ApplyNow、最終報で確定。公表済みの脆弱性を見落として39万6,920人分が漏えい、原因は4点に整理された

まず初めに

「公表済みの脆弱性」――この一言が、今回の最終報でいちばん重い。未知の攻撃でも、高度な標的型でもない。提供元が先に知らせていた穴を、把握しないまま放置していた。39万6,920人分の情報は、その見落としの先にあった。攻撃者の腕前ではなく、受信箱の未読が問題だった、という話である。

※個人の感想です

調査で判明した事実

外部専門機関によるフォレンジック調査は2026年9月18日に始まり、10月23日に完了しました。判明した経緯は次のとおりです。

• 2026年8月9日：第三者が、社内利用していたデータ分析ツールについて、提供元が公表していた脆弱性を悪用して侵入し、管理者権限を取得しました。
• 8月23日・26日：データ分析ツールに接続されていた3サービスのデータベースについて、一部が閲覧されました。
• 9月7日：情報が一括で取得されました。同日、ツールの停止を契機に同社が異常を検知し、不正なアカウント等の無効化・削除を行い、侵入経路を遮断しました。

同社は9月9日に本件を公表し（親会社の株式会社きちりホールディングスも同日に公表）、10月9日に情報を更新していました。今回の最終報は、その続報にあたります。

漏えいした個人情報（確定値）

対象人数は、応募者・契約者・企業ユーザーの合計で396,920人です。サービスごとの主な項目は次のとおりです。

対象サービス	主な項目
Interview Cloud	応募者：氏名、フリガナ、電話番号、メールアドレス、一部の方は選考に関する情報（応募日、面接日等）、生年月日、性別、職業。企業ユーザー：氏名、メールアドレス、ハッシュ化されたパスワード、権限
ApplyNow	応募者：氏名、フリガナ、電話番号、メールアドレス、一部の方は選考に関する情報、生年月日、性別、住所、職業、受験番号、学校名。企業ユーザー：氏名、メールアドレス、ハッシュ化されたパスワード、権限
ApplyNow Sign	契約者：氏名、フリガナ、電話番号、メールアドレス。一部の方は生年月日、性別、住所、個人番号、金融機関名・口座情報、基礎年金番号、在留カード番号、雇用保険被保険者番号、扶養控除に関する情報。企業ユーザー：氏名、メールアドレス、ハッシュ化されたパスワード、権限

「ApplyNow Sign」で雇用契約を締結した人の分は30,067人で、この区分に個人番号や口座情報など機微な項目が集中しています。個人番号（マイナンバー）は番号のみが対象で、本人確認書類の画像は含まれません。クレジットカード情報は同社では保有しておらず、対象に含まれません。面接動画や画像・PDF等のファイルは、データベースとは別の保管領域に保管しており、漏えい対象に含まれません。

初報以降の報道で使われた「約43万人」という数字は概数であり、公式の確定値は396,920人です。

発生原因として挙げられた4点

同社は、本件は自社の管理下にあるツールで発生したものとして、原因を次の4点に整理しました。

1. 提供元が公表していた脆弱性情報を把握しておらず、修正版の適用が遅れたこと
2. 接続元の制限を行っていなかったこと
3. 不正な操作を検知・通知する仕組みはあったが、発見までに時間を要したこと
4. 分析ツールから個人情報を含むデータを参照できる構成となっていたこと。また、データの保管期間を定められておらず、利用を終了した企業・団体に係るデータの削除が行われていなかったこと

対応の経緯と再発防止策

対応の主な経緯は、9月9日の公表、9月10日の所轄警察署への相談とプライバシーマーク付与機関への報告、9月11日の個人情報保護委員会への速報提出と全管理画面ユーザーのパスワード強制リセット、9月19日以降の対象者への個別通知、10月23日の調査完了、そして11月4日の個人情報保護委員会への確報提出です。

再発防止策として実施済みなのは、侵入経路の遮断、不正なアカウントやAPIキーの無効化、データ分析ツールの脆弱性修正版への更新、データベースの接続情報の更新、データ分析ツールへのアクセスを許可したIPアドレスに限定すること、全ユーザーの管理画面パスワードの強制リセット、脆弱性情報の定期的な確認と期限を定めた修正の適用です。今後は、利用を終了した企業・団体のデータ削除（実施中）、不審な操作の自動通知、データベースの暗号化対象項目の拡大、分析ツールが参照するデータを個人情報を含まない形に加工した専用データへ切り替えること、保管期間の策定と期間経過後の自動削除、外部機関による年1回の脆弱性診断が予定されています。

外部専門機関の調査結果を踏まえ、現時点で同社が把握している範囲では、本件を原因とする不正利用などの二次被害は確認されていません。個人番号を悪用した不正な手続き等の申告もないということです。

問い合わせ窓口は電話0120-401-373（平日10時〜18時、土日祝を除く、受付期間は2026年11月30日まで）と、メール（support_biz@applynow.co.jp）です。12月1日以降はメールで受け付けます。同社や応募先企業を装った不審なメール・電話・SMSには注意が必要で、同社から口座情報やパスワード、個人番号を尋ねることはないとしています。

IT Postの見方

IT Postでは、今回の最終報の核心は「分析ツールが本丸だった」という点にあると考えます。採用サービス本体ではなく、社内のデータ分析という裏側の道具が、個人情報を含むデータベースを参照できる構成になっていました。便利な分析基盤は、そのまま格好の侵入口と出口になります。しかも保管期間が定められていなかったため、利用を終えた企業・団体のデータまで残っていました。残す理由のないデータを残すことは、それ自体がリスクの保有です。

原因の1点目――公表済みの脆弱性情報の見落とし――は、言い訳の余地が小さい分、最終報がそれを自社の原因として最初に置いたことは率直です。再発防止策も、IP制限や参照データの加工、保管期間と自動削除まで具体的に踏み込んでいます。残るのは実行の検証で、年1回の脆弱性診断とあわせて、対策が形だけになっていないかが次の確認点になります。

今後どうなりそうか

同社は本公表をもって最終報とし、新たに公表すべき事実が判明した場合は速やかに知らせるとしています。今後の確認点は、再発防止策のうち「今後実施予定」とされた項目の完了時期と、対象者からの問い合わせ・削除依頼への対応状況です。

IT Postでは、新しい公式情報が確認できれば、本記事を更新します。