ApplyNow、約39.7万人の漏えい原因を公表―分析ツールの未修正脆弱性からDBを取得

ApplyNowは2026年11月4日、採用・雇用契約サービスで発生した情報漏えいの最終調査結果を公表しました。9月9日に発表した事案で、今回は社内のデータ分析ツールに公表済みの脆弱性を残していたことなど、侵入と被害拡大の原因を説明しています。

第三者は8月9日に分析ツールへ侵入して管理者権限を取得し、接続先のサービスDBを8月23日・26日に一部閲覧、9月7日に一括取得しました。同社は同日のツール停止を契機に異常を検知。製品名やCVE番号は公表していません。

対象は応募者・契約者・企業ユーザー396,920人で、このうちApplyNow Signの雇用契約者は30,067人です。一部の契約者では個人番号、口座情報、基礎年金番号なども含まれます。面接動画、画像・PDF等のファイルやクレジットカード情報は対象外としています。

同社は修正情報の把握不足、接続元の制限不足、検知の遅れに加え、分析ツールから個人情報を参照できた構成と、利用終了企業のデータを削除していなかった点を原因に挙げています。

修正版の適用、認証情報の無効化・更新、許可IPからの接続に限定する措置は実施済みです。個人情報を含まない分析用データへの切り替えと保管期限・自動削除の整備は今後の対策であり、完了済みとは区別されています。