きちりホールディングス 子会社 ApplyNowに不正アクセス、個人データ漏えいの可能性　Interview Cloud・ApplyNow Signなど3サービスに影響

株式会社ApplyNowは2026年9月9日、同社が提供する採用管理プラットフォーム「Interview Cloud」「ApplyNow」「ApplyNow Sign」に対する第三者の不正アクセスを公表しました。

同社によると、システムで利用していたデータ分析ツールの脆弱性が悪用され、データベース内に保存されていた一部データへ第三者が不正アクセスした痕跡が確認されました。個人データが外部へ漏えいした可能性があり、対象件数は9月9日時点で調査中です。

漏えいした可能性のある情報には、応募者の氏名、メールアドレス、電話番号などのほか、電子雇用契約サービス「ApplyNow Sign」で扱う雇用契約情報、個人番号、基礎年金番号、金融機関口座情報などが含まれます。

一方、画像・PDFなどのファイル実体と面接動画データは別の保管領域にあり、今回の不正アクセス対象外であることを確認したとしています。個人情報の悪用などの二次被害も、9月9日時点では確認されていません。

親会社の株式会社きちりホールディングスも同日、ApplyNowにおける個人情報漏えいの可能性について適時開示しています。

ApplyNowへの不正アクセスのサマリー

確認できている内容：

• ApplyNowは2026年9月9日、採用管理プラットフォーム3サービスへの不正アクセスを公表しました。
• 対象サービスは「Interview Cloud」「ApplyNow」「ApplyNow Sign」です。
• 原因として、ApplyNowが利用していたデータ分析ツールの脆弱性が悪用されたことを公表しています。
• データベース内の一部データに対し、第三者が不正アクセスした痕跡が確認されています。
• 個人データが外部へ漏えいした可能性があります。
• 不正アクセスが確認された期間は2026年8月9日から9月7日です。
• 9月7日に異常なアクセスログを検知し、調査で不正アクセスの痕跡を確認しました。
• 同日、不正アクセスの遮断などの緊急措置を実施しています。
• 該当するデータ分析ツールへのアクセスを完全に遮断し、脆弱性に対する修正版セキュリティパッチを適用済みです。
• 対象件数は9月9日時点で調査中です。
• 「ApplyNow Sign」では、個人番号、基礎年金番号、金融機関口座情報なども漏えいした可能性のある項目に含まれています。
• 画像・PDFなどのファイル実体と面接動画データは別領域に保管されており、今回の不正アクセス対象外と確認されています。
• 個人情報の悪用などの二次被害は9月9日時点で確認されていません。
• 個人情報保護委員会と所轄警察署への報告・相談を進めています。

現時点で未確定の内容：

• 漏えいした個人データの具体的な件数
• 実際に外部へ持ち出されたデータの範囲
• データ分析ツールの製品名・提供元
• 悪用された脆弱性のCVE番号や技術的な詳細
• 攻撃者や攻撃グループ
• 不正アクセスの目的
• 各顧客・応募者ごとの具体的な影響範囲

項目	内容
公表日	2026年9月9日
対象組織	株式会社ApplyNow
親会社	株式会社きちりホールディングス
対象サービス	Interview Cloud、ApplyNow、ApplyNow Sign
インシデント	データ分析ツールの脆弱性を悪用した不正アクセス
不正アクセス確認期間	2026年8月9日～9月7日
検知日	2026年9月7日
漏えい	個人データが外部へ漏えいした可能性
対象件数	調査中
画像・PDF	今回の不正アクセス対象外と確認
面接動画	今回の不正アクセス対象外と確認
二次被害	9月9日時点で確認されず
対応	ツールへのアクセス遮断、セキュリティパッチ適用、調査、対象者への連絡
個人情報保護委員会	法令に基づく報告・相談を対応中
警察	所轄警察署へ報告・相談を対応中

データ分析ツールの脆弱性を悪用してデータベースへ不正アクセス

ApplyNowによると、今回の不正アクセスでは、同社システムで利用している「データ分析ツール」の脆弱性が悪用されました。

その結果、データベース内に保存されていた一部データに対し、第三者による不正アクセスが行われた痕跡が確認されています。

ここで分けて確認したいのが、「データへの不正アクセス」と「外部へのデータ流出」です。

ApplyNowが確認しているのは、一部データへの第三者による不正アクセスの痕跡です。一方、個人データについては「外部へ漏えいした可能性がある」としており、どのデータが実際に外部へ持ち出されたのか、対象件数が何件なのかは調査が続いています。

そのため、現時点で「全対象データの漏えいが確認された」「○件が流出した」とは判断できません。

不正アクセスは8月9日から9月7日まで確認

ApplyNowが公表した不正アクセスの確認期間は、2026年8月9日から9月7日です。

9月7日、同社システム内部で異常なアクセスログを検知しました。調査したところ不正アクセスの痕跡が見つかり、同日中に遮断などの緊急措置を実施しています。

その後、弁護士と連携して被害状況の全容解明と法的対応手続きを開始しました。

また、影響を受ける可能性がある企業ユーザーに対し、パスワード変更を促す緊急連絡を配信しています。

公表資料では、8月9日から9月7日まで継続的に同一の攻撃者がアクセスし続けていたのか、期間内に何回のアクセスがあったのかまでは示されていません。

Interview Cloudでは応募者情報と企業ユーザー情報が対象

面接シェアリングサービス「Interview Cloud」で漏えいした可能性があるとされているのは、応募者情報と企業ユーザー情報です。

区分	漏えいした可能性がある情報
応募者情報	氏名（カナ）、メールアドレス、電話番号を含む応募者情報
企業ユーザー情報	ユーザー名、メールアドレス、権限、外部連携情報を含む情報

「外部連携情報」の具体的な内容は公表されていません。

APIキー、OAuthトークン、外部サービスのIDなどが含まれるかどうかも現時点では確認できないため、Interview Cloudを利用している企業は、ApplyNowからの個別連絡で対象となる項目を確認する必要があります。

ApplyNowでは応募者情報と企業担当者情報が対象

録画面接サービス「ApplyNow」では、次の情報が漏えいした可能性のある項目として公表されています。

区分	漏えいした可能性がある情報
応募者情報	氏名（カナ）、メールアドレス、電話番号を含む応募者情報
企業ユーザー情報	ユーザー名、メールアドレス、権限を含む情報

企業ユーザーのパスワードは、公表された漏えい可能性のある項目には記載されていません。

一方、ApplyNowは影響を受ける可能性がある企業ユーザーへパスワード変更を求める緊急連絡を行っています。

企業側では、同社から通知を受けたユーザーのパスワード変更を実施するとともに、同じパスワードを他のサービスでも使用している場合は、該当サービス側も変更対象として確認できます。

ApplyNow Signでは個人番号・基礎年金番号・口座情報も対象の可能性

電子雇用契約サービス「ApplyNow Sign」では、漏えいした可能性のある情報として次の項目が公表されています。

• 雇用契約情報
• 個人番号
• 基礎年金番号
• 金融機関口座情報
• その他の契約者情報
• 企業担当者のユーザー名
• 企業担当者のメールアドレス
• 企業担当者の権限

これらは「漏えいしたことが確認された情報」ではなく、「漏えいした可能性のある個人データ」の項目です。

ApplyNowは、個人番号が含まれる対象者と金融機関口座情報が含まれる対象者に対し、個別の注意喚起とサポート案内を順次行うとしています。

該当する企業は、従業員から問い合わせを受けた際に独自判断で漏えいの有無を断定せず、ApplyNowから通知された対象範囲と案内内容を基準に対応する必要があります。

面接動画、画像、PDFは今回の不正アクセス対象外

ApplyNowは、画像・PDFなどのファイル実体と面接動画データについて、データベースとは別の保管領域にあるため、今回の不正アクセス対象外であることを確認したとしています。

9月9日時点の公表内容は次のとおりです。

• データベース内の一部データ：第三者による不正アクセスの痕跡を確認
• 個人データ：外部へ漏えいした可能性があり調査中
• 画像・PDFファイル実体：今回の不正アクセス対象外
• 面接動画データ：今回の不正アクセス対象外

該当ツールを遮断し、修正版セキュリティパッチを適用

ApplyNowは技術的な緊急措置として、問題となったデータ分析ツールへのアクセスを完全に遮断しました。

同時に、悪用された脆弱性に対応する修正版のセキュリティパッチも適用済みです。

ただし、9月9日の公表では次の情報は示されていません。

• データ分析ツールの名称
• ツールの提供元
• 脆弱性のCVE番号
• 脆弱性が公開済みだったか
• 修正版のバージョン
• 攻撃に認証が必要だったか
• インターネットからツールへ直接アクセス可能だったか
• 脆弱性悪用後にどの権限を取得されたか

これらが公表されていないため、特定製品の既知脆弱性やゼロデイ攻撃と結び付けることはできません。

個人情報保護委員会と警察へ報告・相談

ApplyNowは、個人情報保護委員会と所轄警察署に対し、法令に基づく報告・相談を進めています。

9月9日の発表時点では「対応中」とされており、最終的な対象件数や調査結果は確定していません。

同社は、該当する企業と個人の顧客へ順次個別に案内し、専用問い合わせ窓口を周知するとしています。

親会社のきちりホールディングスも同日19時30分、ApplyNowで第三者による不正アクセスが発生し、顧客と応募者の個人データが外部へ漏えいした可能性があるとして適時開示しました。

二次被害は確認されず、不審メールやSMSに注意喚起

ApplyNowによると、9月9日時点で今回の事案に起因する個人情報の悪用などの二次被害は確認されていません。

一方、同社や関係機関を装った不審なメール、SMS、電話が届く可能性があるとして注意を呼びかけています。

ApplyNowは、不審な連絡を受け取った場合、本文中のURLへアクセスしたり添付ファイルを開いたりせず、削除するよう案内しています。

情報システム部門が確認したいポイント

今回の事案は、企業が採用・雇用契約に利用するSaaSで発生しています。利用企業では次の項目を確認できます。

• Interview Cloud、ApplyNow、ApplyNow Signの利用有無
• ApplyNowから影響対象として個別通知を受けているか
• 管理者・採用担当者など企業ユーザーの一覧と権限
• 通知対象ユーザーのパスワード変更状況
• 同一パスワードを他サービスで使い回していないか
• 不審なログインや権限変更がないか
• Interview Cloudの「外部連携情報」に自社のどの情報が含まれるか
• 外部連携用の認証情報が影響対象だった場合、失効・再発行が必要か
• ApplyNow Signへ登録した従業員・契約者の範囲
• 個人番号、基礎年金番号、口座情報を登録していた対象者
• 応募者・従業員から問い合わせを受ける社内窓口
• 不審メール・SMSを受信した場合の社内報告先
• ApplyNowから今後届く続報を確認する担当者

また、SaaSを調達・管理する部門では、サービス本体だけでなく、そのサービスが内部で利用する分析ツールや外部コンポーネントもリスク管理の対象になります。

今回の公表ではデータ分析ツールの名称は明らかにされていませんが、脆弱性を悪用した不正アクセスが原因とされています。SaaS事業者との契約やセキュリティチェックでは、第三者製品の脆弱性管理、パッチ適用、侵害発生時の通知期限、預託データの保管場所などを確認できます。

不正アクセスの基本的な手口と企業側の確認事項は、以下の記事でも整理しています。

• 不正アクセスとは-定義・件数・手口・目的・防止策を専門家が解説【2026年最新】

2026年に公表された他のサイバー攻撃・情報漏えい事例については、以下の記事で確認できます。

• 【2026年】サイバー攻撃・情報漏洩の最新 事例

今後は対象件数と実際の漏えい範囲を確認

9月9日時点で、ApplyNowは対象データ件数を「現在調査中」としています。

今後の続報では、対象人数・件数、サービスごとの影響件数、個人番号・基礎年金番号・金融機関口座情報を含む対象人数、実際に閲覧・取得されたデータ範囲、データ分析ツールと脆弱性の詳細、再発防止策などが確認事項になります。

現段階で確認されているのは、データ分析ツールの脆弱性を悪用した不正アクセスと、一部データに対する第三者アクセスの痕跡です。

対象件数と外部へのデータ持ち出し範囲は未確定であるため、「不正アクセス確認」と「情報漏えい確認」を分けて今後の続報を確認する必要があります。

出典

• 当社サービスをご利用いただいているお客様への重要なお知らせとお詫び – 株式会社ApplyNow
• 当社子会社における個人情報漏えいに関するお知らせとお詫び – 株式会社きちりホールディングス（適時開示）