はじめに
2026年11月4日、採用関連サービスを提供するApplyNow（東京都港区）は、9月に公表していた不正アクセスについて調査の最終報を発表しました。面接・録画選考・電子雇用契約の3つのサービスで、応募者や契約者など39万6920人分の個人情報が漏えいしたとしています。一部にはマイナンバーや金融機関の口座情報も含まれていました。
この事案で発注側が注目したいのは、原因として挙げられた2つの点です。1つは「ツール提供元が公表していた脆弱性に気づかず、修正が遅れた」こと。もう1つは「利用を終えた企業のデータが削除されずに残っていた」ことです。報道によると、2024年6月に契約を終えていた企業の応募者情報も対象になりました。
採用や労務のSaaSは、人事部門が主体となって導入することが多く、情シスの目が届きにくい領域です。今回は、契約中だけでなく「契約が終わった後」まで含めて、発注側が委託先をどう管理すればよいかを、コンサルタントの視点で考えます。
何が起きたのか
ApplyNowの最終報（2026年11月4日）と報道をもとに整理すると、概要は次のとおりです。
- 侵入：2026年8月9日、第三者が同社の使っていたデータ分析ツールの脆弱性を悪用して侵入し、管理者権限を取得した
- 閲覧と取得：8月23日・26日にデータベースの一部が閲覧され、9月7日にデータベースが一括で取得された
- 検知：9月7日、ツールの停止をきっかけに異常に気づき、不正なアカウントの無効化や侵入経路の遮断を行った
- 公表と調査：9月9日に公表し、9月11日に個人情報保護委員会へ速報を提出。外部機関のフォレンジック調査は10月23日に完了し、11月4日に確報を提出した
- 件数：応募者・契約者・企業ユーザーの合計39万6920人。うち3万67人は電子雇用契約サービス「ApplyNow Sign」で契約を結んだ人
- 項目：氏名、電話番号、メールアドレスなど。ApplyNow Signの一部では、マイナンバー、口座情報、基礎年金番号、在留カード番号、雇用保険被保険者番号なども含まれる
- 対象外：クレジットカード情報、本人確認書類の画像、面接動画
- 二次被害：11月4日時点で、不正利用などの二次被害は確認されていない
同社は原因として、脆弱性情報を把握していなかったこと、接続元を制限していなかったこと、分析ツールから個人情報を参照できる構成だったこと、データの保管期間を決めておらず利用終了企業のデータが残っていたことを挙げています。
利用企業の側でも発表が出ています。ScanNetSecurityの報道によると、吉野家ホールディングスは9月30日、2022年4月から2024年6月まで吉野家・はなまるのアルバイト採用業務の一部をApplyNowに委託しており、その期間の応募者の情報（吉野家4998件、はなまる368件）が対象になったと発表しました。契約が終わって2年以上たっても、データは委託先に残っていたことになります。
なぜ委託先には「古いデータ」と「古いソフト」が残るのか
今回の原因は、どちらも特別なものではありません。多くの組織で、同じことが起こり得ます。
1つ目は、「本体以外のツール」が管理から漏れることです。 侵入口になったのは、採用サービスそのものではなく、社内で使っていたデータ分析ツールでした。サービス本体は脆弱性の確認やアップデートの手順が決まっていても、分析・監視・運用のために後から入れたツールは、担当者任せになりがちです。
2つ目は、「消す」作業に予算も担当者もつかないことです。 新しい機能を作る仕事には予算がつきますが、契約が終わった顧客のデータを消す仕事は、売上を生みません。保管期間のルールがなければ、データは消されないまま積み上がっていきます。
3つ目は、発注側が「契約の終わり方」を決めていないことです。 SaaSの契約では、導入時の機能や価格はよく比べられます。しかし、解約したときにデータをいつ・どう消すのか、消したことをどう確認するのかまで決めている企業は多くありません。解約の手続きが「支払いを止めること」だけで終わってしまうのです。
コンサルタントならこう考える：委託先管理を「契約の終わり」まで伸ばす4つの仕組み
ニュースでは、委託先側の再発防止策（修正版の適用やアクセス制限）が中心に語られます。発注側として考えたいのは、自社のデータを預けた先が、契約中も契約後も約束どおりに扱っているかを確かめられる仕組みです。
1. 人事・労務SaaSを「重要な委託先」として台帳に載せる
まず、採用・勤怠・給与・電子契約など、人事部門が使っているSaaSを洗い出します。情シスが把握していないサービスが見つかることも珍しくありません。
台帳には、サービス名と担当部門に加えて、「どの項目を預けているか」「マイナンバーを扱うか」「契約終了日」を書き込みます。マイナンバーを扱う業務を外部に委託する場合、委託元には委託先を監督する義務があります（番号法）。預けている項目の重さに応じて、確認の頻度や深さを変えるのが現実的です。
2. 契約書に「終了時のデータ削除」と「削除の証明」を入れる
契約や利用規約で、次の3点を確認します。
- 契約終了後、何日以内にデータ（バックアップを含む）を削除するか
- 削除したことを、書面（削除証明書）などで報告してもらえるか
- 再委託先や、委託先が使う分析・運用ツールにコピーされたデータも対象になるか
SaaSの標準規約は変えられないこともあります。その場合でも、選定の段階で規約の該当箇所を確認し、足りない部分を「解約時の手順書」として社内に残しておくだけで違います。契約交渉で見るべき点は、NDAの記事で整理した「返還・破棄」の考え方がそのまま使えます。
3. 解約手続きに「データ削除の確認」を組み込む
契約書に書いてあっても、確認しなければ守られているかは分かりません。そこで、社内の解約手続き（稟議や契約管理のフロー）に、次のステップを加えます。
1. 解約前に、必要なデータを自社に引き取る（エクスポートする）
2. 委託先に削除を依頼し、削除の完了報告または削除証明書を受け取る
3. 受け取った証明を契約書と一緒に保管し、台帳の状態を「削除済み」に更新する
「支払いを止めたら終わり」ではなく「削除を確認したら終わり」に定義を変えることがポイントです。今回のように、契約終了から何年もたってから「実はデータが残っていた」と知らされる事態を減らせます。
4. 選定時のチェックで「本体以外のツール」まで聞く
委託先のセキュリティを確認するとき、質問票はサービス本体についての項目が中心になりがちです。そこに次の質問を加えます。
- 分析・監視・運用のために、個人データを参照できるツールはあるか。あるなら、個人情報を含まない形に加工したデータを使っているか
- そうしたツールも含めて、脆弱性情報をどう確認し、何日以内に修正を適用するルールか
- 管理画面や分析ツールへの接続元を制限しているか
答えをそのまま信じる必要はありません。質問したこと自体が、委託先に「そこも見られている」と伝える効果を持ちます。 年1回の見直しの場で、同じ質問を繰り返すことも大切です。
明日からできる3つのこと
1. 人事部門が使っている採用・労務系のSaaSを一覧にし、マイナンバーや口座情報を預けているものに印をつける
2. 過去に解約したSaaSについて、データ削除の報告や証明を受け取っているかを確かめる
3. 次にSaaSを選ぶときの質問票に、「契約終了時のデータ削除」と「本体以外のツールの管理」を加える
まとめ
ApplyNowの事案では、公表済みの脆弱性の修正が遅れていた分析ツールから侵入され、約40万人分の個人情報が漏えいしました。その中には、契約を終えた企業の応募者のデータも含まれていました。委託先の対策を求めるだけでなく、発注側が「何を預けたか」を把握し、「契約が終わったら消す」ことを契約と社内手続きの両方で確かめる。委託先管理を契約の終わりまで伸ばすことが、自社と応募者を守ることにつながります。
参考
- 株式会社ApplyNow「不正アクセスによる個人情報漏えいに関する調査結果および再発防止策のご報告（最終報）」（2026年11月4日）
- 株式会社ApplyNow「当社サービスをご利用いただいているお客様への重要なお知らせとお詫び」（2026年9月9日）
- ITmedia NEWS「公表済みの脆弱性に気づかず39万6920人分漏えい 採用サービスApplyNow 一部マイナンバーや口座情報も」（2026年11月5日）
- ScanNetSecurity「吉野家がアルバイト採用業務を一部委託していた ApplyNow の採用管理プラットフォームに不正アクセス、契約終了後もデータ消去されず」（2026年10月20日）
- ScanNetSecurity「ApplyNow 提供の採用管理プラットフォームに不正アクセス、マイナンバー含む個人データが漏えいした可能性」（2026年9月25日）
執筆者プロフィール：SIer（元請け）とITコンサルファーム（発注側支援）、両方の立場でプロジェクトに従事（通算9年）。要件定義からベンダーマネジメントまで一貫して対応し、基幹システム刷新・DX推進プロジェクトに多数従事。
コメント