採用管理プラットフォームApplyNowへの不正アクセス（データ分析ツールの脆弱性悪用・対象データ約39万人、公表された確認分の合計は延べ1万1,631件、マイナンバー等を含む可能性）
公表日
採用管理サービス「ApplyNow」が不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受け、ApplyNowは10月9日に個人データの漏えいを確認したと説明しました。対象データ件数は約39万人で、外部機関の調査で確定する予定です。
対象者は？
ApplyNowの3サービス（Interview Cloud、ApplyNow、ApplyNow Sign）を採用や契約手続きで使った企業・自治体の、応募者と採用担当者です。対象データ件数は約39万人（うちApplyNow Signの利用者が約3万人）で、確定は外部機関の調査結果を待ちます。漏えいが確認された項目には、氏名、メール、電話番号などがあり、一部の方は生年月日、性別、住所、職業も含みます。ApplyNow Signでは、マイナンバーや口座情報などが「漏えいした可能性のある情報」の項目に入っていて、漏えいが確認されたこととは区別されています。面接動画や書類などのファイル実体、雇用契約の内容、緊急連絡先、通勤経路は対象外とされています。
応募先だった企業・自治体からの通知や、各組織の公表を確認してください。ApplyNowは、マイナンバーや口座情報が含まれる対象者には、個別の注意喚起とサポート案内を順次行うとしています。
いますぐできること
- 応募先だった企業・自治体からの通知を確認してください。ApplyNowを使う企業や自治体に応募した覚えがある場合は、各組織の公表も見ておきましょう。
- ApplyNowや応募先を名乗る不審なメール、SMS、電話には注意してください。
- 採用担当者としてアカウントを使っていた場合は、ApplyNowからの案内に従ってください。同じパスワードを他のサービスで使っている場合は、そちらも変えてください。
何が起きたのか
ApplyNowは、採用の応募管理、面接動画、契約手続きのサービスを企業や自治体に提供しています。8月9日から9月7日にかけて、サービスで使っていたデータ分析ツールの弱点を突かれ、第三者がデータベースの一部に不正にアクセスしました。ApplyNowは9月7日に異常な記録に気づき、同日中にアクセスを止めました。9月9日に「情報が漏れた可能性がある」と公表し、親会社のきちりホールディングスも同日に開示しました。その後、吉野家・はなまる、ナカバヤシ、鳥貴族、複数の自治体などが、自分たちの応募者や担当者の情報について公表しました。10月9日の更新で、ApplyNowは漏えいの事実が確認されたと説明し、対象データ件数を約39万人としました。10月10日までに、関連を明示した影響先は17件（企業・ブランド7件、自治体10件）です。このうち漏えいが確認され件数も示された7つの公表の合計は延べ1万1,631件で、重複のない人数ではなく、約39万人の内訳でもありません。
なぜ起きたのか・なぜ広がったのか
入り口は「データ分析ツールの脆弱性」とされていますが、ツールの製品名や脆弱性の番号（CVE）、攻撃者や目的は公表されていません。ApplyNowは多くの企業・自治体のデータを一つの基盤で扱っているため、複数の組織が同時に対象に含まれました。また、吉野家・はなまるは契約が終わった後も応募者情報が残っていたと公表しています。9月28日には、ApplyNowで情報の保存期間が定められていなかったためと分かりました。ただし、残っていたデータの全体の範囲は、まだ明らかになっていません。
いまの状況2026-10-10 時点続報待ち
ApplyNowは、問題のツールへのアクセスを完全に止め、修正パッチを適用したとしています。9月16日には新しいサーバー環境への移行を完了し、10月9日には不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。に使われたアカウントの無効化とデータベース接続情報の更新も実施しました。外部の専門機関が調査中で、その結果は10月末頃に公表される予定です。個人情報保護委員会には速報を提出済みで、確報は10月下旬の予定です。契約が終わった企業・団体の応募者情報は、調査完了後に協議のうえ削除し、完了後に報告するとしています。個人情報の悪用などの二次被害は、9月9日時点（吉野家は9月30日時点）で確認されていません。約39万人という件数は、外部機関の調査結果をもって確定します。補償の内容については、まだ発表されていません。
企業として考えたいこと
自社が採用や契約などで外部サービスに預けているデータについて、契約が終わった後にいつまでに削除されるのか、そして実際に削除されたと確認できる記録があるでしょうか。
技術的な要約
株式会社ApplyNowは2026年9月9日、採用管理プラットフォーム3サービス（Interview Cloud、ApplyNow、ApplyNow Sign）で、利用していたデータ分析ツールの脆弱性を悪用した第三者の不正アクセスがあったと公表した。不正アクセスの確認期間は8月9日〜9月7日で、9月7日に異常なアクセスログを検知し、同日中に遮断措置を実施した。同日、当該ツールのデータベースから一部のデータが不正に出力されたことも確認されている。10月9日の更新でApplyNowは個人データの漏えいの事実が確認されたと説明し、対象データ件数は約39万人（うちApplyNow Signの利用者が約3万人）で、外部機関の調査結果をもって確定するとしている。ApplyNow Signでは個人番号や金融機関口座情報などが「漏えいした可能性のある個人データ」の項目に含まれる。10月10日時点で、関連を明示した影響先は企業・ブランド7件、自治体10件の計17件で、漏えいが確認され件数も明示された7公表単位の単純合計は延べ1万1,631件・アカウントである（重複のない人数でも約39万人の内訳でもない）。ツールの製品名・CVE・攻撃者は公表されておらず、契約終了後もデータが残存していた事例が複数報告されている。個人情報保護委員会の確報は10月下旬、外部専門機関の調査結果は10月末頃に出る予定である。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 公開サーバの脆弱性公表で確認ApplyNowは「データ分析ツールの脆弱性を悪用した第三者の不正アクセス」と公表。2026年9月7日に当該ツールのデータベースから一部のデータが不正に出力されたことが確認され、10月9日の更新では「不正アクセスに使用されたアカウント等の無効化」とデータベース接続情報の更新を新たに実施したと説明している。ツールの製品名・提供元、CVE番号、脆弱性が公開済みだったか、修正版バージョン、認証の要否は公表されておらず、特定製品の既知脆弱性やゼロデイとは結び付けられない。カテゴリは公表表現からの暫定的な対応づけ。
- 脆弱性
- CVE 非公表公表で確認データ分析ツール（製品名非公表）製品名・CVE番号は公表されていない。ApplyNowは該当ツールへのアクセスを完全に遮断し、修正版セキュリティパッチを適用済みと説明している。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし サービス停止の有無や期間は参照した出典に記載がない。ApplyNowはデータ分析ツールの遮断、修正パッチ適用、新サーバー環境への移行を実施した。9月11日に企業ユーザーの管理画面パスワードを強制リセットし、10月9日の更新では不正アクセスに使用されたアカウント等の無効化とデータベース接続情報の更新を新たに実施した。
- データ
- 確定上限 390,000確定 11,631アカウント氏名メール電話生年月日性別マイナンバー口座その他住所ApplyNowは10月9日の更新で個人データの漏えいの事実が確認されたと説明し、対象データ件数は約39万人（うちApplyNow Signの利用者が約3万人）とした。この件数は外部機関で調査中で、調査結果をもって確定するとしている。一方、records_confirmedの1万1,631件・アカウントは、漏えいが確認され件数も明示された7公表単位の単純合計で、重複のない人数でもApplyNow全体の総数でもなく、約39万人の内訳でもない。内訳の例：吉野家・はなまる計5,784アカウント（応募者5,366件＋採用担当者418件）、所沢市1,701件、ナカバヤシ1,826件、入間市1,276件、富士市815件、魚沼市116件、島田市113件。漏えいの可能性の段階にとどまるみよし市1,035件、明日香村399件、橿原市313件、一宮市約600件は合計に含まれない。大阪市の106名は公表文に事業者名がなくApplyNowの被害数に含まれない。Interview CloudとApplyNowの漏えいデータ項目には、一部の方について生年月日、性別、住所、職業が含まれる。ApplyNow Signのマイナンバー・口座情報・基礎年金番号・在留カード番号・雇用保険被保険者番号・扶養家族情報は「漏えいした可能性のある個人データ」の項目で、漏えい確認とは区別される。採用担当者のパスワードは「暗号化されたパスワード」「パスワードに関する情報」と表現され、平文漏えいとは断定できない。面接動画・画像・PDF等のファイル実体は別保管領域で対象外。雇用契約の内容、緊急連絡先、通勤経路は漏えい対象外（9月24日更新）。吉野家・はなまるの対象は2022年4月11日〜2024年6月30日に応募した人の情報で、契約終了後も残っていた。二次被害は9月9日時点で確認されていない。
- 波及先
- 17 件（企業・ブランド7件、自治体10件）
- 吉野家ホールディングス・吉野家・はなまる
- ナカバヤシ
- エターナルホスピタリティジャパン（鳥貴族）
- 所沢市
- 入間市
- 富士市
- 島田市
- 魚沼市
- みよし市
- 一宮市
- 金銭影響
- —
- サプライチェーン
- ApplyNowの採用管理プラットフォームを利用していた企業・自治体の応募者・担当者情報が影響を受けた。吉野家・はなまる、ナカバヤシ、鳥貴族、所沢市、入間市、富士市などが公表。ApplyNowは9月14日と16日にご利用企業・自治体へ本件を通知した。大阪市は公表資料にApplyNow名はないが、期間・原因が一致する。契約終了後も応募者情報が残っていたのは、ApplyNowで情報の保存期間が定められていなかったためと9月28日に判明した。親会社はきちりホールディングス。
時系列
- 2026-08-09
- 2026-09-07
- 2026-09-09
- 2026-09-09 19:30親会社のきちりホールディングスが適時開示。2
- 2026-09-11大阪市がシステム提供事業者から報告を受け、対象106名へ個別通知。3
- 2026-09-15大阪市が録画面接システムへの不正アクセスと申込者106名の情報漏えいの可能性を公表。3
- 2026-09-16ApplyNowが対象者向け案内で、新サーバー環境への移行とセキュリティ強化の完了を説明。1
- 2026-09-17入間市が1,276件の漏えいを確認・公表。1
- 2026-09-19所沢市が2022〜2025年度の採用試験に関する1,701件の漏えいを公表。1
- 2026-09-24ApplyNowの更新で、雇用契約の内容、緊急連絡先、通勤経路は漏えい対象外と説明。1
- 2026-09-30
- 2026-10-01エターナルホスピタリティジャパンが、鳥貴族のアルバイト採用で利用したInterview Cloudでの一部応募者情報の漏えいを発表。1
- 2026-10-05ナカバヤシがApplyNowから連絡を受ける。1
- 2026-10-06ナカバヤシが2020〜2023年の新卒採用応募者情報1,826件の漏えいを公表。1
- 2026-10-07富士市が815件、島田市が113件の漏えいを公表。1
- 2026-10-09魚沼市が応募者86件と市担当者30件、計116件の漏えいを公表。1
- 2026-10-10関連を明示した影響先が計17件（企業・ブランド7件、自治体10件）に。確認分の単純合計は延べ1万1,631件・アカウント。1
- 2026-09-11ApplyNowが企業ユーザーの管理画面パスワードを強制リセット。8
- 2026-09-11入間市がApplyNowから、システムが第三者から不正アクセスを受け受験者の個人情報が外部へ漏えいした可能性があるとの報告を受ける。10
- 2026-09-11富士市が職員採用試験（プレゼンテーション動画試験）の申込者について、漏えいの可能性約800件と公表。9
- 2026-09-11福山市が受験者148人で流出の可能性と発表（報道）。9
- 2026-09-14ApplyNowがご利用企業・自治体へ本件を通知（9月14日と16日）。8
- 2026-09-16入間市がApplyNowから、調査の結果、受験者の個人情報が外部へ漏えいしたことを確認した旨の報告を受ける。10
- 2026-09-16ApplyNowから吉野家側へ、影響範囲に同社の応募者・従業員情報が含まれる旨の連絡。12
- 2026-09-18ApplyNowが外部専門機関による調査を開始。8
- 2026-09-18福山市が申込者155人と市職員13人の漏えいを発表（報道）。9
- 2026-09-19ApplyNowが対象の応募者への通知を開始。8
- 2026-09-21吉野家側が個人情報保護委員会へ報告。12
- 2026-09-24ダイナックが、採用面接業務の一部をApplyNowに委託していた社員パートナー（アルバイト）の応募者の個人情報漏えいが判明したと公表。件数の記載はない。9
- 2026-09-24大阪市が事業者から調査結果の報告を受け、106名の漏えいが確定。9
- 2026-09-25井筒まい泉（とんかつ まい泉）が、アルバイトの採用面接業務を委託していたApplyNowへの不正アクセスにより応募者の個人情報が漏えいしたことが判明したと公表。ApplyNowからはアクセス遮断等の緊急措置完了の報告を受けている。件数の記載はない。11
- 2026-09-28吉野家側が、契約終了に伴う情報消去についてApplyNowの実際の運用が認識と異なっていたことを確認。契約終了後も応募者情報が残っていたのは、ApplyNowで情報の保存期間が定められていなかったためと判明。12
- 2026-09-30みよし市がApplyNowからの電話で漏えいの可能性を把握。9
- 2026-10-01大阪市が106名の漏えい確定を公表。9
- 2026-10-02ワンダーテーブルが、アルバイト採用の面接・契約締結等の業務を委託していた分について個人情報の一部が外部に流出したことが判明したと公表。件数の記載はない。9
- 2026-10-02みよし市が1,035件の漏えいの可能性を公表。9
- 2026-10-09ApplyNowが更新を公表。個人データの漏えいの事実が確認されたと説明し、対象データ件数は約39万人（うちApplyNow Signの利用者が約3万人）で外部機関の調査結果をもって確定するとした。不正アクセスに使用されたアカウント等の無効化とデータベース接続情報の更新を実施。個人情報保護委員会へ速報を提出済みで確報は10月下旬、外部専門機関の調査結果は10月末頃に公表予定。8
技術解説
公表された攻撃の概要 事実
ApplyNowは2026年9月9日、Interview Cloud、ApplyNow、ApplyNow Signの3サービスで、利用していたデータ分析ツールの脆弱性を悪用した第三者の不正アクセスがあったと公表した。不正アクセスが確認された期間は8月9日〜9月7日。9月7日に異常なアクセスログを検知し、同日中に遮断などの緊急措置を実施した。同日、当該ツールのデータベースから一部のデータが不正に出力されたことも確認されている。面接動画・画像・PDFなどのファイル実体は別の保管領域にあり対象外とされた。ツールの製品名・提供元、CVE番号、修正版バージョン、認証の要否、攻撃者は公表されていない。期間内のアクセス回数や、同一の攻撃者が継続的にアクセスしたかどうかも示されていない。
件数の更新：約39万人と、確認分の延べ1万1,631件 事実
当初は個人データ漏えいの可能性とされ、対象件数は調査中だった。10月9日の更新でApplyNowは漏えいの事実が確認されたと説明し、対象データ件数を約39万人（うちApplyNow Signの利用者が約3万人）とした。この件数は外部機関で調査中で、調査結果をもって確定するとしている。一方、10月10日時点で関連を明示した影響先は企業・ブランド7件と自治体10件の計17件。漏えいが確認され件数も明示された7公表単位の単純合計は延べ1万1,631件・アカウントで、重複のない人数ではなく、約39万人の内訳でもない。内訳は吉野家・はなまる5,784アカウント、ナカバヤシ1,826件、所沢市1,701件、入間市1,276件、富士市815件、魚沼市116件、島田市113件。みよし市1,035件などは可能性の段階で合計に含まれない。大阪市の106名は公表文に事業者名がなく、含めていない。福山市は報道で、申込者155人と市職員13人の漏えいとされるが、この合計にも含まれていない。
漏えい対象の情報と「可能性」の区別 事実
Interview CloudとApplyNowで漏えいしたデータ項目には、氏名、メールアドレス、電話番号に加え、一部の方について生年月日、性別、住所、職業が含まれる。ApplyNow Signでは、マイナンバー、金融機関口座情報、基礎年金番号、在留カード番号、雇用保険被保険者番号、扶養家族情報が「漏えいした可能性のある個人データ」の項目とされ、漏えいが確認された項目とは区別されている。採用担当者のパスワードは「暗号化されたパスワード」「パスワードに関する情報」と表現され、平文漏えいとは断定できない。9月24日の更新で、雇用契約の内容、緊急連絡先、通勤経路は漏えい対象外と説明された。二次被害は、9月9日時点（吉野家は9月30日時点）で確認されていない。
契約終了後もデータが残っていた事例 事実
吉野家ホールディングス・吉野家・はなまるは、ApplyNowとの契約終了後も応募者情報が残っていたと公表した。対象は2022年4月11日〜2024年6月30日に応募した人の情報である。各社は契約終了に伴い情報が消去されると認識していたが、9月28日にApplyNowの実際の運用が異なっていたことを確認し、その原因はApplyNowで情報の保存期間が定められていなかったためと判明した。ApplyNowは10月9日の更新で、契約が終了した企業・団体の応募者情報を、外部専門機関の調査完了後に各企業・団体と協議のうえ削除し、完了後に個別に報告するとしている。残存が複数の利用組織で報告されている一方、残存の範囲や件数全体は示されていない。
一つの基盤から多数の組織へ広がった構造（解釈） 解釈
ApplyNowは多数の企業・自治体の採用データを同一の基盤で扱うため、基盤側の侵害が複数の利用組織の応募者・担当者情報へ同時に及び得る構造だったと考えられる。実際、第1報後に利用組織ごとの公表が約1か月にわたり続き、関連を明示した影響先は17件になった。利用組織が連絡を受けた時期にも差があり、入間市は9月11日、みよし市は9月30日、ナカバヤシは10月5日である。このため、約39万人という総数が示された後も、組織別の件数は出そろっていないと見られる。確認分の1万1,631件が約39万人に比べて小さい理由は公表資料からは分からないが、未公表の組織や件数が残っている可能性がある。利用組織から委託先の保管状況が見えにくい点も、契約終了後のデータ残存に気づきにくかった背景の一つかもしれない。ただし、公表資料だけでは断定できない。
公表の特徴と読む際の留意点（解釈） 解釈
ApplyNowは検知の2日後に第1報を出し、遮断、修正パッチの適用、利用企業・自治体への通知、外部専門機関の調査、個人情報保護委員会への速報提出を段階的に示した。10月9日には、漏えいの事実確認、約39万人という規模、不正アクセスに使われたアカウントの無効化とDB接続情報の更新も追加された。一方で、ツールの製品名、脆弱性の識別子、到達経路、データ残存の理由は説明されておらず、読者が侵入の技術的構造を評価する材料は限られる。また、約39万人は外部機関の調査で確定する数字で、組織別の公表も単位が揃っていない。約39万人、延べ1万1,631件、個別組織の件数は、それぞれ別の意味の数字として読む必要がある。10月下旬の確報と10月末頃の調査結果で数字が変わる可能性がある。個々の組織の対応の良否は、現時点の公開情報だけでは評価できない。
対応
- 封じ込め
- 9月7日の異常ログ検知後、同日中に遮断などの緊急措置を実施。データ分析ツールへのアクセスを完全に遮断し、修正版セキュリティパッチを適用。9月11日に企業ユーザーの管理画面パスワードを強制リセット。新サーバー環境への移行とセキュリティ強化を完了（9月16日案内）。9月18日に外部専門機関による調査を開始し、弁護士と連携した全容解明と法的対応手続きを進めている。9月19日に対象の応募者への通知を開始。10月9日の更新で、不正アクセスに使用されたアカウント等の無効化とデータベース接続情報の更新を新たに実施。契約が終了した企業・団体の応募者情報は、外部専門機関の調査完了後、各企業・団体と協議のうえ削除し、完了後に個別に報告するとしている。個人番号・口座情報が含まれる対象者には個別の注意喚起とサポート案内を順次行うとしている。
- 公表の仕方
- 2026年9月9日にApplyNowが第1報を公表し、同日親会社きちりホールディングスも適時開示。9月14日と16日にご利用企業・自治体へ通知した。対象件数は9月9日時点で調査中とされ、10月9日の更新で個人データの漏えいの事実が確認されたと説明し、対象データ件数は約39万人（うちApplyNow Signの利用者が約3万人）と示された。件数は外部機関で調査中で、調査結果をもって確定する。外部専門機関の調査結果は10月末頃に公表する予定。その間、各利用企業・自治体が個別に件数を公表した（吉野家9/30、鳥貴族10/1、ナカバヤシ10/6、富士市・島田市10/7、魚沼市10/9ほか）。ApplyNow Signの項目は「漏えいした可能性のある個人データ」で、漏えい確認とは区別されている。
- 当局対応
- 個人情報保護委員会（速報を提出済み、確報は10月下旬に提出予定）
- 所轄警察署（相談を進めていると公表）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 委託先に預けたデータは、契約終了後の削除まで確認する必要がある | 契約書に保存期間、削除期限、削除完了の証明（削除証明書・ログ）の提出義務を明記する。契約終了時に、委託先の管理画面やAPIで該当テナントのデータ件数をクエリして残存がないことを確認する手順を台帳に載せる。委託先側は、解約後N日で自動的に物理削除するバッチを設け、実行結果を顧客へ通知する。 |
| 分析・運用補助ツールも公開面と同様に脆弱性管理の対象にする | データ分析・BI・監視などの補助ツールを資産台帳に載せ、製品名・バージョン・公開状態を管理する。ベンダーのアドバイザリを購読し、重大な修正は判断期限（例：72時間以内）を決めて適用する。インターネットから到達できる経路はWAFやIP制限で絞り、管理系は認証を必須にする。 |
| 分析ツールから本番データベースへの到達範囲を最小化する | 分析ツール用のDBアカウントは参照専用にし、必要なスキーマ・列だけに権限を絞る。可能ならマスキング済みレプリカなど別環境に接続させる。分析ツールのホストから本番DBへの接続元IP・ポートを許可リストで限定する。DBの大量読み出しを検知するアラートを設定し、侵害時に接続情報を一括更新できる手順も用意する。 |
| マイナンバー・口座情報などの高機微データは通常データと分けて守る | マイナンバーや口座情報は、通常の応募者データとは別のDB・ストレージに分離し、列単位で暗号化する。暗号鍵はアプリ・DBとは別のKMSやHSMで管理し、復号できる主体を最小にする。保管期間を過ぎたデータは自動削除し、参照はすべて監査ログに残す。 |
| 多数の顧客を抱える基盤では、侵害時に影響先と件数を早く確定できる準備が要る | テナントごとに、保有データの種類・件数・保管期間を即時に集計できるインベントリを用意する。アクセスログはテナントID付きで保管し、侵害期間の影響をテナント別に切り分けられるようにする。顧客への通知テンプレートと連絡先リストを平時から整え、検知から顧客通知までの目標時間を決めて訓練する。 |
| 管理者アカウントの認証情報は、漏えいしても被害が広がらない形にしておく | パスワードはArgon2idやbcryptなど適切なハッシュで保存し、管理者・採用担当者にはMFAを必須にする。侵害の疑いがあるときに、全企業ユーザーへ強制パスワードリセットとセッション失効をかける手順をランブックに用意する。外部連携用のトークンやAPIキー、DB接続情報も同時に再発行できるようにしておく。 |
自組織などでの確認項目
- 自組織が採用・人事・契約などで預けている外部サービスについて、契約終了後のデータの削除期限と、削除を確認した記録は残っているか。
- 自組織や委託先で使っているデータ分析・BIなどの補助ツールを、製品名とバージョンまで一覧にできているか。脆弱性情報を誰が受け取り、何日以内に適用を判断しているか。
- 委託先で事故が起きた場合、自組織が何件・どの種類のデータを預けていたかを、委託先の報告を待たずに自分たちで答えられるか。
- 委託先から第1報を受けたとき、本人通知・当局報告・公表の判断を誰がどの順序で行うか。連絡経路と担当者は決まっているか。
未解明点
- 悪用されたデータ分析ツールの製品名、提供元、CVE番号、修正版バージョン、認証の要否は公表されていない。
- ツールの脆弱性から、顧客データを保存したデータベースへどの経路で到達できたのかは公表されていない。
- 約39万人（うちApplyNow Sign約3万人）は外部機関の調査で確定するとされており、最終的な人数と、延べ1万1,631件との差が何によるのかは示されていない。
- ApplyNow Signのマイナンバー・口座情報などが、実際に外部へ取得されたかどうか、対象人数は何人かは明らかになっていない。
- 契約終了後のデータがどの範囲で残っていたのか、保存期間が定められていなかった経緯と、再発防止策の詳細は示されていない。
- 外部専門機関の調査結果（10月末頃に公表予定）と個人情報保護委員会への確報（10月下旬に提出予定）の内容はまだ示されていない。
- 大阪市の106名がApplyNowの事案に含まれるかは、大阪市の公表文に事業者名がなく確認できていない。攻撃者や目的も未確定である。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2026-10-10報道本文確認済
- 2セキュリティ対策Lab（合同会社ロケットボーイズ）2026-09-11報道本文確認済
- 3セキュリティ対策Lab（合同会社ロケットボーイズ）2026-09-17報道本文確認済
- 4ScanNetSecurity2026-09-25報道本文確認済
- 5ScanNetSecurity2026-09-25報道本文確認済
- 6ちんぱんブログ2026-10-02報道本文確認済
- 7エキサイトニュース（ScanNetSecurity提供）2026-09-25報道本文確認済
- 8株式会社ApplyNow2026-10-09公式本文確認済
- 9piyolog2026-10-02報道本文確認済
- 10入間市2026-09-17公式本文確認済
- 11株式会社井筒まい泉2026-09-25公式本文確認済
- 12株式会社吉野家ホールディングス・株式会社吉野家・株式会社はなまる2026-09-30公式本文確認済
- 13ITトレンド2026-10-01報道本文確認済