二本松市の住民記録システム不正検索（会計年度任用職員による知人への住所情報漏えい）
公表日
福島県二本松市で、岩代支所の出先機関に勤務していた会計年度任用職員が、住民記録システムで特定の個人の住所等を検索し、私的な知人に伝えていました。市は2026年3月6日付でこの職員を懲戒免職としましたが、対象となった人数はまだ発表されていません。
対象者は？
住民記録システムで住所等を検索され、知人に伝えられた特定の個人の方。人数は公表されていません。公表資料から読み取れるのは「住所等」までで、それ以外の情報が含まれていたかどうかは分かっていません。
市は、個人情報を漏えいされた方に事実確認の説明と謝罪を行うとしています。個別の連絡方法や問い合わせ先は、今回確認できた資料からは分かりません。詳しくは市の発表ページを確認してください。
いますぐできること
- 二本松市の公式発表ページで、お知らせの内容を確認する。
何が起きたのか
二本松市によると、岩代支所の出先機関に勤務していた会計年度任用職員が、市の住民記録システムを仕事以外の目的で使い、特定の個人の住所等を検索して、私的な知人に伝えていました。報道では、この検索は2025年3月と5月の2回で、2026年1月に匿名の通報で分かったとされています。検索の記録はシステムの記録（アクセスログ）に残っており、本人も事情聴取で事実を認めています。市は3月6日付で職員を懲戒免職とし、3月9日に市議会と報道機関へ公表、3月11日に市のサイトで発表しました。
なぜ起きたのか・なぜ広がったのか
職員は、仕事のために与えられていた住民記録システムの利用権限を、仕事以外の目的で使っていました。報道によると、職員は知人から調べてほしいと頼まれたなどと説明し、金品の受け取りはなかったとしています。なぜ約10か月近く気づかれなかったのかについては、まだ発表されていません。
いまの状況2026-03-24 時点
2026年3月24日時点で、市は職員への指導の徹底やシステムの利用状況の確認など、管理体制の強化で再発防止に努めるとしています。報道によると、市は二本松署と情報を共有し、刑事告訴も検討しています。対象となった人数や、住所以外の情報が含まれていたかは、まだ発表されていません。
企業として考えたいこと
自分の会社の顧客情報システムで、社員が仕事と関係なく誰かの情報を見た場合、その記録は残っていて、通報がなくても気づける仕組みになっているでしょうか。
技術的な要約
二本松市岩代支所の出先機関に勤務していた会計年度任用職員が、住民記録システムを本来の業務目的以外で使用し、特定の個人の住所等を検索して私的な知人に伝達した。検索履歴はアクセスログで確認され、本人も事情聴取で事実を認めている。報道によれば不正検索は2025年3月と5月の2回で、発覚は2026年1月の匿名通報による。市は2026年3月6日付で当該職員(事務補助員、48歳、女)を懲戒免職とし、3月9日に市議会と報道機関へ公表した。市は二本松署と情報を共有し、報道では刑事告訴も検討しているとされる。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 内部者公表で確認会計年度任用職員が業務で付与された住民記録システムの権限を本来の業務目的以外で使用し、特定の個人の住所等を検索した。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 公表資料に業務停止の記載はない。
- データ
- 確定上限 —確定 —住所特定の個人の住所等が検索され、私的な知人に伝達された。対象人数は公表資料から読み取れない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- —
時系列
技術解説
確認されている事案の内容 事実
二本松市の公表によると、岩代支所の出先機関に勤務していた会計年度任用職員が、住民記録システムを本来の業務目的以外で使用し、特定の個人の住所等を検索したうえで、その情報を私的な知人に伝達した。検索履歴はシステムのアクセスログで確認されており、職員本人も事情聴取等で事実を認めている。報道（福島民友の報道をセキュリティ対策Labが紹介）では、不正検索は2025年3月と5月の2回で、知人には携帯電話のメッセンジャーアプリで情報を伝えたとされる。また職員は、知人から調べてほしいと依頼を受けて行ったなどと説明し、金品の受け取りはなかったとしている。
発覚から処分・公表までの経過 事実
発覚のきっかけは2026年1月の匿名通報で、市の調査によりアクセスログと本人聴取の両面から事実が裏付けられたと報じられている。市は岩代支所所属の48歳の女性事務補助員を令和8年3月6日付で懲戒免職とし、地方公務員法第33条（信用失墜行為の禁止）、第34条（秘密を守る義務）、個人情報保護法第67条（従事者の義務）に違反し、地方公務員法第29条第1項各号に該当すると判断した。市は3月9日に市議会及び報道機関へ公表し、3月11日に「本市職員による個人情報の漏えいについて」を発表した。福島民友によれば、市は二本松署と情報を共有し、刑事告訴も検討している。
正規権限の目的外利用という構造 解釈
本件は外部からの侵入ではなく、業務のために付与された正規の権限が目的外に使われた事案と読める。この種の事案では、パスワードや境界防御だけでは防ぎにくく、アクセスログを後から確認することが検知と立証の中心になる。本件でも検索履歴がログで確認されたとされ、ログが残っていたことが事実確認と処分の裏付けになったと考えられる。一方、報道ベースでは不正検索から発覚まで8〜10か月が空いており、端緒は匿名通報だった。平時にログを点検する仕組みがどう働いていたかは公表資料から分からない。これは公表情報に基づく推測であり、市の運用の実態を示すものではない。
公表内容の特徴と限られた範囲 解釈
市の公表は、処分の日付、違反した法令、行為の概要、再発防止の方向性を明示しており、懲戒処分の公表要綱に沿って市議会と報道機関に先に知らせた点も読み取れる。一方で、検索された人数、住所以外にどの項目が検索されたか、情報がどう使われたかといった被害の広がりに関する記述は、今回参照できた資料には見当たらない。これは公表の方針や調査の範囲によるものとも考えられ、不足と断定はできない。また、再発防止策は職員指導の徹底や利用状況の確認といった方向性の提示にとどまり、具体的な点検頻度や技術的制御までは示されていない。今後の続報で補われるかが焦点になる。
対応
- 封じ込め
- 当該職員を令和8年3月6日付で懲戒免職とした。市は、個人情報を漏えいされた方への事実確認の説明と謝罪、職員への指導の徹底、システムの利用状況の確認など管理体制の強化による再発防止を示している。
- 公表の仕方
- 令和8年3月9日に市議会及び報道機関へ公表し、3月11日に市のサイトで「本市職員による個人情報の漏えいについて」を掲載した。
- 当局対応
- 二本松署（報道によれば情報共有し、刑事告訴も検討）
- 処分理由：地方公務員法第33条・第34条、個人情報の保護に関する法律第67条違反
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 正規権限の目的外利用は、認証だけでは防げない。 | 住民記録など個人情報システムの検索ログ（利用者ID・時刻・検索キー・対象者）を必ず保存し、改ざん防止のため別系統のログ基盤へ転送する。保存期間は不正の発覚が遅れうる期間（1年以上）を見込んで設定する。 |
| 発覚が通報頼みだと、発生から発覚までが長くなる。 | 業務上の関連が薄い検索を定期的に抽出する点検ルールを作る。例：同一職員の短時間大量検索、住所の不一致、担当地区外の検索、時間外検索をクエリ化し、月次で管理者がレビューして記録を残す。 |
| 会計年度任用職員など非正規を含め、権限は業務に必要な範囲に絞る必要がある。 | ロール別に検索可能な項目と範囲を最小化し、住所等の表示は業務目的の入力（事由コード・申請番号など）を必須にする仕組みを検討する。雇用区分別に権限棚卸しを年2回以上実施する。 |
| 通報窓口と、ログによる事実確認の連携が事案の解明に役立つ。 | 匿名通報を受けたら、対象システムのログを即日保全する手順書を整備する。保全対象、取得担当者、保全後に参照できる者の範囲を事前に定め、訓練で確認する。 |
| 私的な連絡手段への持ち出しは、技術的にも運用的にも抑止の仕組みが要る。 | 画面の持ち出しを抑止する表示（利用者名の透かし）や、ログ監視が行われている旨の周知を行う。入職時と年1回の研修・誓約で、目的外検索が懲戒や刑事責任の対象になることを具体例付きで確認する。 |
自組織などでの確認項目
- 自組織の顧客・住民・会員情報システムで、検索や閲覧のログは誰が・いつ・どの項目を見たかまで残っているか。保存期間はどれだけか。
- 業務と関係のない閲覧を見つけるための定期点検は、実際に誰が・どの頻度で行い、結果を記録しているか。通報がなくても気づける状態か。
- 非正規・委託・短期の職員に付与している権限は、業務に必要な範囲に限られているか。最後に権限を棚卸ししたのはいつか。
- 匿名の内部通報を受けた場合、ログを保全し、調査から処分・公表まで進める手順と責任者は決まっているか。
未解明点
- 検索された個人の人数と、住所以外にどの項目が検索・伝達されたのかは、今回確認できた資料では公表されていない。
- 知人に伝えられた情報がその後どう使われたのか、被害の有無は公表されていない。
- 2025年3月と5月の2回以外に、同じ職員や他の職員による目的外検索がなかったか、市が全体を点検したかは明らかでない。
- 刑事告訴は報道で「検討」とされており、実際に行われたか、結果がどうなったかは公表されていない。
- 再発防止のうち、システムの利用状況の確認を具体的にどの頻度・方法で行うのかは示されていない。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2026-03-13報道本文確認済
- 2ScanNetSecurity2026-03-24報道本文確認済
- 3二本松市2026-03-11公式本文確認済