大阪府水産課での漁業許可証の誤送信（漁業者1名分の氏名・住所が漏えい）
公表日
大阪府の水産課で、漁業許可証(案)が誤って岬町にファクシミリ送信され、漁業者1名分の氏名と住所が漏れました。
対象者は？
漁業者1名の氏名と住所が対象です。この情報は岬町にファクシミリで送られました。ほかの人の情報が含まれるとは発表されていません。
対象の漁業者本人には、4月21日に府が経緯の説明と謝罪を行い、了承を得たと発表されています。それ以外の方が確認する必要があるとは発表されていません。
何が起きたのか
4月20日、水産課の担当者が漁業許可証を交付するため、許可証(案)を複合機でスキャンしました。このとき、保存先のフォルダとファクシミリの送信先の両方が選ばれた状態でスタートボタンが押され、スキャンと同時に岬町へファクシミリが送られました。同じ日に岬町から連絡があって分かりました。府は岬町に電話で破棄をお願いし、町の職員が破棄したことを確認しました。4月21日には漁業者本人に説明と謝罪をして、了承を得ました。府は5月8日に発表しました。
なぜ起きたのか・なぜ広がったのか
府の発表によると、この複合機は一度にスキャンとファクシミリを選べる仕様でした。担当者は、スキャンのときにファクシミリも同時に送られることを知らず、確認もしていませんでした。外部からの攻撃ではなく、機器の操作で起きたものです。
いまの状況2026-05-21 時点
漏えいしたのは漁業者1名分の氏名と住所で、岬町の職員による破棄が確認されています。府は、スキャン時にファクシミリの送信先が誤って選ばれていないか確認を促す掲示を行いました。また、課内の職員に事案を知らせ、個人情報の取り扱いについて改めて注意を呼びかけるとしています。
企業として考えたいこと
あなたの会社の複合機では、書類をスキャンしたときに、意図せずファクシミリやメールなどで外部に送られてしまう設定になっていないでしょうか。
技術的な要約
大阪府環境農林水産部水産課で、漁業許可証の交付事務中に許可証(案)を誤送信し、個人情報を漏えいする事案が発生した。2026年4月20日、担当者が複合機でスキャンした際、保存先フォルダとファクシミリ送信先の両方を選択した状態でスタートボタンを押したため、岬町宛にファクシミリが同時送信された。同日中に岬町からの連絡で発覚し、府は岬町に破棄を依頼して破棄を確認した。漏えいしたのは漁業者1名分の氏名と住所で、府は5月8日に発表した。再発防止として、複合機のスキャン操作時に誤選択がないか確認を促す掲示などを行った。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 内部者公表で確認外部からの侵入ではなく、担当者が複合機で保存先フォルダとファクシミリ送信先の両方を選択したままスタートボタンを押した操作ミス。担当者は同時送信されることを認識しておらず、確認も怠っていた。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
- —
影響
- 業務停止
- なし
- データ
- 確定上限 1確定 1人氏名住所漁業者1名分の氏名と住所。送信先は岬町で、同町職員により破棄を確認。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- —
時系列
技術解説
事案の経緯 事実
2026年4月20日、大阪府環境農林水産部水産課の担当者が、漁業者からの申請に基づき漁業許可証を交付するため、許可証(案)を複合機でスキャンした。その際、保存先のフォルダとファクシミリの送信先の両方を選択した状態でスタートボタンを押したため、スキャンと同時に岬町宛にファクシミリが送信された。同日中に岬町から許可証(案)がファクシミリで届いたとの連絡があり、府が履歴を確認して誤送信が判明した。府は電話で岬町に破棄を依頼し、同町職員により破棄されたことを確認した。4月21日には漁業者本人に経緯説明と謝罪を行い、了承を得た。漏えいしたのは漁業者1名分の氏名と住所で、府は5月8日に発表した。
原因と再発防止策 事実
府の発表によると、複合機は一度にスキャンとファクシミリを選択できる仕様となっていた。担当者は、保存先のフォルダとファクシミリの送信先の両方を選択した状態でスタートボタンを押した。担当者はスキャン実行時にファクシミリが同時に送信されることを認識しておらず、確認も怠っていた。再発防止策として、府は複合機のスキャン操作時に、ファクシミリの送信先等が誤って選択された状態になっていないか利用者に都度確認を促す掲示を行った。あわせて、課内職員に本事案を周知したうえで、個人情報を適正に取り扱うよう改めて注意喚起するとしている。外部からの不正な侵入や攻撃に関する記述は、公表資料には含まれていない。
被害規模と公表の読み取り 解釈
漏えいは漁業者1名分の氏名と住所で、送信先は同じ府内の岬町であり、同町職員による破棄も確認されている。公表された範囲では、影響は限定的だったと読める。一方で、発覚の端緒は送信元ではなく受信側からの連絡だった。受信側が気づいて連絡したことが早期の破棄につながったと考えられる。もし連絡がなければ、送信側が誤送信に気づく手段は履歴確認に限られていた可能性がある。なお、府の発表は5月8日で、誤送信の発生から約3週間後である。この間隔の理由は公表資料からは読み取れないため、評価は控える。
仕組みと運用の関係 解釈
今回の事例は、機器の仕様と人の操作の組み合わせから起きたと整理できる。スキャンとファクシミリを同時に選べる仕様自体は、使い方を知っていれば便利な機能にもなり得る。しかし担当者がその挙動を認識していなかったと公表されており、機能の周知や初期状態の設計が課題になりうる。府が講じた対策は掲示と職員への周知で、利用者の注意に依拠する形である。同種の誤送信は他の組織でも起こりうるため、注意喚起に加え、設定面の対策を併用するかどうかが今後の検討点になると考えられる。ただし、府が設定変更を行ったかどうかは公表されていない。
対応
- 封じ込め
- 2026-04-20に岬町へ電話で許可証(案)の破棄を依頼し、同町職員による破棄を確認した。4月21日に漁業者本人へ経緯説明と謝罪を行い、了承を得た。再発防止として、複合機のスキャン操作時にファクシミリ送信先等の誤選択がないか利用者に都度確認を促す掲示を行った。課内職員に事案を周知し、個人情報の適正な取扱いを改めて注意喚起する。
- 公表の仕方
- 2026-05-08に大阪府が報道発表資料「個人情報の漏えいについて」で公表した。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 複合機の機能の組み合わせによって、意図しない外部送信が起こりうる | 複合機のスキャン機能とファクシミリ機能の同時指定の可否を設定画面で確認する。業務上不要であれば、同時指定の無効化やファクシミリ機能の利用制限を管理者設定で実施する。 |
| 担当者が機器の挙動を十分に知らないまま操作していた | 機器の導入時や異動時に、送信系機能の挙動を含む操作手順を研修で示す。手順書に「スキャン時にファクシミリ送信先が選択されていないか」の確認項目を加える。 |
| 掲示による注意喚起は人の注意力に依存する | 送信前に宛先を確認する表示や、実行前の確認画面を有効にする。ファクシミリ送信時の宛先番号の再入力や二重確認を求める設定を検討する。 |
| 誤送信は受信側の連絡で発覚し、送信側では気づきにくい | 機器の送信履歴を定期的に点検する運用を設ける。誤送信を受けた側が連絡できる窓口を取引先や関係機関と共有し、受信時の連絡手順を明文化する。 |
| 個人情報を含む書類は、送信後の破棄確認まで含めて対応を完結させる必要がある | 誤送信時の対応手順に、相手への破棄依頼、破棄の確認、本人への説明の順序を定める。確認した日時と方法を記録する様式を用意する。 |
自組織などでの確認項目
- 自組織の複合機で、スキャンとファクシミリの同時指定ができる設定になっていないか。管理者設定を確認してみましょう。
- 個人情報を含む書類をファクシミリで送る業務は残っているか。残る場合、宛先の二重確認や、送信前の上長確認などの手順は定められているか。
- 誤送信が起きたとき、受信側から連絡を受ける窓口と、相手に破棄を依頼して確認するまでの手順は、職員全員が把握しているか。
未解明点
- 府が掲示と周知以外に、複合機の設定変更（同時指定の無効化など）を行ったかどうかは公表されていない。
- 岬町で許可証(案)を受け取ってから破棄されるまでに、誰が内容を見たかなどの取扱い状況は公表されていない。
- 誤送信の発生から発表まで約3週間あったが、その間に行われた庁内の確認や判断の経緯は公表されていない。
出典
- 1ScanNetSecurity2026-05-21報道本文確認済
- 2大阪府(環境農林水産部水産課)2026-05-08公式本文確認済