# きちりホールディングス（3082） 当社子会社における個人情報漏えいに関する調査結果および再発防止策のお知らせ（最終報）

Source: Komori (komori.app) — https://komori.app/company/3082/disclosure/20261104563860
種別: 発生事実
開示日: 2026-11-04
Komoriの読み（0-100）: 54
企業ページ: https://komori.app/company/3082

## 何が変わったか

ApplyNowへの第三者の不正アクセスについて、侵入経路、漏えいした情報の範囲、対象者数、原因が確定した。併せて、実施済みおよび今後実施する再発防止策が示された。

## 会社が挙げた理由

提供元が公表していた脆弱性情報を把握しておらず修正版の適用が遅れたこと、接続元の制限を行っていなかったこと、不正な操作の検知・通知から発見までに時間を要したこと、データ分析ツールから個人情報を含むデータを参照できる構成で、保管期間の定めや利用終了企業・団体のデータ削除も行われていなかったこと。

## 開示の要点

- 事象の名称: 不正アクセスによる個人情報漏えいに関する調査結果および再発防止策のご報告（最終報）
- 発生日: 2026年8月9日（第三者が侵入し管理者権限を取得）。データベースの一部閲覧は8月23日・26日、一括取得は9月7日。
- 認知日・通知受領日: 2026年9月7日（ツールの停止を契機に異常を検知）
- 対象となる主体: 株式会社 ApplyNow（株式会社きちりホールディングスの子会社）
- 対象拠点・対象製品: 採用管理プラットフォームの『Interview Cloud』『ApplyNow』『ApplyNow Sign』および接続されたデータベース
- 原因: 1. 提供元が公表していた脆弱性情報を把握しておらず、修正版の適用が遅れたこと。2. 接続元の制限を行っていなかったこと。3. 不正な操作を検知・通知する仕組みはあったが、発見までに時間を要したこと。4. 分析ツールから個人情報を含むデータを参照できる構成となっていたこと、データの保管期間を定めておらず、利用を終了された企業・団体に係るデータの削除が行われていなかったこと。
- 業績への影響額: not_disclosed
- 計上する会計期間: not_disclosed
- 業績予想への影響: not_disclosed
- 訴訟・手続きの種類: 所轄警察署への相談、個人情報保護委員会への速報・確報提出
- 裁判所・当局: 個人情報保護委員会、所轄警察署（名称は記載なし）
- 原告: not_disclosed
- 被告: not_disclosed
- 提訴日・処分日: 2026年9月10日（所轄警察署への相談）、2026年9月11日（個人情報保護委員会への速報提出）、2026年11月4日（確報提出）
- 請求額・課徴金額: not_disclosed
- 回収不能または回収遅延のおそれが生じた債権の額: not_disclosed
- 停止した業務: not_disclosed
- 再開予定日: not_disclosed
- 調査体制: 外部専門機関によるフォレンジック調査（2026年9月18日開始、10月23日完了）。機関名・委員長名・委員会設置の記載はなし。
- 再発防止策: 【実施済み】不正アクセスの侵入経路の遮断／不正に作成されたアカウント、APIキーおよび不正に使用された管理者アカウントの無効化／データ分析ツールの脆弱性修正版への更新／データベースの接続情報の更新／データ分析ツールへのアクセスを、許可したIPアドレスからの接続に限定／全ユーザーの管理画面パスワードの強制リセット／脆弱性情報の定期的な確認と、期限を定めた修正の適用。【今後実施予定】ご利用を終了された企業・団体に係るデータの削除（実施中）／不審な操作を検知し担当者へ自動通知する仕組みの導入／データベースの暗号化対象項目の拡大／データ分析ツールが参照するデータを、個人情報を含まない形に加工した専用のデータに切り替え／個人情報・特定個人情報の保管期間の策定と、期間経過後の自動削除の仕組み化／外部機関による脆弱性診断の定期実施（年1回）
- 役員の責任: not_disclosed
- 異動前の議決権所有割合: not_disclosed
- 異動後の議決権所有割合: not_disclosed
- 今後の見通し: ApplyNowが再発防止策を実施し、株式会社きちりホールディングスがその実施状況を確認する。グループ企業に対して、セキュリティ向上と個人情報を含むデータ管理の徹底を引き続き促す。
- 続報の予定: 本公表をもって最終報とする。ただし、今後新たに公表すべき事実が判明した場合は、速やかに知らせる。

## 評価の根拠

- 会社自身が述べる影響の程度はどの水準か。: 記載なし（原文: 「「応募者・契約者・企業ユーザー 396,920人」および「本件を原因とする不正利用などの二次被害は確認されておりません」と記載されている。」）
- この事象は損失をもたらすものか、利益をもたらすものか。: 大きく下振れ（原文: 「「2026年8月9日に侵入し、管理者権限を取得」「9月7日に一括で取得」「応募者・契約者・企業ユーザー 396,920人」と記載されている。」）
- 業績予想との関係について、この書類は何と書いているか。: 予想に触れず（原文: 「本文は「本件の原因、漏えいした情報の範囲、これまでの対応および再発防止策が確定いたしました」としているが、業績予想に関する記載はない。」）
- 示された影響額は、会社の利益・売上の規模に対してどの程度か。: 相対規模は不明（原文: 「人数として「396,920人」「30,067人」は示されているが、金額の記載はない。」）
- 影響が及ぶ範囲はどこまでか。: 単一セグメント（原文: 「「当社子会社である株式会社 ApplyNow」および対象サービスとして「Interview Cloud」「ApplyNow」「ApplyNow Sign」と記載されている。」）
- 出荷・生産・販売の停止、拠点の閉鎖、サービスの停止が生じたと書かれているか。: なし（原文: 「「9月7日、ツールの停止を契機に当社が異常を検知」と記載されている。」）
- 影響額の開示状況はどれか。: 金額の記載なし（原文: 「「応募者・契約者・企業ユーザー 396,920人」「上記『ApplyNow Sign』で雇用契約を締結された方 30,067人」と人数のみ記載されている。」）
- 影響がどの会計期間に計上されるかが明示されているか。: なし（原文: 「「2026年8月9日」「2026年9月18日開始、10月23日完了」「2026年11月4日」といった事象の日付は記載されているが、会計期間の記載はない。」）
- 事象の発生日または会社が認知した日が、特定の日付で示されているか。: あり（原文: 「「2026年8月9日に侵入」「8月23日・26日に一部が閲覧され、9月7日に一括で取得」「9月7日、ツールの停止を契機に当社が異常を検知」と記載されている。」）
- 相手方・対象拠点・対象製品・対象契約が固有名で特定されているか。: あり（原文: 「「株式会社 ApplyNow」および「Interview Cloud」「ApplyNow」「ApplyNow Sign」と記載されている。」）
- 主要な事実に数値と時期がついているか。: 数値と時期あり（原文: 「「396,920人」「30,067人」「2026年8月9日」「2026年9月7日」「10月23日完了」と記載されている。」）
- 肝心の数値を、別紙・同日開示の他資料・決算短信に委ねているか。: なし（原文: 「本書類に「応募者・契約者・企業ユーザー 396,920人」「30,067人」と記載されている。」）
- 事象はどこまで収束しているか。: 対応中（原文: 「「外部専門機関によるフォレンジック調査が完了」「【今後実施予定】ご利用を終了された企業・団体に係るデータの削除（実施中）」と記載されている。」）
- この書類は、この事象についての何度目の開示か。: 決着の報告（原文: 「「9月9日にお知らせし、10月9日に情報を更新」「本件については本公表をもって最終報といたします」と記載されている。」）
- 続報の予定はどう書かれているか。: 続報を約束（原文: 「「本公表をもって最終報といたします。今後、新たに公表すべき事実が判明した場合は、速やかにお知らせいたします」と記載されている。」）
- 第三者委員会・特別調査委員会・外部専門家の関与が示されているか。: あり（原文: 「「外部専門機関によるフォレンジック調査（2026年9月18日開始、10月23日完了）」と記載されている。」）
- 影響についての記述はどれだけ断定的か。: 概ね断定的（原文: 「「本件の原因、漏えいした情報の範囲…が確定いたしました」とする一方、「現時点で当社が把握している範囲では」と記載されている。」）
- 事象の原因はどこにあるか。: 内部管理（原文: 「「本件は当社の管理下にあるツールで発生したものであり」とし、4項目の原因を列挙している。」）
- 事象はどの主体で起きたか。: 連結子会社（原文: 「「当社子会社である株式会社 ApplyNow」「株式会社きちりホールディングスの子会社」と記載されている。」）
- 自社の開示手続きについて、この書類は何を認めているか。: 開示上の問題なし（原文: 「「9月9日にお知らせし、10月9日に情報を更新してまいりました」と記載されている。」）
- 再発防止についてどこまで書かれているか。: 具体的な再発防止策（原文: 「「6. 再発防止策」に実施済み7項目と今後実施予定6項目が列挙されている。」）
- 株主・顧客・関係者への謝罪の文言があるか。: あり（原文: 「「多大なるご迷惑とご心配をおかけしておりますことを、改めて深くお詫び申し上げます」と記載されている。」）