採用管理サービス「ApplyNow」に不正アクセス。約39万人分、マイナンバーを含む情報も漏えいの可能性

01発表されている事実

1. 2026年8月9日〜9月7日

   不正アクセスが行われた期間

2. 9月7日

   異常なアクセスログを検知し、同日遮断

3. 9月9日

   公表

4. 9月11日

   利用企業の管理者パスワードを強制的に再設定

5. 9月14日・16日

   利用企業と自治体へ連絡

6. 9月19日

   対象の応募者への連絡を開始

7. 10月9日

   対象を約39万人と更新

対象の情報は、応募者の氏名（カナ）、メールアドレス、電話番号のほか、一部の人は生年月日、性別、住所、職業です。ApplyNow Signでは、雇用契約の情報、個人番号（マイナンバー）、基礎年金番号、金融機関の口座情報が含まれます。画像やPDFのファイルと面接の動画は別の場所に保存されており、対象外としています。

02委託した側の発表

吉野家ホールディングスなどは9月30日、2022年4月11日から2024年6月30日までApplyNowにアルバイト採用業務の一部を委託していたと発表しました。この期間の応募者は吉野家4,998件、はなまる368件、採用に関わったグループ従業員418件（アカウント数）が対象です。同社は、契約終了に伴い応募者の情報はデータベースから消されるものと認識していたものの、ApplyNowの実際の運用は異なっていたと説明しています。ApplyNowは調査のための記録の保全や対象者への連絡のため、すぐには消去できず、対応が終わり次第消去するとしています。

03読者への影響

アルバイトや職員採用に応募した人は、応募先の企業や自治体と、ApplyNowの両方から連絡を受ける場合があります。吉野家などは、対象者がすべき手続きはないとしています。一方で、両社や求人企業、行政機関、金融機関を装う不審なメール・SMS・電話が来るおそれがあります。暗証番号、パスワード、認証コード、カード番号、マイナンバーを尋ねられても答えないでください。マイナンバーや口座情報が含まれた人には、ApplyNowが別途案内と支援を行うとしています。

04同じことを防ぐには（採用や人事をクラウドに任せる企業）

1. 契約を終えるときに、委託先にデータの消去を求め、消去したことを書面で受け取る
2. 契約前に、委託先がどの外部ツールにデータを渡しているか、脆弱性への対応をどうしているかを確かめる
3. マイナンバーや口座情報は、必要な期間だけ預け、項目を絞る

図鑑では「取引先から対策を求められた」入口で委託先管理の考え方をまとめ、クラウドの設定診断や脆弱性診断の会社を探せます。