ApplyNowの採用管理プラットフォーム 不正アクセスによるサイバー攻撃のまとめ　入間市や一宮市 他自治体の職員採用試験の個人情報漏洩

株式会社ApplyNowが提供する採用管理プラットフォームへの不正アクセスによるサイバー攻撃について、自治体の職員採用試験への影響が相次いで公表されています。

2026年9月17日、埼玉県入間市は、2023年度から2026年度までの職員採用試験で動画投稿面接にエントリーした1,276件の個人情報について「漏えいしたことが確認された」と公表しました。

同日、愛知県一宮市も、2022・2023年度の職員採用試験受験者約600件について、個人情報が漏えいした可能性があると発表しています。

これまでにも富士市、島田市、福山市、大阪市が職員採用試験で利用した録画・動画面接システムへの不正アクセスに伴う個人情報漏えいの可能性を公表しており、影響は複数自治体へ広がっています。

今回の起点は、ApplyNowがシステム内で利用していたデータ分析ツールの脆弱性です。ApplyNowは8月9日から9月7日までの期間に第三者による不正アクセスを受け、9月7日に異常なアクセスログを検知しました。

影響対象は録画面接サービス「ApplyNow」だけではありません。「Interview Cloud」と電子雇用契約サービス「ApplyNow Sign」も対象で、ApplyNow Signでは個人番号（マイナンバー）、基礎年金番号、金融機関口座情報を含む契約者情報が漏えいした可能性があります。

一方、面接動画や画像、PDFなどのファイル実体は別の保存領域にあり、ApplyNowは今回の不正アクセス対象外としています。

ApplyNow不正アクセスのサマリー

確認できている内容：

• ApplyNowは2026年9月9日、採用管理プラットフォームへの不正アクセスを公表しました。
• 不正アクセスが確認された期間は8月9日から9月7日です。
• 原因は、ApplyNowが利用していたデータ分析ツールの脆弱性を悪用した第三者による不正アクセスです。
• 対象サービスは「Interview Cloud」「ApplyNow」「ApplyNow Sign」の3サービスです。
• データベース内の一部データへ第三者が不正アクセスした痕跡が確認されています。
• ApplyNow Signでは、個人番号、基礎年金番号、金融機関口座情報なども漏えいした可能性があります。
• 画像、PDF、面接動画などのファイル実体は別領域に保存されており、今回の不正アクセス対象外です。
• 入間市では職員採用試験受験者1,276件について、個人情報の漏えいが確認されました。
• 一宮市では約600件、富士市では約800件、島田市では約130件、福山市では148件について漏えいの可能性が公表されています。
• 大阪市では106名分について漏えいの可能性が公表されていますが、市の公式発表はサービス事業者名を明記していません。
• 一宮市と島田市では、契約上は削除済みであるはずの過年度データが今回の対象に含まれていたことが判明しています。
• 9月17日時点で、各自治体は個人情報の不正利用などの二次被害を確認していません。

現時点で確認できていない内容：

• 悪用されたデータ分析ツールの製品名
• 脆弱性のCVE番号
• 攻撃主体
• ApplyNow全体で漏えいした個人データの総件数
• ApplyNow Signで実際に外部取得された個人番号や口座情報の件数
• 各利用企業・自治体における影響の全体数

ApplyNow不正アクセスの整理表

項目	内容
公表日	2026年9月9日
対象企業	株式会社ApplyNow
親会社	株式会社きちりホールディングス
不正アクセス確認期間	2026年8月9日～9月7日
検知日	9月7日
原因	利用中のデータ分析ツールの脆弱性悪用
対象サービス	Interview Cloud、ApplyNow、ApplyNow Sign
対象データ	応募者・契約者・企業担当者の個人データ等
ApplyNow Sign	個人番号、基礎年金番号、金融機関口座情報等を含む可能性
面接動画	別保存領域のため対象外
画像・PDF	別保存領域のため対象外
対象総件数	調査中
対応	不正アクセス遮断、脆弱性修正、調査、対象者通知
個人情報保護委員会	ApplyNowが報告
警察	所轄警察署へ相談

自治体への影響一覧　一宮市、入間市、富士市、島田市、福山市、大阪市

9月17日時点で確認できた自治体の公表内容を整理すると、次の通りです。

自治体	公表日	件数	状況	主な対象情報
入間市	9月17日	1,276件	漏えい確認	氏名、フリガナ、電話番号、メールアドレス、受験職種
一宮市	9月17日	約600件	漏えいの可能性	受験番号、氏名、電話番号、メールアドレス等
富士市	9月11日	約800件	漏えいの可能性	氏名、フリガナ、メールアドレス、電話番号、受験番号等
島田市	9月15日	約130人	漏えいの可能性	氏名、フリガナ、電話番号、メールアドレス、生年月日、受付番号
福山市	9月11日	148人	漏えいの可能性	氏名、生年月日、メールアドレス、電話番号等
大阪市	9月15日	106名	漏えいの可能性	氏名、フリガナ、メールアドレス、電話番号等

ApplyNowの名称を自治体自身が明示している一宮市、入間市、富士市、島田市と、報道でApplyNow利用が確認されている福山市を合わせると、公表対象は約2,954人に上ります。

大阪市の106名を加えると3,060人ですが、大阪市の公式発表は録画面接システムの提供事業者名を公表していません。大阪市が示した不正アクセス期間や原因はApplyNowの公表内容と一致しますが、本稿では大阪市分をApplyNowの確定件数として単純合算しません。

また、これらは「漏えい確認」と「漏えいの可能性」が混在しています。約3,000人全員について漏えいが確定したという意味ではありません。

入間市は1,276件の漏えいを確認

入間市は9月17日、ApplyNowから9月16日に調査結果の連絡を受け、職員採用試験受験者の個人情報が外部へ漏えいしたことを確認したと公表しました。

対象は2023年度から2026年度までに、入間市職員採用試験の動画投稿面接試験へエントリーした人です。

漏えいが確認された件数は1,276件です。

対象情報は次の通りです。

• 氏名（漢字）
• 氏名（カナ）
• 電話番号
• メールアドレス
• 受験職種

9月11日時点ではApplyNowから「漏えいした可能性がある」と報告されていましたが、9月16日の調査結果で「漏えいしたことを確認」へ表現が変わりました。

今回確認した自治体の中では、入間市が明確に漏えい確定を公表しています。

9月17日時点で、漏えい情報が不正利用されたなどの二次被害は確認されていません。

一宮市は約600件、「削除済みのはずの過年度データ」が残存

一宮市は9月17日、2022・2023年度の職員採用試験で録画面接システムを利用した受験者約600件について、個人情報が漏えいした可能性があると公表しました。

対象情報は、受験番号、氏名、電話番号、メールアドレス等です。

面接動画は別の保存領域にあり、今回の不正アクセス対象外とApplyNowから説明を受けています。

一宮市の発表で確認したいのは、漏えい可能性だけではありません。

市とApplyNowとの契約では、契約期間終了後に受験者情報を完全に廃棄または削除することになっていました。

しかし、2022・2023年度の情報が今回の対象に含まれたことで、契約上の削除が十分に履行されていなかったことが判明しました。

島田市でも契約上削除済みのはずの約130人分が対象

静岡県島田市も9月15日、2022年度の職員採用試験でApplyNowを利用した約130人分について、個人情報が漏えいした可能性があると公表しました。

対象情報は氏名、フリガナ、電話番号、メールアドレス、生年月日、電子申請による申込受付番号です。

島田市がApplyNowの採用管理システムを利用したのは2022年度のみです。

市は、契約上削除済みであるはずの情報が今回の対象となった事情について、ApplyNowへ確認を求めています。

富士市は2022～2026年度の約800件が対象

富士市は9月11日、職員採用試験のプレゼンテーション動画試験でApplyNowを利用していたとして、約800件の個人情報が外部へ漏えいした可能性を公表しました。

対象期間は2022年度から2026年度です。

対象情報は、申込者の氏名、フリガナ、メールアドレス、電話番号、受験番号のほか、企業側の担当者ユーザー名、メールアドレス、権限です。

動画データそのものは別の保存領域にあるため、不正アクセス対象外と説明されています。

福山市は148人、4月の「早期枠」採用試験が対象

福山市については、9月11日に職員採用試験で利用した録画面接システム「ApplyNow」への不正アクセスが報じられています。

対象は2026年4月に実施した職員採用試験「早期枠」で録画面接を利用した148人です。

氏名、生年月日、メールアドレス、電話番号などが漏えいした可能性があるとされています。

面接動画は別システムへ保存され、今回の対象外とされています。

大阪市は106名、市公式資料は事業者名を非公表

大阪市は9月15日、「大阪市職員（社会人等技術【夏】）採用試験」の動画選考で利用した録画面接システムへの不正アクセスを公表しました。

対象は106名です。

氏名、フリガナ、メールアドレス、電話番号等が漏えいした可能性があります。

大阪市の公式発表では、システム提供事業者名とサービス名を公表していません。

一方、市が説明する不正アクセス期間は8月9日から9月7日、原因は事業者が利用していたデータ分析ツールへの不正アクセスで、ApplyNowが9月9日に公表した事案と一致します。

セキュリティ対策Labでは大阪市の事案を個別記事でも整理しています。

大阪市、採用試験の録画面接システムに不正アクセス　申込者106名の氏名・メール・電話番号など漏えいの可能性

ApplyNow全体ではマイナンバー・基礎年金番号・口座情報も対象

自治体で公表されているのは、主に職員採用試験の応募者情報です。

一方、ApplyNow全体のインシデントでは、より機微性の高い情報も影響対象となっています。

対象サービスは「Interview Cloud」「ApplyNow」「ApplyNow Sign」の3つです。

Interview CloudとApplyNowでは、応募者情報や企業担当者のユーザー名、メールアドレス、権限などが漏えいした可能性があります。

ApplyNow Signでは、雇用契約情報、個人番号、基礎年金番号、金融機関口座情報などが対象に含まれる可能性があります。

9月17日時点で、これらの情報が実際に何件漏えいしたのかは公表されていません。

面接動画・画像・PDFは今回の不正アクセス対象外

ApplyNowは、画像やPDFなどのファイル実体と面接動画データについて、データベースとは別の保存領域にあるため今回の不正アクセス対象外としています。

一宮市、富士市、島田市、福山市も、面接動画は今回の対象外と説明または報告を受けています。

そのため、「採用面接動画が漏えいした」と表現できる根拠は確認できません。

8月9日から9月7日まで不正アクセス

ApplyNowが確認した不正アクセス期間は8月9日から9月7日です。

9月7日に内部で異常なアクセスログを検知して調査したところ、不正アクセスの痕跡が確認されました。

ApplyNowは同日中にアクセス遮断などの緊急措置を実施しています。

主な時系列は次の通りです。

日付	内容
8月9日	不正アクセスが確認された期間の開始
9月7日	異常なアクセスログを検知、不正アクセス遮断などの緊急措置
9月9日	ApplyNow・きちりホールディングスが第一報を公表
9月11日	富士市などが影響を公表
9月14日	島田市がApplyNowから対象情報に含まれる可能性の連絡を受領
9月15日	島田市、大阪市が公表
9月16日	ApplyNowが入間市へ個人情報漏えい確認を報告
9月17日	入間市が1,276件の漏えい確認を公表。一宮市が約600件の漏えい可能性を公表

原因はデータ分析ツールの脆弱性、製品名やCVEは非公表

ApplyNowは、社内システムで利用していた「データ分析ツール」の脆弱性を悪用されたと説明しています。

9月17日時点では、ツールの製品名やベンダー名、CVE番号は公表されていません。

したがって、特定のBIツール、データベース管理製品、OSSなどを侵入経路と断定することはできません。

確認できるのは、ApplyNowが顧客へ直接提供する録画面接機能そのものではなく、サービス内部で利用していた別のデータ分析ツールが侵入口になったという点です。

「契約終了後に削除」が実行されていたかが新たな論点

今回の自治体公表で、セキュリティ対策とは別に確認したいのがデータ保持期間です。

一宮市では、契約終了後に受験者情報を完全に廃棄または削除する契約でしたが、履行が不十分だったとしています。

島田市も、契約上は削除済みであるはずの2022年度データが今回の対象に含まれていたため、ApplyNowへ事情説明を求めています。

SaaSや業務委託サービスでは、契約書に「終了後削除」と記載していても、利用企業から実際の削除状態を直接確認しにくい場合があります。

企業・自治体では、契約終了時のデータ削除証明、バックアップや分析基盤の削除範囲、サブプロセッサー側の保持期間まで確認する必要があります。

情報システム部門・人事部門が確認したいポイント

ApplyNowや同種の採用管理SaaSを利用している組織では、次の点を確認できます。

• ApplyNow、Interview Cloud、ApplyNow Signを現在または過去に利用していないか
• どの年度・採用試験・求人で利用したか把握しているか
• 委託先に残っている応募者・退職者データの保存期間を確認しているか
• 契約終了済みサービスのデータが実際に削除された証跡を取得しているか
• マイナンバーや口座情報をSaaS上で扱っていたか
• 採用担当者のアカウント・権限・外部連携を棚卸しできるか
• SaaS事業者が内部で利用する第三者ツールの脆弱性管理を契約・監査項目に含めているか
• インシデント発生時の通知期限と連絡経路を契約で定めているか
• バックアップや分析用コピーを含めた削除条件を確認しているか
• 対象者通知時に、漏えい確定と漏えい可能性を区別して説明できるか

特に採用SaaSでは、採用活動が終わった後もデータが残存していれば、数年前の応募者が現在のインシデントの対象になる可能性があります。

今回の一宮市と島田市では、過年度の採用試験データが実際に対象となりました。

関連：きちりホールディングス 子会社 ApplyNowに不正アクセス、個人データ漏えいの可能性　Interview Cloud・ApplyNow Signなど3サービスに影響

出典

• 当社子会社における個人情報漏えいに関するお知らせとお詫び – 株式会社きちりホールディングス
• 2026年9月17日 職員候補者試験を受験された方の個人情報漏えいの可能性について – 一宮市
• 職員採用試験録画面接システム事業者における個人情報の漏えいについて – 入間市
• 本市職員採用試験（プレゼンテーション動画試験）を受験された方の個人情報の不正流出の可能性について – 富士市
• 令和4年度島田市職員採用試験（Web動画による選考）申込者の個人情報漏えいの可能性について – 島田市
• 採用試験録画面接システム事業者における個人情報の漏えいの可能性について – 大阪市
• 職員採用試験で利用した録画面接システム「ApplyNow」への不正アクセスについて – 福山市関連報道