職員採用試験サービス「ApplyNow」不正アクセス、なぜ6つの自治体・約3000件に拡大したのか。マイナンバーも対象の内訳を確かめる

まず初めに

「発生期間は8月9日から9月7日、公表は9月9日」。日付だけ見れば迅速な対応に見えるが、蓋を開けてみれば、そこから半月以上かけて対象自治体は次々と増え、気がつけば全国6市・約3,000件という規模に育っていた。しかも中身は氏名や電話番号どころか、マイナンバーや年金番号、口座情報まで。採用試験の録画面接という、就職活動の一場面を預けただけのはずが、まさか自分の全財産に関わる番号まで危険にさらされるとは、応募者の誰も想像していなかっただろう。「全容解明に向けて調査続行中」という言葉を、私たちはこれまでも何度も聞いてきた。※個人の感想です

何が起きているのか

飲食チェーンを複数運営するきちりホールディングスの連結子会社である株式会社ApplyNowは、2026年9月9日、同社が提供する採用管理プラットフォームに第三者による不正アクセスがあり、個人情報が外部に漏えいした可能性があると公表しました。対象となったのは、録画型のWeb面接・選考サービス「Interview Cloud」「ApplyNow」、および電子雇用契約サービス「ApplyNow Sign」の3つのサービスです。

不正アクセスが確認されたのは2026年9月7日で、異常なアクセスログの検知がきっかけでした。その後の調査で、2026年8月9日から9月7日にかけて、社内で利用していたデータ分析ツールの脆弱性が悪用され、データベース内の一部データにアクセスされた痕跡が確認されました。

その後、この採用管理プラットフォームを利用していた自治体で、順次被害の詳細が明らかになっています。今回確認できた範囲では、埼玉県入間市(約1,200件)、静岡県富士市、静岡県島田市、愛知県一宮市(約600件)、大阪府大阪市(106件)、広島県福山市(148件)の6市が、いずれも職員採用試験の受験者情報が漏えいした可能性があると公表しており、6市を合わせた対象件数は約3,000件にのぼります。漏えいの可能性がある情報は自治体ごとに差異がありますが、受験番号・氏名・電話番号・メールアドレスなどが含まれます。さらに、電子雇用契約サービス「ApplyNow Sign」を利用していた契約者については、マイナンバー(個人番号)や基礎年金番号、金融機関口座情報、企業担当者のユーザー名・メールアドレスまで、漏えいの対象に含まれるおそれがあるとされています。一宮市の公表では、契約終了後に本来廃棄・削除されるはずだった情報が、委託先による履行が不十分だったために残っていたことも明らかになっています。

なぜ重要なのか

今回の事案が重要なのは、1つの委託先事業者(ApplyNow)への不正アクセスが、契約する複数の自治体へ連鎖的に波及した点です。自治体は住民サービスや職員採用の多くの場面で、外部の専門事業者が提供するクラウドサービスを利用していますが、委託先1社のセキュリティ問題が、業務委託関係にある複数の自治体すべての情報漏えいリスクに直結することを、今回の事案は改めて示しました。

また、マイナンバーや基礎年金番号、金融機関口座情報という、金融犯罪や成りすましに悪用されるおそれのある機微な情報が対象に含まれている点も見過ごせません。単なる氏名・連絡先の漏えいと比べて、二次被害が発生した場合の深刻度が大きく異なります。

私たちへの影響

今回確認した出典の範囲では、対象となった自治体の職員採用試験に過去応募したことがある人が、直接の対象者にあたります。ApplyNowおよび対象の各自治体は、影響を受けた可能性のある人へ個別に連絡する方針を示しています。心当たりのある人は、対象自治体からの通知や、ApplyNowの公式サイトでの発表を確認してください。マイナンバーなどが対象に含まれる契約者については、不審な連絡や金融機関からの心当たりのない通知がないか、通常より注意して確認しておくと安心です。今回確認した出典の範囲では、情報の不正利用による二次被害は確認されていません。

初心者が知っておくべきこと

マイナンバーは、日本に住む一人ひとりに割り当てられた12桁の番号で、税・社会保障・災害対策の分野で行政手続きに使われます。この番号自体は、単独で銀行口座を勝手に開設できるような「万能鍵」ではありませんが、氏名や生年月日などの他の個人情報と組み合わさることで、成りすましなど不正利用のリスクが高まります。マイナンバーが関わる漏えい事案では、番号そのものの変更が原則としてできない(一定の要件を満たす場合のみ変更可能)ため、他の個人情報の漏えいよりも長期にわたって注意が必要になる点が特徴です。

よくある質問

Q. 自分が対象かどうか確認するには? A. 今回確認した出典の範囲では、対象となった6市(入間市・富士市・島田市・一宮市・大阪市・福山市)の職員採用試験に、2026年8月9日から9月7日までの期間を含む過去に応募したことがある人が対象となる可能性があります。心当たりのある人は、応募した自治体の公式サイトの発表や、ApplyNowからの個別連絡を確認してください。

Q. なぜ対象自治体が次々と増えているのか? A. ApplyNowは複数の自治体に採用管理サービスを提供しており、不正アクセスの調査が進むにつれて、影響を受けた契約先が順次特定・公表されているためです。今回確認した出典の範囲では、調査は現在も継続中とされています。

IT Postの見方――「委託先まかせ」のツケが回ってきた話

IT Postでは、今回の事案は、自治体が外部の専門サービスに業務委託すること自体を批判するものではなく、委託先のセキュリティ体制をどこまで自治体側が把握・監督できていたかが問われる事案だと考えます。特に、一宮市の公表にあった「契約終了後に廃棄されるはずだった情報が実際には残っていた」という点は、契約書に廃棄条項を書いただけでは安心できないという、地味だが本質的な教訓を示していると、IT Postでは考えます。マイナンバーという、日本国内で最も慎重な扱いが求められる情報の一つを預ける以上、委託先の実際の運用状況を定期的に検証する仕組みが、契約書の文言以上に重要だと、IT Postでは考えます。※個人の感想です

今後どうなりそうか

ApplyNowは、影響を受けた可能性のあるユーザーへの個別連絡を進めるとともに、全容解明に向けた調査の続行と、セキュリティ体制の抜本的な見直しを進める方針を示しています。今回確認した出典の範囲では、対象自治体がさらに増える可能性や、調査完了の見通しについては明らかにされていません。IT Postでは、続報が確認され次第、あらためて取り上げます。