ApplyNow最終報396,920人とApplyNow Signの30,067人を分ける

資料で確認できること

応募者・契約者・企業ユーザー396,920人、うちApplyNow Signは30,067人

ApplyNowは2026年11月4日、Interview Cloud、ApplyNow、ApplyNow Signのデータベースから個人情報が取得された事案の最終報を公表しました。対象は応募者・契約者・企業ユーザー396,920人で、そのうちApplyNow Signで雇用契約を締結した人は30,067人と示されています。

30,067人は396,920人の『上記』に含まれる区分として記載されているため、両者を足して426,987人とすることはできません。10月9日の更新では約39万人、うちApplyNow Sign約3万人とされていましたが、最終報で具体的な人数へ更新されました。

• 資料 02株式会社ApplyNow：不正アクセスによる個人情報漏えいに関する調査結果および再発防止策のご報告（最終報）

資料で確認できること

氏名・連絡先に加え、一部は個人番号や口座情報　画像・動画・PDFは対象外

Interview Cloudでは応募者の氏名、電話番号、メールアドレス等と企業ユーザー情報、ApplyNowでは氏名、メールアドレス、ハッシュ化されたパスワード等が対象です。ApplyNow Signの一部には住所、個人番号、金融機関名・口座情報、基礎年金番号、在留カード番号等も含まれます。

個人番号は番号だけが対象で、本人確認書類の画像は含まれません。クレジットカード情報は同社が保有しておらず、面接動画や画像・PDF等のファイルも別の保管領域にあり対象外と説明されています。対象情報が多い人と、連絡先等に限られる人を同一に扱わないことが必要です。

• 資料 02株式会社ApplyNow：不正アクセスによる個人情報漏えいに関する調査結果および再発防止策のご報告（最終報）

当事者の説明

8月9日に侵入し、8月23日・26日に閲覧、9月7日に一括取得

外部専門機関の調査では、第三者が8月9日に社内のデータ分析ツールの既知の脆弱性を悪用し、管理者権限を取得しました。接続された3サービスのデータベースは8月23日と26日に一部が閲覧され、9月7日に一括取得されたと説明されています。

原因として、脆弱性情報を把握せず修正版の適用が遅れたこと、接続元を制限していなかったこと、検知後の発見に時間を要したこと、分析ツールから個人情報を参照でき、契約終了後のデータを削除する保管期間が定められていなかったことが挙げられています。

• 資料 01株式会社ApplyNow：当社サービスをご利用いただいているお客様への重要なお知らせとお詫び
• 資料 02株式会社ApplyNow：不正アクセスによる個人情報漏えいに関する調査結果および再発防止策のご報告（最終報）

当事者の説明

侵入経路を遮断し、接続制限・パスワード初期化を実施　削除と暗号化は継続

同社は不正アカウントとAPIキーの無効化、脆弱性修正版への更新、接続情報の更新、許可IPアドレスからの接続限定、管理画面パスワードの強制リセットを実施しました。9月19日から対象者へ通知し、11月4日に個人情報保護委員会へ確報を提出したとしています。

今後の対策には、利用終了企業・団体のデータ削除、不審操作の自動通知、データベースの暗号化範囲拡大、分析用データから個人情報を除く加工、保管期間と自動削除の仕組み、年1回の外部脆弱性診断が含まれます。実施済みの対策と予定を分けて確認する必要があります。

• 資料 02株式会社ApplyNow：不正アクセスによる個人情報漏えいに関する調査結果および再発防止策のご報告（最終報）

未確認の点

対象者ごとの項目、二次被害、予定された削除の完了は個別確認が必要

2026年11月5日の確認時点で、396,920人それぞれにどの項目が該当するか、利用企業・団体ごとの対象人数、個人番号や口座情報を含む対象者への支援状況は、公開資料だけでは個別に確定できません。利用終了企業・団体のデータ削除は実施中で、完了したとは記載されていません。

同社は把握する範囲で、不正利用等の二次被害や個人番号を悪用した手続きの申告を確認していないとしています。これは今後も被害が起きないという保証ではありません。一方、本人確認書類画像、面接動画、PDF、カード情報も流出したと広げる根拠はありません。

• 資料 02株式会社ApplyNow：不正アクセスによる個人情報漏えいに関する調査結果および再発防止策のご報告（最終報）

確認の範囲

このコラムの確認範囲

本稿は2026年11月5日に、ApplyNowの9月9日付初報・10月9日追記と11月4日付最終報、IPAの10月26日付案内を確認しました。JBJは同社、利用企業・団体、応募者、契約者、調査機関、関係当局へ直接取材しておらず、サーバー、ログ、取得データ、通知、二次被害を独立確認していません。掲載画像は説明用イメージです。

• 資料 01株式会社ApplyNow：当社サービスをご利用いただいているお客様への重要なお知らせとお詫び
• 資料 02株式会社ApplyNow：不正アクセスによる個人情報漏えいに関する調査結果および再発防止策のご報告（最終報）
• 資料 03独立行政法人情報処理推進機構：自分の個人情報等が漏えいした際の『対処』と『日頃の対策』

JBJの見解

既知の脆弱性対応と、利用終了後のデータ削除を継続して確認する

今回の最終報は、既知の脆弱性への対応遅れ、接続制限、検知、参照範囲、保存期間を原因として挙げています。再発防止を評価するには、計画の列挙だけでなく、利用終了後データの削除完了、暗号化範囲、分析環境の分離、自動通知の運用実績を継続的に確認する必要があります。

応募者や契約者は、就職・雇用手続きで必要な情報を提出しており、本人に責任を転嫁できません。企業への説明要求と、利用企業の採用担当者や応募者を攻撃することは別です。確認された管理上の問題と、関係者個人への根拠のない非難を分ける必要があります。

• 資料 02株式会社ApplyNow：不正アクセスによる個人情報漏えいに関する調査結果および再発防止策のご報告（最終報）
• 資料 03独立行政法人情報処理推進機構：自分の個人情報等が漏えいした際の『対処』と『日頃の対策』

JBJの見解

利用サービス、応募先、公式通知、対象項目、不審な連絡を整理する

対象の可能性がある方は、利用したサービス、応募・契約先、利用時期、同社や利用企業から届いた通知、対象と案内された項目を整理してください。不審なメール、SMS、電話を受けた場合は、日時、送信元、要求内容を保存し、メッセージ内のリンクではなく公式サイトから確認します。

IPAは、漏えいした情報の種類を確かめ、項目ごとに対処するよう案内しています。パスワードを使い回している場合は変更し、氏名・連絡先が対象なら詐欺連絡に注意します。個人番号や口座情報について不審な手続きが疑われる場合は、通知に記載された公式窓口や関係機関へ相談した記録も残します。

• 資料 02株式会社ApplyNow：不正アクセスによる個人情報漏えいに関する調査結果および再発防止策のご報告（最終報）
• 資料 03独立行政法人情報処理推進機構：自分の個人情報等が漏えいした際の『対処』と『日頃の対策』