調査中最終更新 2026-10-07

株式会社ApplyNow

情報通信（採用管理プラットフォーム・録画面接システム）／未公表／東京

不正アクセス情報漏洩サプライチェーン波及

株式会社ApplyNow（きちりホールディングス子会社、旧社名オープンクラウド）が提供する採用管理プラットフォーム「Interview Cloud」「ApplyNow」「ApplyNow Sign」で、同社が利用するデータ分析ツールの脆弱性を突いた第三者による不正アクセスが2026年8月9日から9月7日にかけて行われ、データベース内の一部データに不正アクセスの痕跡が確認された。9月7日に異常なアクセスログを検知し同日遮断した。同社は9月9日に顧客・応募者の個人データが外部へ漏えいした可能性を公表し、9月16日の案内ページでは、通知メールを受け取った応募者（氏名、メールアドレス、電話番号、生年月日、性別等）と電子雇用契約の契約者（一部はマイナンバー、金融機関口座情報、基礎年金番号、在留カード番号等を含む）の情報が漏えいしたと案内した。対象件数は未公表。契約終了後も残っていた応募者情報を含め、自治体の職員採用試験や飲食企業のアルバイト採用の応募者情報が対象となり、多数の利用組織が個別に公表した。

用語をタップで解説 ›

きっかけ・侵入経路

公式発表侵入経路

同社システムで利用しているデータ分析ツールの脆弱性を悪用した第三者による不正アクセスを受け、データベース内に保存されていた一部データに不正アクセスの痕跡が確認された。不正アクセスが確認された期間は2026年8月9日〜9月7日。ツールの名称・脆弱性の詳細は公表されていない。画像・PDF等のファイル実体と面接動画データは別の保管領域にあり、不正アクセスの対象外としている。

攻撃者不明（攻撃者は公表されていない）

被害・漏洩

公式発表

漏洩件数

推定・上限（漏洩の可能性）

件数未公表（9月9日時点「対象データ件数：現在調査中」）。第一報で挙げた漏えいの可能性がある項目：Interview Cloud／録画面接ApplyNowは応募者情報（氏名（カナ）、メールアドレス、電話番号を含む）と企業ユーザー情報（担当者のユーザー名、メールアドレス、権限。Interview Cloudは外部連携情報を含む）、ApplyNow Signは契約者情報（雇用契約情報、個人番号、基礎年金番号、金融機関口座情報を含む）と企業ユーザー情報。

実際の漏洩はこれより少ない場合があります

確認済み（確定値）

件数未公表。9月16日公開の案内ページは、同社からお知らせのメールを受け取った応募者・契約者を漏えいの対象としている（項目は一人ひとり異なる）：応募者は氏名、メールアドレス、電話番号、生年月日、性別（一部は住所、職業）。契約者は氏名、メールアドレス、電話番号、生年月日、性別、住所（一部はマイナンバー、金融機関の口座情報、基礎年金番号、在留カード番号、雇用保険被保険者番号、扶養家族の情報）。

漏洩した情報の種類

氏名メールアドレス電話番号生年月日性別住所職業マイナンバー（個人番号）金融機関口座情報基礎年金番号在留カード番号雇用保険被保険者番号扶養家族の情報企業ユーザー情報（ユーザー名メールアドレス権限）

含まれない情報：履歴書などのファイルと面接動画は別の場所に保管しており含まれない。ログインパスワードは応募者向けサービスでは使用していないため含まれない。9月24日の更新で、雇用契約の内容、緊急連絡先、通勤経路は漏えい対象外と判明したとしている。

組織が把握できていないこと

全体の対象件数・対象組織数は未公表。データ分析ツールの名称、脆弱性の種類、攻撃者は未公表。大阪市（本DBでは別事例 osaka-city-2026）は採用試験の録画面接システム事業者への不正アクセス（期間・原因が同社公表と一致）を公表しているが、市の公表文は事業者名を記載していないためsupplyに含めない（ApplyNowとの同一性は報道・解説による）。福山市は報道（中国新聞・山陽新聞）でアプライナウのシステムの被害（申込者155人と市職員13人の漏えい等）と報じられているが、市の公式公表は確認できていない。井筒まい泉・ダイナックも応募者情報の漏えいを公表したと解説（piyolog）が伝えるが、公式ページは2026年10月8日時点でアクセス拒否（403）となり内容を確認できていないため、supplyに含めない。利用組織の公表には、契約終了後に削除されるはずの情報が残存していたとするもの（一宮市、みよし市、吉野家ホールディングスほか）がある。

対応と結末

公式発表経営層への説明に効く

身代金の要求

不明

身代金の支払い

不明

企業が公表していません

復旧手段

9月7日に異常なアクセスログを検知し、同日中に遮断等の緊急措置を実施。該当ツールへのアクセスの完全遮断と脆弱性に対する修正版セキュリティパッチの適用を完了。9月7日以降、弁護士と連携して被害状況の全容解明と法的対応手続きを開始し、影響を受ける可能性のある企業ユーザーにパスワード変更を促す緊急連絡を配信。個人情報保護委員会への報告と所轄警察署への相談を実施。外部のフォレンジック調査会社と調査を継続。新たなサーバー環境への移行とセキュリティ強化を完了したとしている（9月16日案内ページ）。対象者へメールで個別通知し、専用問い合わせ窓口を設置。

再発防止策

全容解明に向けた調査の徹底とセキュリティ管理体制の抜本的な見直しを行うとしている（具体策は未公表）。親会社きちりホールディングスは、グループ企業に対してセキュリティの向上と個人情報を含むデータ管理の徹底を促すとしている。

経緯

2026-08-09

初期侵入

この日から9月7日まで、データ分析ツールの脆弱性を悪用した第三者による不正アクセスが確認された期間。

2026-09-07

検知

システム内部で異常なアクセスログを検知し、調査で不正アクセスの痕跡を確認。

2026-09-07

初動対応

同日中に不正アクセスの遮断等の緊急措置を実施。以後、弁護士と連携して調査し、企業ユーザーにパスワード変更を促す緊急連絡を配信。

2026-09-09

公表

「当社サービスをご利用いただいているお客様への重要なお知らせとお詫び」を公表。親会社きちりホールディングスも同日公表。

2026-09-16

続報

案内ページ「不正アクセスによる個人情報漏えいに関するご案内」を公開。対象者・項目、相談窓口等を案内。

2026-09-24

続報

案内ページを更新し、雇用契約の内容、緊急連絡先、通勤経路は漏えい対象外と追記。

影響

利用組織の応募者・受験者情報への波及自治体の職員採用試験（録画面接・動画選考）や飲食企業のアルバイト採用の応募者情報が対象となり、多数の利用組織が個別に公表した（supply参照）。

電子雇用契約の機微情報ApplyNow Signの契約者の一部について、マイナンバー、金融機関口座情報、基礎年金番号、在留カード番号、雇用保険被保険者番号、扶養家族の情報が含まれるとして、個別の注意喚起とサポート案内を行うとした。

契約終了後の残存データ同社は求人企業から委託を受けて保管している応募者情報がデータベースに保管されていたと説明。利用組織の公表では、契約終了後に削除されるはずの情報が残存し対象となった例が示されている。

サプライチェーン波及

取引先・委託先・子会社への波及

富士市職員採用試験のプレゼンテーション動画試験で採用管理プラットフォーム『ApplyNow』を利用9月10日に同社から報告を受け、9月11日に令和4〜8年度の申込者について約800件の漏えいの可能性を公表。10月7日の続報で、申込者815件（氏名（カナ）、漢字氏名、メールアドレス、電話番号、受験番号）の漏えいが同社から報告されたと公表。

島田市令和4年度職員採用試験（一般事務／大学卒）一次試験のWeb動画による選考で利用先に漏えいの可能性を公表した後、続報（2026年10月7日更新）で、申込者等113件の情報（氏名（漢字・カナ）、電話番号、メールアドレス、生年月日、電子申請の受付番号）と市役所側のユーザー名・パスワード・メールアドレス・権限が外部へ漏えいしていたと事業者から報告されたと公表。

入間市職員採用試験の一次試験（動画投稿面接試験）で採用管理プラットフォーム「ApplyNow」を利用9月11日に漏えいの可能性、9月16日に漏えいを確認した旨の報告を同社から受け、9月17日に公表。令和5〜8年度のエントリー者1,276件（氏名（漢字・カナ）、電話番号、メールアドレス、受験職種）が漏えい。

一宮市2022・2023年度の職員採用試験の一部で録画面接システムを利用9月11日に同社から報告を受け、9月17日に公表。受験者約600件（受験番号、氏名、電話番号、メールアドレス等）の漏えいの可能性。契約期間終了後の受験者情報の廃棄・削除の履行が不十分だったことも判明したとしている。

橿原市令和2年度職員採用試験の動画選考を委託（当時の社名株式会社オープンクラウド）9月18日に公表。令和2年度の動画選考申込者313件（調査中で未確定。氏名、メールアドレス、電話番号、生年月日、性別、一部は住所・職業）の漏洩の可能性。

所沢市令和4〜7年度の職員採用試験（動画投稿型面接試験）で採用管理プラットフォーム「ApplyNow」を利用9月16日に受験者の個人情報の漏えいが確認されたとして9月19日に公表。1,701件（氏名、メールアドレス、電話番号）。