飲食チェーンを展開する株式会社きちりホールディングス（東証スタンダード・3082）は2026年9月9日、子会社である株式会社ApplyNowが提供する採用管理プラットフォームが第三者による不正アクセスを受け、顧客企業と応募者の個人データが外部に漏えいした可能性があると公表した。侵入口となったのは同社が業務で利用していたデータ分析ツールの脆弱性で、電子雇用契約サービスの契約者情報には個人番号（マイナンバー）や基礎年金番号、金融機関の口座情報が含まれる。対象件数は現時点で調査中としている。
採用管理の3サービスが対象
漏えいの可能性が公表されたのは、ApplyNowが提供する3つのサービスに保存されていたデータである。
面接シェアリングサービス「Interview Cloud」と録画選考サービス「ApplyNow」では、応募者の氏名（カナ）、メールアドレス、電話番号を含む応募者情報と、企業担当者のユーザー名、メールアドレス、権限などを含む企業ユーザー情報が対象となった。Interview Cloudについては、これに加えて外部連携情報も含まれるとしている。
電子雇用契約サービス「ApplyNow Sign」では、さらに機微な情報が対象となった。同社の公表によれば、雇用契約情報に加えて、個人番号、基礎年金番号、金融機関口座情報を含む契約者情報が含まれる。同社は、個人番号が含まれる対象者と金融機関口座情報が含まれる対象者に対しては、個別の注意喚起とサポート案内を順次実施するとしている。
一方で、画像やPDFといったファイルの実体、および面接の録画データについては、別の保管領域にあるため今回の不正アクセスの対象外であることを確認したという。公表内容から見る限り、被害はデータベース上のテキスト情報が中心とみられる。
侵入口は自社が使っていた分析ツールの脆弱性
今回の攻撃で悪用されたのは、ApplyNowが自社システム内で利用していたデータ分析ツールの脆弱性だった。同社は製品名や脆弱性の詳細を公表していない。
攻撃者はこの脆弱性を突いてデータベース内の一部データにアクセスした痕跡を残しており、同社は該当ツールへのアクセスを完全に遮断したうえで、修正版のセキュリティパッチを適用したと説明している。
自社で開発したアプリケーションの作り込みではなく、業務のために導入した外部ツールが穴になったという構図は、クラウド型で提供されるソフトウェア（SaaS）の事業者に限らず、多くの企業に当てはまる。主要な業務システムの守りを固めていても、その周辺で動く分析・監視・連携系のツールが同じ水準で管理されているとは限らない。
約1か月の潜伏、検知は9月7日
不正アクセスが確認された期間は2026年8月9日から9月7日までとされ、約1か月にわたって侵入が継続していたことになる。
発覚のきっかけは、9月7日にシステム内部で異常なアクセスログを検知したことだった。調査の結果、不正アクセスの痕跡が確認され、同日中に遮断などの緊急措置が実施された。同日以降は弁護士と連携して全容解明と法的対応手続きを開始し、影響を受ける可能性のある企業ユーザーにはパスワード変更を促す緊急連絡が配信されている。
現時点で個人情報が不正に利用されるなどの二次被害は確認されていないとしており、個人情報保護委員会および所轄警察署への報告・相談は対応中と公表されている。同社は、今後この件に便乗して同社や関係機関を装った不審なメール、SMS、電話が届く可能性があるとして、本文中のURLへのアクセスや添付ファイルの開封を避けるよう呼びかけている。
採用SaaSは機微情報の集積地になっている
この事案が示すのは、採用管理システムが持つデータの重みである。
採用のプロセスは、応募者の連絡先から始まり、内定後の雇用契約手続きでマイナンバーや年金番号、給与振込先の口座情報にまで到達する。つまり採用管理SaaSは、自社の従業員だけでなく、選考の過程で接点を持っただけの応募者も含めた広い範囲の個人情報を、しかも本人確認や金銭に直結する項目まで抱え込むシステムだということになる。人事部門の効率化ツールという位置づけで導入されがちだが、格納されるデータの機微性は基幹システムに引けを取らない。
そしてSaaSである以上、被害は1社にとどまらない。今回の対象は「顧客企業および応募者」であり、ApplyNowを利用していた企業それぞれが、自社の応募者に対する説明責任を負うことになる。委託先の一件が自社の個人情報保護の問題として跳ね返ってくる、典型的なサプライチェーンの構図である。
自社が利用しているSaaSについて、どのような個人情報を預けているのか、インシデント発生時に事業者からどのような通知が来る取り決めになっているのかを、平時のうちに棚卸ししておく価値は大きい。あわせて、今回のように「侵入から検知まで約1か月」という時間が生じうる以上、侵入を完全に防ぐ前提ではなく、侵入された後にどれだけ早く気づけるかという観点での備えが問われている。
同じ手口に、自社は備えられていますか？