採用サービスApplyNowの漏えいは39万6920人、マイナンバーと口座情報が報じられたのは電子雇用契約3万67人のうち一部

2026年11月10日

この記事のポイント

公表の経緯：不正アクセスは8月9日から9月7日で、9月7日に検知、9月9日に初報が出ました。11月4日の最終報で件数が39万6920人になったと報じられています。
件数の中身：39万6920人は応募者・契約者・企業ユーザーの合計です。ApplyNow Signで雇用契約を結んだ3万67人は、その全体に含まれる数なので、足し算にはなりません。
要配慮の範囲：マイナンバー・基礎年金番号・口座情報が報じられたのは、ApplyNow Signで雇用契約を結んだ3万67人のうち一部の人です。項目ごとの正確な件数は、報じられている範囲では見当たりません。
原因：社内のデータ分析ツールの脆弱性を突かれたと報じられています。提供元が公表していた脆弱性情報を把握しておらず、修正版の適用が遅れたとされます。
読者がすること：応募先企業またはApplyNow社からの案内メールを確認してください。ApplyNow Signで雇用契約を結んだ方は、口座の取引通知の確認も先に済ませてください。

ApplyNow社の名前に心当たりがなくても、応募先が使っていれば対象になりえます——吉野家は2022年4月〜2024年6月の応募分

運営会社の株式会社ApplyNow（以下、ApplyNow社）の3つのサービスが対象と報じられています。面接関連の「Interview Cloud」、電子雇用契約の「ApplyNow Sign」、録画選考サービスの「ApplyNow」です（出典：ITmedia NEWS）。自分が対象かどうかは、応募先の企業が使っていたかが手がかりになります。

具体例として、吉野家ホールディングスは9月30日に、吉野家4,998件・はなまる368件（計5,366件）が漏えいした可能性があると発表しました。対象は2022年4月11日から2024年6月30日の応募分で、10月1日以降に吉野家とApplyNow社からメールで案内するとしています（出典：はなまるうどんの発表PDF）。この期間は両社の応募分の話であり、ApplyNow社全体の対象期間ではありません。全体の対象期間は、報じられている範囲では見当たりません。

案内メールが見つからない場合は、迷惑メールフォルダと、応募先企業の公式お知らせを確認してください。ApplyNow社の9月9日の初報は公式お知らせから確認できます。問い合わせ窓口の連絡先は、報じられている範囲では見当たりません。

39万6920人と3万67人は足し算にならない——マイナンバーと口座情報が報じられたのは雇用契約を結んだ人の一部

39万6920人は応募者・契約者・企業ユーザーの合計で、3万67人はその全体に含まれる数です。次の表で、自分がどの立場に当たるかを探してください。

漏えいした項目はScanNetSecurityの報道、件数の確定値はITmedia NEWSの記事を転載したYahoo!ニュースによります（出典：ScanNetSecurity、Yahoo!ニュース（ITmedia転載））。

立場	漏えいした項目	備考
応募しただけの人	氏名・メールアドレス・電話番号など	マイナンバーと口座情報は、報じられた項目に見当たりません
ApplyNow Signで雇用契約を結んだ人（3万67人）	氏名・フリガナ・電話番号・メールアドレスなどに加え、一部でマイナンバー・基礎年金番号・金融機関名・口座情報	「一部」が何人かは、報じられた範囲に見当たりません
企業ユーザー	氏名・メールアドレス・ハッシュ化パスワード・権限情報	3サービス共通。パスワードの変更が先

ハッシュ化とは、パスワードを元の文字列に戻しにくい別の値へ変換して保管する方法です。権限情報は、管理画面でどの操作ができるかの設定です。基礎年金番号は、公的年金の加入記録を管理する番号です。なお、画像・PDFなどのファイル実体と面接動画データは別の保管領域にあり、今回の対象外と確認されたと報じられています。

吉野家の委託分は、契約終了後も消去されていなかったと報じられています

吉野家の委託先だったApplyNow社は、契約終了後もデータを消去していなかったと報じられています（出典：ScanNetSecurity）。応募したのが数年前でも、すでに取引のない企業でも、ApplyNow社側にデータが残っていた可能性があります。

退会・解約したあとでも対象になった別の事案として、So-net・plala(Sコース)の漏えいがあります。

吉野家の5,366件のように、企業ごとに公表された数字は、人ではなく件で数えられているものもあります。それらと全体の39万6920人との関係は、報じられている範囲では見当たりません。

提供元が公表した脆弱性情報を把握しておらず、修正版の適用が遅れた

ITmedia NEWSによると、データ分析ツールの脆弱性を悪用された侵入の流れは次のとおりです。

8月9日：侵入され、管理者権限を取得されました
8月23日・26日：データベースの一部が閲覧されました
9月7日：情報が一括取得されました。同日中に異常なアクセスログを検知して遮断しています
9月9日：初報を公表しました

原因として、ツール提供元が公表していた脆弱性情報を把握しておらず、修正版の適用が遅れたことが伝えられています。ツールの製品名と、脆弱性ごとに付く共通の識別番号であるCVE番号は、報じられている範囲では見当たりません。

二次被害は11月4日時点で確認されていない——立場別に先にやること

二次被害は、9月9日時点でも11月4日時点でもApplyNow社は確認していないとされます。それでも、立場に応じて次のことを済ませておくと安心です。立場が重なる方は、該当するものをすべて見てください。

応募しただけの方は、応募履歴から応募先を洗い出し、各社の公式お知らせと案内メールの有無を、迷惑メールフォルダも含めて確認してください。
ApplyNow社や応募先を装うメール・SMS・電話には、記載のURLや電話番号に触れず、応募先の公式お知らせから確かめてください。
ApplyNow Signで雇用契約を結んだ方は、口座の取引通知を確認してください。マイナンバーは、漏えいして不正に用いられるおそれがあると認められる場合に、市区町村の窓口で番号の変更を申請できる制度があります（出典：世田谷区の案内）。申請には、漏えいと不正利用のおそれを示す資料が必要とされるため、まず自治体や金融機関の窓口に相談してください。
採用側の企業ユーザーの方は、ハッシュ化パスワードが対象に挙がっているため、パスワードを変更し、他のサービスとの使い回しをやめてください。

応募者のパスワードが漏れたという報道は、報じられている範囲では見当たりません。問い合わせ窓口の連絡先も同じなので、上の1と2の手順で確かめてください。

制度面では、個人情報保護法26条で、個人の権利利益を害するおそれが大きい漏えいの場合、事業者に個人情報保護委員会への報告と本人通知が義務づけられています（出典：BUSINESS LAWYERS）。