇用保険の被保険者番号、扶養控除の情報まで含まれる。
Interview Cloud では、面接に応募した人の氏名、フリガナ、電話番号、メールアドレスが漏れた。一部の人は、生年月日、性別、職業や、応募日・面接日などの選考の情報も対象になる。利用企業の担当者の情報は、3つのサービスとも同じ4つの項目が漏れた。氏名、メールアドレス、権限、ハッシュ化したパスワード（元に戻しにくい形に変換したもの）である。ApplyNow の欄に載っているのもこの4つだけで、表には誰の情報かの区分が書かれていない。応募者のパスワードについて ApplyNow は、特設ページで「ログインパスワードは当社サービスでは使用していない」ため漏れた中に含まれないとしている。
面接の動画や PDF などのファイルは、データベースとは別の場所に置いていたため漏れていないという。本人確認書類の画像も対象外だ。クレジットカード情報は、もともと持っていないとしている。
ApplyNow が異常に気づいたのは9月7日だ。社内で使っていたデータ分析ツールが止まったことがきっかけだった。調べると、攻撃者はその約1か月前の8月9日には、このツールの欠陥を突いて入り込み、管理者の権限を手にしていた。8月23日と26日にはデータベースの一部をのぞいていた。そして、気づかれた9月7日の当日に、情報をまとめて取っていた。ApplyNow は侵入の道を閉じ、不正に作られたアカウントなどを止めたとしている。
9月の初回発表から変わったこと
- 9月9日: 不正アクセスを公表。この時点では漏えいは「可能性」で、件数は調査中だった。
- 10月9日: 漏えいの事実を確かめたと更新。件数は約39万人、うち ApplyNow Sign が約3万人とした。
- 11月4日: 外部の専門機関の調査（10月23日に完了）を受けて、39万6920人、うち ApplyNow Sign が3万67人と確定。原因を4つに分けて説明し、個人情報保護委員会に確報を出した。
日本の利用者への影響
国内の採用の場で使われるサービスで、日本の就職・転職の応募者や、雇用契約を結んだ人が対象だ。利用をやめた企業・団体の古いデータも残っていて、漏れた中に含まれる。そのため、昔に応募しただけの人も対象になりうる。
自分が対象かどうかは、ApplyNow からの連絡で分かる。ApplyNow は9月19日から対象者にメールなどで個別に知らせ、利用企業・団体には9月14日から報告している。面接の連絡が Interview Cloud 経由だった、雇用契約を ApplyNow Sign で結んだ、という覚えがある人は、届いたメールを見直すとよい。
11月4日の時点で、漏れた情報の不正な利用などの二次被害は確認されていないと ApplyNow は説明している。マイナンバーを使った不正な手続きの申し出もないという。
今すぐやること
- ApplyNow からの通知を探す。 9月19日以降のメールを見直す。分からなければ、ApplyNow の窓口（フリーダイヤル 0120-401-373、平日10時〜18時、11月30日まで。12月1日からはメールのみ）に聞く。
- 「ApplyNow」「応募先の企業」を名乗る連絡を疑う。 ApplyNow は、不審なメール・電話・SMS に気をつけるよう呼びかけている。ApplyNow が口座情報、パスワード、マイナンバーを聞くことはないとしている。
- 口座の動きを見る。 ApplyNow Sign で契約した人は、口座の入出金や、身に覚えのない口座の手続きの連絡がないかを、しばらくの間よく見る。「口座が悪用された」「返金する」といった連絡は、銀行の公式の番号にかけ直して確かめる。
- 企業の担当者はパスワードを見直す。 ApplyNow は9月11日に管理画面の全ユーザーのパスワードを強制的にリセットした。同じパスワードをほかのサービスでも使っていたら、そちらも変える。
- 利用企業は応募者への説明を用意する。 応募者から問い合わせが来ることを考え、ApplyNow の特設ページの内容を社内で共有する。
背景
ApplyNow は原因を4つ挙げている。整理すると、「なぜ入られたか」と「なぜ被害がここまで広がったか」の2つの話になる。
入られたのは、ツールの欠陥が直っていなかったからだ。ApplyNow の説明では、欠陥の情報も修正版も提供元から出ていたのに、社内でそれに気づいていなかった。しかも、ツールに接続できる相手を限っていなかった。異常を知らせる仕組みは動いていたが、8月の侵入から9月の発覚までに約1か月かかっている。
被害が広がったのは、ApplyNow によれば、分析ツールから個人情報の入ったデータにまで手が届く作りだったためだ。どれだけの期間データを残すかのルールもなかった。その結果、取引を終えた企業・団体のデータも消されないまま、漏れた中に入ったという。
ツールの名前や欠陥の番号は公表されていない。
修正版が出ている欠陥をそのままにして入られる例は多い。とくに、社内向けの分析や管理のツールは、表に出るサービスより更新が後回しになりやすい。
技術者向けの詳細
- 侵入経路: 社内で使っていたデータ分析ツールの既知の欠陥（製品名・CVE は非公表）。修正版の未適用。
- 時系列（ApplyNow 発表）: 8/9 侵入・管理者権限の取得 → 8/23・8/26 接続先データベースの一部を閲覧 → 9/7 一括取得、ツールの停止をきっかけに検知・遮断 → 9/9 公表 → 9/11 個人情報保護委員会へ速報、管理画面ユーザーのパスワードを強制リセット → 9/18 フォレンジック開始 → 10/23 調査完了 → 11/4 確報。
- 10月9日の更新では、不正に使われたアカウントの無効化と、データベースの接続情報の更新も行ったとしている。
- 実施済みの対策（最終報）は、性質で分けると3つ。
- 後始末: 侵入経路を閉じ、攻撃者が作ったアカウントと API キー、乗っ取られた管理者アカウントを無効にした。DB の接続情報と管理画面の全ユーザーのパスワードも変えた。
- ツールそのもの: 欠陥を直した版に上げ、接続元を許可した IP アドレスに限った。
- 運用: 脆弱性情報を定期的に確認し、期限付きで修正を当てるようにした。
- 今後の対策（最終報）は、データを減らすことと、見張りを強めることが中心。
- 減らす・切り離す: 取引を終えた企業・団体のデータを消している最中。個人情報・特定個人情報は保管期間を決め、過ぎたら自動で消す。分析ツールには、個人情報を除いて加工した専用データだけを見せる。DB で暗号化する項目も増やす。
- 見張る: 不審な操作を担当者へ自動で知らせる仕組みを入れる。外部の機関による脆弱性診断を年1回行う。
- 自社への教訓として見直す点: 分析・BI ツールが本番の個人情報に直接つながっていないか、管理画面がインターネットにそのまま出ていないか、契約終了後のデータの削除ルールがあるか。
- 問い合わせ: support_biz@applynow.co.jp、特設ページ https://biz.applynow.jp/support/
