不正アクセスによる個人情報漏えいに関する調査結果および再発防止策のご報告（最終報）
株式会社 ApplyNow（株式会社きちりホールディングスの子会社）
採用管理プラットフォームの『Interview Cloud』『ApplyNow』『ApplyNow Sign』および接続されたデータベース
（第三者が侵入し管理者権限を取得）。データベースの一部閲覧は8月23日・26日、一括取得は9月7日。
29日後（ツールの停止を契機に異常を検知）
（所轄警察署への相談）、2026年9月11日（個人情報保護委員会への速報提出）、2026年11月4日（確報提出）
会社が最初の日付としている日から、この開示までに87日かかっています。
1. 提供元が公表していた脆弱性情報を把握しておらず、修正版の適用が遅れたこと。2. 接続元の制限を行っていなかったこと。3. 不正な操作を検知・通知する仕組みはあったが、発見までに時間を要したこと。4. 分析ツールから個人情報を含むデータを参照できる構成となっていたこと、データの保管期間を定めておらず、利用を終了された企業・団体に係るデータの削除が行われていなかったこと。
関係する手続き
所轄警察署への相談、個人情報保護委員会への速報・確報提出
個人情報保護委員会、所轄警察署（名称は記載なし）
会社の対応
外部専門機関によるフォレンジック調査（2026年9月18日開始、10月23日完了）。機関名・委員長名・委員会設置の記載はなし。
【実施済み】不正アクセスの侵入経路の遮断／不正に作成されたアカウント、APIキーおよび不正に使用された管理者アカウントの無効化／データ分析ツールの脆弱性修正版への更新／データベースの接続情報の更新／データ分析ツールへのアクセスを、許可したIPアドレスからの接続に限定／全ユーザーの管理画面パスワードの強制リセット／脆弱性情報の定期的な確認と、期限を定めた修正の適用。【今後実施予定】ご利用を終了された企業・団体に係るデータの削除（実施中）／不審な操作を検知し担当者へ自動通知する仕組みの導入／データベースの暗号化対象項目の拡大／データ分析ツールが参照するデータを、個人情報を含まない形に加工した専用のデータに切り替え／個人情報・特定個人情報の保管期間の策定と、期間経過後の自動削除の仕組み化／外部機関による脆弱性診断の定期実施（年1回）
ApplyNowが再発防止策を実施し、株式会社きちりホールディングスがその実施状況を確認する。グループ企業に対して、セキュリティ向上と個人情報を含むデータ管理の徹底を引き続き促す。
本公表をもって最終報とする。ただし、今後新たに公表すべき事実が判明した場合は、速やかに知らせる。
| 項目 | 内容 |
|---|---|
| 事象の名称 | 不正アクセスによる個人情報漏えいに関する調査結果および再発防止策のご報告（最終報） |
| 発生日 | 2026年8月9日（第三者が侵入し管理者権限を取得）。データベースの一部閲覧は8月23日・26日、一括取得は9月7日。 |
| 認知日・通知受領日 | 2026年9月7日（ツールの停止を契機に異常を検知） |
| 対象となる主体 | 株式会社 ApplyNow（株式会社きちりホールディングスの子会社） |
| 対象拠点・対象製品 | 採用管理プラットフォームの『Interview Cloud』『ApplyNow』『ApplyNow Sign』および接続されたデータベース |
| 原因 | 1. 提供元が公表していた脆弱性情報を把握しておらず、修正版の適用が遅れたこと。2. 接続元の制限を行っていなかったこと。3. 不正な操作を検知・通知する仕組みはあったが、発見までに時間を要したこと。4. 分析ツールから個人情報を含むデータを参照できる構成となっていたこと、データの保管期間を定めておらず、利用を終了された企業・団体に係るデータの削除が行われていなかったこと。 |
| 訴訟・手続きの種類 | 所轄警察署への相談、個人情報保護委員会への速報・確報提出 |
| 裁判所・当局 | 個人情報保護委員会、所轄警察署（名称は記載なし） |
| 提訴日・処分日 | 2026年9月10日（所轄警察署への相談）、2026年9月11日（個人情報保護委員会への速報提出）、2026年11月4日（確報提出） |
| 調査体制 | 外部専門機関によるフォレンジック調査（2026年9月18日開始、10月23日完了）。機関名・委員長名・委員会設置の記載はなし。 |
| 再発防止策 | 【実施済み】不正アクセスの侵入経路の遮断／不正に作成されたアカウント、APIキーおよび不正に使用された管理者アカウントの無効化／データ分析ツールの脆弱性修正版への更新／データベースの接続情報の更新／データ分析ツールへのアクセスを、許可したIPアドレスからの接続に限定／全ユーザーの管理画面パスワードの強制リセット／脆弱性情報の定期的な確認と、期限を定めた修正の適用。【今後実施予定】ご利用を終了された企業・団体に係るデータの削除（実施中）／不審な操作を検知し担当者へ自動通知する仕組みの導入／データベースの暗号化対象項目の拡大／データ分析ツールが参照するデータを、個人情報を含まない形に加工した専用のデータに切り替え／個人情報・特定個人情報の保管期間の策定と、期間経過後の自動削除の仕組み化／外部機関による脆弱性診断の定期実施（年1回） |
| 今後の見通し | ApplyNowが再発防止策を実施し、株式会社きちりホールディングスがその実施状況を確認する。グループ企業に対して、セキュリティ向上と個人情報を含むデータ管理の徹底を引き続き促す。 |
| 続報の予定 | 本公表をもって最終報とする。ただし、今後新たに公表すべき事実が判明した場合は、速やかに知らせる。 |
この書類が述べていない項目（12件）
会社がこの書類で述べていない項目です。空欄にしたり、他の資料や推測で補ったりはしません。
会社が挙げている理由
会社自身の説明です。数値から推測したものではありません。提供元が公表していた脆弱性情報を把握しておらず修正版の適用が遅れたこと、接続元の制限を行っていなかったこと、不正な操作の検知・通知から発見までに時間を要したこと、データ分析ツールから個人情報を含むデータを参照できる構成で、保管期間の定めや利用終了企業・団体のデータ削除も行われていなかったこと。