インシデント / INCIDENT / DATA BREACH
きちりHD子会社ApplyNowの採用管理基盤に不正アクセス — 個人番号・口座情報を含むデータに漏えい可能性
きちりホールディングスは2026年9月9日、子会社ApplyNowが提供する採用管理プラットフォーム3サービスが、利用中のデータ分析ツールの脆弱性を突かれて不正アクセスを受けたと発表した。電子雇用契約サービスでは個人番号や金融機関口座情報を含む契約者情報が漏えいした可能性があり、個別の注意喚起を順次行うとしている。
要点
- きちりホールディングス（東証スタンダード：3082）は2026年9月9日、子会社である株式会社ApplyNowが提供する採用管理プラットフォームに対する第三者の不正アクセスを公表した。ApplyNow社が利用しているデータ分析ツールの脆弱性を悪用され、データベース内に保存されていた一部データに不正アクセスの痕跡が確認された。
- 対象サービスは面接シェアリングサービスの「Interview Cloud」、録画面接の「ApplyNow」、電子雇用契約の「ApplyNow Sign」の3つで、各サービスの利用企業の担当者情報と、応募者・契約者の個人データが漏えいした可能性がある。対象データの件数は9月9日時点で調査中としている。
- 画像やPDFなどのファイル実体、面接動画データは別の保管領域にあるため、今回の不正アクセスの対象外であることを確認した。9月9日時点で、漏えいした情報が不正利用されたなどの二次被害は確認されていない。
漏えいした可能性がある情報
ApplyNow社の発表（きちりホールディングスの適時開示の別紙）によると、サービス別に漏えいした可能性がある項目は次の通りだ。
- Interview Cloud（面接シェアリング）：氏名（カナ）、メールアドレス、電話番号を含む応募者情報。企業担当者のユーザー名、メールアドレス、権限、外部連携情報を含む企業ユーザー情報
- ApplyNow（録画面接）：氏名（カナ）、メールアドレス、電話番号を含む応募者情報。企業担当者のユーザー名、メールアドレス、権限を含む企業ユーザー情報
- ApplyNow Sign（電子雇用契約）：雇用契約情報、個人番号（マイナンバー）、基礎年金番号、金融機関口座情報を含む契約者情報。企業担当者のユーザー名、メールアドレス、権限を含む企業ユーザー情報
個人番号が含まれる対象者と金融機関口座情報が含まれる対象者には、個別の注意喚起とサポート案内を順次差し上げるとしている。採用管理SaaSは応募者の連絡先だけでなく、雇用契約に伴う番号・口座情報を預かる場合があり、漏えい時の影響が大きくなりやすい。利用企業側も、自社がどのサービスに何の情報を登録していたかを確認する必要がある。
時系列で見る経緯
発表によると、不正アクセスが確認された期間は2026年8月9日から9月7日までの約1か月間だ。9月7日に同社システム内部で異常なアクセスログを検知して調査したところ、不正アクセスの痕跡を確認し、同日中に遮断などの緊急措置を実施した。9月7日以降は弁護士と連携して被害状況の全容解明と法的対応の手続きを開始し、影響を受ける可能性がある企業ユーザーにパスワード変更を促す緊急連絡を配信した。
技術的な措置として、該当ツールへのアクセスの完全遮断と、脆弱性に対する修正版セキュリティパッチの適用は完了している。関係機関への対応として、個人情報保護委員会と所轄警察署への法令に基づく報告・相談、該当企業と個人への個別連絡と専用問い合わせ窓口の周知を進めている。
利用者への呼びかけ
現時点で二次被害は確認されていないが、同社は今後、同社や関係機関を装った不審なメール、SMS、電話が届く可能性があるとしている。不審な連絡を受け取った場合は、本文中のURLへのアクセスや添付ファイルの開封は行わず、速やかに削除するよう求めている。問い合わせ窓口として、お客様サポート事務局（[email protected]）を案内している。
同社は調査結果や新たな対応策について、進捗があり次第コーポレートサイトで知らせるとしている。対象サービスの利用企業や応募・契約の心当たりがある人は、同社からの個別連絡と続報を確認するとよい。
出典
- きちりホールディングス「当社子会社における個人情報漏えいに関するお知らせとお詫び」（別紙：ApplyNow社のお知らせを含む、2026年9月9日）
この記事は、公開情報と編集部の調査・知見をもとに構成しています。内容は公開時点の情報に基づく解説であり、個別の環境への診断・対応を保証するものではありません。重要な判断では、記事内の出典や各提供元の最新情報もご確認ください。