TAC株式会社の税理士試験受験生情報の公開状態（最大1,315人分、約11年間）
公表日
資格の学校を運営するTAC株式会社で、2013年度税理士試験の合否結果調査に回答した最大1,315人分の氏名や受験番号などを含むファイルが、約11年間インターネット上で見られる状態になっていました。住所が含まれていたのはそのうち351人分で、公表時点では悪用などの被害は確認されていません。
対象者は？
2013年度税理士試験の合否結果調査に回答した人が対象で、最大1,315人です。含まれていたのは、氏名、TAC会員番号、受講地区・受講講師・受講科目、受験会場・受験番号・受験科目・合格科目、報告コメント、過去の合格科目、今後の受験予定科目です。住所は351人分のみ含まれていました。受験科目・合格科目などの科目名は暗号化されていました。公表された項目に、クレジットカード情報や銀行口座、パスワードは挙げられていません。
自分が対象かどうかを確認する方法は、まだ発表されていません。心配な人は、TACの個人情報お問い合わせ窓口に問い合わせることができます（電話03-5276-8767、平日10:00〜17:00、メール kojin-toiawase@tac-school.co.jp）。
いますぐできること
- 2013年度税理士試験の合否結果調査に回答した覚えがあり心配な人は、TACの個人情報お問い合わせ窓口（電話03-5276-8767、平日10:00〜17:00、またはメール kojin-toiawase@tac-school.co.jp）に問い合わせる。
- TACや受験に関する話題を持ち出す、身に覚えのない電話・手紙・メールには、すぐに応じず、公式の窓口に確認する。
何が起きたのか
2014年7月下旬、2013年度税理士試験の合否結果調査をまとめた表形式のファイル（CSV）が、インターネット上で見られる状態になりました。その状態は2025年11月中旬まで、約11年間続きました。2025年11月、調査の対象だった本人が自分の名前をインターネットで検索したところ、このファイルが検索結果に出てきたため、TACに連絡しました。TACはすぐにファイルを削除し、見られない状態にしました。そして2025年12月4日にこの件を発表し、謝罪しました。
なぜ起きたのか・なぜ広がったのか
TACは、普段の業務の流れとは違う一時的なやり方でデータを扱った際の作業ミスで、担当者と責任者のどちらも、作業や保管の状況を十分に確認していなかったと説明しています。報道では、Webサーバー上の管理が不十分だったため、ファイルが見られる状態になっていたとされています。ファイルが具体的にどこにどのように置かれていたのか、なぜ約11年間気づかれなかったのかについての詳しい説明は、まだ発表されていません。
いまの状況2025-12-04 時点
ファイルはすでに削除され、外から見られない状態になっています。TACは、公表時点で問い合わせや苦情を含め、情報が悪用された被害は確認されていないとしています。個人情報の問い合わせ窓口を設け、再発防止策として、全従業員への個人情報管理の周知、業務の流れの見直し、確認作業の徹底を挙げています。公開期間中に誰かがファイルを見たり保存したりしたかの調査結果や、補償については、まだ発表されていません。
企業として考えたいこと
一時的な作業のために作ったファイルが、作業後も社外から見られる場所に残っていないかを、誰がいつ確認する決まりになっていますか？
技術的な要約
TAC株式会社は2025年12月4日、2013年度税理士試験の合否結果調査に基づくCSVファイルが、2014年7月下旬から2025年11月中旬までの約11年間インターネット上で閲覧可能な状態だったと発表した。対象は最大1,315人分で、氏名、住所（一部351人分）、TAC会員番号、受験会場・受験番号などが含まれ、科目名は暗号化されていた。発覚のきっかけは、対象の受講生が自身の名前を検索してファイルを見つけ、TACに連絡したことである。原因は通常業務と異なる一時的なデータ取扱いでの作業ミスで、担当者と責任者が保管状況の確認を十分に行わなかったためと説明されている。TACは発覚後直ちにファイルを削除し、二次被害は確認されていないとしている。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明公表で確認外部からの攻撃や侵入は報じられていない。TACは原因を、通常の業務フローとは異なる一時的な取扱いを行った際の作業ミスで、担当者・責任者ともに作業・保管状況の確認を十分に行わなかったためと説明している。ファイルが誤ってインターネットからアクセス可能な場所に置かれたままだった可能性が高いとする報道がある。
- 脆弱性
- CVE 非公表不明製品の脆弱性は報じられていない。Webサーバー上での管理不備によりCSVファイルが閲覧可能な状態だったとされる。
- 攻撃者
- 特定・主張なし
- ATT&CK
- —
影響
- 業務停止
- なし 業務停止は報じられていない。
- データ
- おそれ上限 1,315確定 —人氏名住所会員IDその他2013年度税理士試験の合否結果調査に基づく最大1,315人分。住所は一部351人分のみ。ほかにTAC受講地区・受講講師・受講科目、受験会場・受験番号・受験科目・合格科目、報告コメント、過去の合格科目などの実績、今後の受験予定科目を含む。受験科目・合格科目など科目名は暗号化されていた。実際に閲覧・取得された件数は公表されていない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 委託先や外部サービスの関与は報じられていない。
時系列
- 2014-07
- 2025-11
- 2025-11
- 2025-11
- 2025-12-04
- 2025-12-04
- 2025-12-04
- 2025-12-04個人情報お問い合わせ窓口（電話・メール）を設置した。2
- 2025-12-04
技術解説
公開状態にあった情報と対象範囲 事実
TAC株式会社は2025年12月4日、2013年度税理士試験の合否結果調査に基づいて作成したCSVファイルが、2014年7月下旬から2025年11月中旬までの約11年間、インターネット上で閲覧可能な状態だったと発表し、謝罪した。対象は合否結果調査に回答した人で、最大1,315人分とされる。含まれる項目は、氏名、住所（一部351人分のみ）、TAC会員番号、TAC受講地区・受講講師・受講科目、2013年度試験の受験会場・受験番号・受験科目・合格科目、報告コメント、過去の合格科目などの実績、今後の受験予定科目である。このうち受験科目・合格科目などの科目名は、容易に判別できないよう暗号化されていたと説明されている。1,315人は「対象となる可能性がある」人数の上限である。実際に閲覧・取得された件数は公表されていない。
発覚・封じ込め・原因説明の経緯 事実
発覚のきっかけは、データに含まれていた当事者が自分の名前をインターネットで検索したことだった。検索結果に当該CSVファイルが表示され、本人がTACに連絡した。TACは問題を把握した後、直ちにファイルをWeb上から削除し、外部から閲覧できない状態にしたとしている。連絡を受けた日と削除した日の正確な日付は公表されていない。原因については、通常の業務フローとは異なる一時的な取扱いを行った際の作業ミスであり、担当者・責任者ともに作業・保管状況の確認を十分に行わなかったためと説明している。報道では、Webサーバー上での管理不備によりファイルが閲覧可能になっていたとされる。公表時点では、問い合わせや苦情を含め、情報の不正利用による二次被害は確認されていない。再発防止策としては、全従業員への個人情報の重要性と厳格な管理の周知、各業務フローの見直し、フローに沿った運用と確認作業の徹底を挙げている。あわせて電話とメールの個人情報お問い合わせ窓口を設置した。
約11年間気づかれなかった構造 解釈
公表内容からは、ファイルが「通常の業務フローとは異なる一時的な取扱い」の中で作られ、その後の棚卸しや削除の手順に乗らなかった可能性が読み取れる。正規のフローで扱うデータであれば、保存期間や削除担当が決まっていることが多い。一方、一時的な作業で生まれたファイルは、そうした管理の外に置かれやすい。さらに、問題を見つけたのは組織側の点検ではなく、検索エンジン経由で自分の名前を見つけた当事者だった。少なくとも本件では、公開Web領域に残るファイルを定期的に洗い出す仕組みや、自社ドメインで個人情報が検索できる状態になっていないかを外部から確かめる仕組みが働かなかったことがうかがえる。CSVはファイル名だけでは中身が分かりにくく、サーバー上に残っていても目立ちにくい。この点も長期化の一因として考えられる。ただし、具体的な保管場所やサーバー構成は公表されていない。
暗号化の効果と「二次被害なし」の読み方 解釈
科目名の暗号化は、合否という機微な情報が直接読まれることを抑える配慮といえる。一方、報道で暗号化の対象として挙げられているのは科目名だけである。氏名・会員番号・受験番号・受講講師などは、そのまま読める形だった可能性がある。暗号化されていない項目の組み合わせから合否をどこまで推測できるかは、公表情報からは判断できない。また、約11年間検索エンジンから到達できた以上、第三者が取得したかどうかを判断するには、Webサーバーのアクセスログが残っているかが重要になる。しかし、ログの保存状況や閲覧の有無についての調査結果は報じられていない。「二次被害が確認されていない」のは公表時点の事実だが、閲覧がなかったことの証明ではなく、両者は分けて読む必要がある。検索エンジンのキャッシュ削除などの対応も公表されていない。
対応
- 封じ込め
- 問題発覚後、TACは直ちに当該ファイルをWeb上から削除し、外部から閲覧できない状態にした。
- 公表の仕方
- 2025年12月4日に公表し謝罪した。個人情報お問い合わせ窓口（電話03-5276-8767、平日10:00～17:00、メールkojin-toiawase@tac-school.co.jp）を設置している。再発防止策として、全従業員への個人情報管理の周知、各業務フローの見直し、運用・確認作業の徹底を挙げている。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 通常フローの外で行った一時的な作業のファイルは、保存期間や削除の責任者が決まらないまま残りやすい。 | 一時的なデータ作業にもチケットや作業票を必須にし、保存場所・削除期限・削除担当者を記録する。チケットを閉じる条件に「削除の確認（スクリーンショットかコマンド出力）」を入れ、期限を過ぎた一時領域のファイルはジョブで自動削除する。 |
| 公開Web領域に個人情報を含むファイルが置かれても、内部から気づく仕組みがないと長期間放置される。 | Webサーバーのドキュメントルート配下を週次でスキャンし、.csv/.xlsx/.txt/.bak などの拡張子や、氏名・住所・番号のパターンを含むファイルを検出して通知する。ディレクトリ一覧表示は無効にし、配信を許可する拡張子は許可リストで制限する。 |
| 本件の発覚は、外部の当事者による検索だった。組織側が外部からの見え方を確認していなかった可能性がある。 | 自社ドメインを対象に「site:自社ドメイン filetype:csv」などの検索や、Google Search Console のインデックス一覧の確認を定期的に行う。外部攻撃面管理（ASM）ツールで、公開ファイルの棚卸しも実施する。 |
| アクセスログがなければ、公開期間中に誰がファイルを取得したかを判断できず、影響範囲を絞り込めない。 | Webサーバーのアクセスログを長期保存できる外部ストレージへ転送する。個人情報を扱うパスやファイル種別へのアクセスは、件数とアクセス元を集計・監視する。 |
| 調査目的で集めたデータを、目的を終えた後も保持していると、漏えい時の影響が残り続ける。 | アンケートや調査データごとに保存期限を定め、期限を過ぎたら削除または匿名化する。分析用ファイルは氏名・会員番号を仮IDに置き換えて作成し、本人を特定できる情報の対応表は別の場所に保管する。 |
自組織などでの確認項目
- 自組織の公開Webサーバー上に、CSVやExcelなど個人情報を含むおそれのあるファイルが残っていないか。最後に棚卸しした日はいつか。
- 通常の業務フローを外れて一時的にデータを扱ったとき、ファイルの保存場所と削除期限を誰が記録し、誰が削除を確認する決まりになっているか。
- 自社ドメインが検索エンジンにどのようなファイルとして登録されているかを、定期的に確認する担当と手順があるか。
- 公開サーバーのアクセスログは何年分残っており、特定のファイルが外部から取得されたかを後から調べられるか。
未解明点
- 当該CSVファイルが置かれていたサーバー・URL・ディレクトリの構成と、検索エンジンにインデックスされた経緯。
- 公開期間中に第三者がファイルを閲覧・取得したかどうかの調査結果（アクセスログの有無と保存期間）。
- 当事者からの連絡を受けた日と、ファイルを削除した日の正確な日付。
- 検索エンジンのキャッシュ削除依頼など、削除後に行った追加対応の有無。
- 対象者への個別通知の有無と、個人情報保護委員会への報告状況。
- 科目名に用いた暗号化の方式と強度、ほかの項目から合否を推測できるかについての評価。
出典
- 1株式会社アクト2025-12-11報道本文確認済
- 2CCSI（サイバーセキュリティメディア）2025-12-23報道本文確認済
- 3セキュリティ対策Lab（合同会社ロケットボーイズ）2025-12-07報道本文確認済
- 4サイバーセキュリティラボ（USEN ICT Solutions）2025-12-10報道本文確認済
- 5日経クロステック（xTECH）2025-12-23報道本文確認済
- 6日経クロステック（日経BP）2026-01-26報道本文確認済