ApplyNowは2026年11月4日、採用関連サービスで発生した個人情報漏えいの最終報を公表しました。対象は応募者・契約者・企業ユーザーの計396,920人で、このうち「ApplyNow Sign」で雇用契約を締結した人は30,067人です。
企業のIT担当者が確認したいのは、社内分析ツールが参照できる情報と、利用終了後も残るデータの範囲です。本記事は11月5日に確認した公式発表を基に、事故の事実と、自社の運用を点検するための提案を分けて整理します。
最終報で確認された侵入経路と影響
同社によると、第三者は公表済みの脆弱性を悪用して8月9日に分析ツールへ侵入し、管理者権限を取得しました。接続先のサービスのデータベースは8月に一部を閲覧され、9月7日に一括取得されています。
漏えい項目はサービス・対象者によって異なります。ApplyNow Signの契約者では、一部の人の個人番号や口座情報なども含まれました。一方、面接動画や画像・PDFなどのファイルは対象外とされています。全員が同じ項目の漏えい対象になったという意味ではありません。
同社は原因として、修正版の適用遅れ、接続元制限の欠如、発見の遅れ、分析ツールから個人情報を参照できる構成を挙げています。保管期間が定まらず、利用終了企業・団体のデータが削除されていなかった点も公表しました。
出典：ApplyNowの最終報（2026年11月4日）「1. 調査により判明した事実」「2. 漏えいした個人情報」「3. 発生原因」。
自社では「接続できるデータ」を先に棚卸しする
以下は公表内容を踏まえた運用上の提案であり、同社の未公表の構成を推定するものではありません。
分析ツールの一覧を作ったら、各ツールが使う接続アカウントと、参照可能なデータベース・テーブル・項目を並べて確認します。「採用状況を集計する」という目的に対し、氏名や口座情報まで必要なのかを、実際の帳票や分析処理ごとに判断してください。
| 点検対象 | 担当者に確認すること | 残す記録の例 |
|---|---|---|
| 接続情報 | 誰が発行し、どのツールが使用しているか | 接続先、管理担当、更新日 |
| 参照権限 | 分析目的に対して必要な項目だけか | 利用する項目と用途 |
| 接続元 | 管理画面や接続経路の許可範囲は何か | 許可元と例外の承認者 |
| 修正適用 | 脆弱性情報を誰が受け取り、いつ適用するか | 期限、担当、適用確認 |
権限を狭める場合は、帳票や定期処理への影響も確認します。変更を承認した記録に加え、対象アカウントで不要な項目を参照できなくなったことまで確認すると、設定上の判断と実際の動作を照合できます。
利用終了後のデータは、削除の完了まで確認する
採用サービスや分析基盤の見直しでは、「利用終了」という業務上の状態と、保存されたデータの扱いを結び付けて整理します。まず、何のために残すのか、誰が必要期間を決めるのか、終了時に誰へ通知するのかを明確にしてください。
次に、本体データだけでなく、分析用の複製・出力ファイル・バックアップを棚卸しの対象にします。これは自社に確認する項目であり、今回の事故で各保存先から漏えいしたと示すものではありません。
保管期間を決める際は、業務上・法令上の必要性を担当部門で確認したうえで、削除対象と例外を記録します。削除依頼の受付日だけで終了とせず、実行結果を確かめる担当者も決めておくと、未処理の対象を追跡しやすくなります。
再発防止策は実施状況を分けて読む
ApplyNowは修正版への更新や接続元IPアドレスの制限を実施済みとしています。一方、個人情報を含まない分析用データへの切り替え、保管期間の策定と自動削除は今後の施策です。利用終了企業・団体のデータ削除は実施中とされています。公式発表の再発防止策では、完了済みと予定が区別されています。
委託先の説明を確認する企業は、対策の名称だけでなく、対象範囲・完了条件・実施を確かめる記録を尋ねるとよいでしょう。自社の点検も、まず一つの分析ツールについて「接続先・閲覧項目・保管期限・削除担当」を埋め、確認できない箇所を対応課題として残すところから始められます。