函館市職員による内部不正2件（同僚PCからの個人情報持ち出し・競輪売上金約1,129万円の不正引き出し）
公表日
北海道函館市で職員による内部不正社員や元社員、委託先の担当者など、正規の権限を持つ人が情報を持ち出したり、不正に使ったりすることです。外からの攻撃への備えだけでは防げません。が2件明らかになり、2026年6月22日に懲戒処分が発表された。1件は同僚のPCから個人情報を含むデータが持ち出された事案、もう1件は競輪の売上金口座から約1,129万円が引き出された事案である。
対象者は？
同僚のPCから持ち出された個人情報の対象者の範囲は、まだ発表されていません。持ち出されたのは「個人情報を含むデータ」で、情報の種類や件数、影響を受けた市民の数も公表されていません。競輪の売上金の件は、市の口座からの引き出しで、市民の個人情報の流出としては報じられていません。
確認方法はまだ発表されていません。
何が起きたのか
市民部の50代の職員が、2025年中に同僚のパソコンに不正にログインし、個人情報を含むデータを持ち出しました。2026年1月にはそのデータを函館市のメールアドレスに2回送り、情報漏洩が起きたかのような状況を意図的に作りました。2月にはデータの一部を印刷して市の関連施設へ送り、職場の外への漏洩に至りました。別の件として、競輪事業部の職員が売上金を管理する口座から50数回にわたり、合計で約1,129万円を不正に引き出しました。2026年6月8日に警察がこの職員を逮捕し、逮捕のきっかけとなった容疑は2025年8月から10月の10回・約156万円分でした。6月22日に市長が記者会見を開き、市民部の職員は停職6か月、競輪事業部の職員は懲戒免職とする処分を発表しました。
なぜ起きたのか・なぜ広がったのか
市民部の職員は、市の調査に対し「ストレスがあり、うさばらしがしたかった」と説明しています。競輪事業部の件では、通帳と銀行印が同じ場所に鍵をかけずに保管され、誰でも取り出せる状態だったこと、内部での照合チェックが行われていなかったことを市が説明しています。市民部の職員がどのようにして同僚のパソコンにログインしたかは、まだ発表されていません。
いまの状況2026-06-23 時点続報待ち
2026年6月23日時点で、持ち出された個人情報の種類・件数・影響を受けた市民の数、および対象者への案内について、まだ発表されていません。市長と担当副市長は、それぞれ給与の10分の1を1か月間減額する処分を自ら受けると発表しました。
企業として考えたいこと
もし自社で、社内の誰かが同僚の端末やお金に関わる道具に手を伸ばしたとき、それに気づける記録と、担当者以外が確認する仕組みはありますか。
技術的な要約
函館市の大泉潤市長は2026年6月22日に記者会見を開き、性質の異なる2件の内部不正に対する懲戒処分を発表した。1件は市民部の50代職員が2025年中に同僚のPCへ不正ログインして個人情報を含むデータを持ち出し、2026年1月に市のメールアドレス宛てへ2回送付、2月にその一部を印刷して市の関連施設へ送付して職場外への漏洩に至ったもので、停職6か月となった。もう1件は競輪事業部の職員が売上金を管理する口座から50数回にわたり計約1,129万円を不正に引き出したもので、懲戒免職となった。この件では通帳と銀行印が無施錠で保管され、内部の照合チェックも行われていなかったと市が説明している。持ち出された個人情報の種類・件数・影響市民数は、6月22日時点で市から公式に公表されていない。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 内部者報道・研究者市民部の50代職員が同僚のPCに不正ログインして個人情報を含むデータを持ち出した（報道）。ログインの具体的手口は公表されていない。別件の競輪事業部の事案は、無施錠で保管された通帳と銀行印が誰でも取り出せる状態だった口座からの不正引き出し。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 業務停止に関する公表は確認できない。
- データ
- 調査中上限 —確定 —その他持ち出されたのは「個人情報を含むデータ」。一部は印刷して市の関連施設へ送付され、職場外への漏洩に至った。具体的な種類・件数・影響市民数は2026年6月22日時点で公表されていない。
- 波及先
- —
- 金銭影響
- 競輪事業部の職員が売上金を管理する口座から50数回にわたり計約1,129万円を不正に引き出した。逮捕の端緒となった容疑は2025年8月から10月の10回・計約156万円。
- サプライチェーン
- —
時系列
- 2025-08競輪事業部の職員による売上金口座からの不正引き出しのうち、逮捕の端緒となった10回・計約156万円の引き出しが始まる（2025年8月〜10月）。1
- 2026-01市民部の50代職員が、2025年中に同僚のPCから持ち出したデータを函館市のメールアドレス宛てに2回送り、情報漏洩が発生しているかのような状況を意図的に作った。1
- 2026-02同職員が持ち出したデータの一部を印刷して市の関連施設へ送付し、職場外への情報漏洩に至った。1
- 2026-06-08
- 2026-06-08市が通帳と銀行印を同じ保管場所で無施錠で管理していたこと、内部の照合チェックが行われていなかったことなどを明らかにした。2
- 2026-06-08競輪事業部の田村隆弘部長と町谷仁志事業課長が職員逮捕を受けて記者会見した。2
- 2026-06-22大泉潤市長が記者会見を開き、2件の内部不正に対する懲戒処分を発表した。市民部職員は停職6か月、競輪事業部職員は懲戒免職。1
- 2026-06-22大泉市長と担当副市長が、それぞれ給与の10分の1を1か月間減額する処分を自ら受けると発表した。1
- 2026-06-22持ち出された個人情報の種類・件数・影響市民数について、市から公式な公表は行われていない状態だった。1
技術解説
市民部職員による個人情報の持ち出しと漏洩の偽装 事実
報道によると、市民部の50代職員は2025年中に同僚のPCへ不正ログインし、個人情報を含むデータを持ち出した。2026年1月にはそのデータを函館市のメールアドレス宛てに2回送り、情報漏洩が発生しているかのような状況を意図的に作り出した。翌2月には持ち出したデータの一部を印刷して市の関連施設へ送付し、実際に職場外への情報漏洩に至った。職員は市の調査に対し「ストレスがあり、うさばらしがしたかった」と動機を説明している。懲戒処分は停職6か月である。持ち出された情報の具体的な種類や件数、影響を受けた市民の数については、2026年6月22日時点で函館市から公式な公表は行われていない。
競輪事業部職員による売上金口座からの不正引き出し 事実
報道によると、競輪事業部の職員（28歳）は売上金を管理する口座から50数回にわたり計約1,129万円を不正に引き出し、懲戒免職となった。逮捕の端緒となった容疑は2025年8月から10月にかけての10回・計約156万円の引き出しで、2026年6月8日に函館中央署が有印私文書偽造・同行使と詐欺の疑いで逮捕した。市は同日、通帳と銀行印を同じ保管場所で無施錠で管理していたこと、内部の照合チェックが行われていなかったことなどを明らかにした。報道では、管理体制の甘さが不祥事につながったと伝えられている。約1,129万円は処分発表時に報じられた総額で、逮捕容疑の約156万円とは範囲が異なる。
2件を並べて見える共通点と公表の範囲 解釈
2件は性質が異なるものの、いずれも組織内部の人物が、日常業務で触れられる資産に手を伸ばした点で共通していると読める。市民部の件は端末へのログイン、競輪事業部の件は通帳と銀行印という、本来は権限や施錠で守られるはずの入口が使われた。市は6月8日に管理面の不備を具体的に説明し、6月22日には市長と副市長が自ら減給処分を受けると発表しており、責任の所在を示す姿勢がうかがえる。一方で、持ち出された個人情報の種類・件数・影響市民数は公表されておらず、影響を受けた市民が自分の情報が含まれるかを判断する材料はまだ公開情報から得られない。出典が報道2件に限られるため、市の公式発表の全文での確認が待たれる。
対応
- 封じ込め
- 市民部職員は停職6か月、競輪事業部職員は懲戒免職の懲戒処分とした。大泉市長と担当副市長は給与の10分の1を1か月間減額する処分を自ら受けると発表した。
- 公表の仕方
- 2026年6月8日に競輪事業部の部長らが記者会見し、通帳・銀行印の無施錠保管や照合チェック未実施を明らかにした。6月22日に大泉市長が記者会見で2件の懲戒処分を発表した。持ち出された個人情報の種類・件数・影響市民数は公表されていない。
- 当局対応
- 函館中央署（競輪事業部職員を有印私文書偽造・同行使と詐欺の疑いで逮捕）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 同僚のPCへの不正ログインは、本人以外の端末利用として検知できる状態にしておく必要がある | 端末ごとに個別アカウントと画面ロックを徹底し、認証ログ（Windowsのイベントログ4624/4625等）をSIEMに集約する。通常と異なる端末・時間帯へのログインを検知ルール化する。 |
| データの持ち出しは、メール送信と印刷という通常業務の経路で行われうる | DLPで個人情報を含むファイルの外部送信・大量印刷を検知し、印刷ログとメール送信ログを取得・保管する。個人情報を扱うフォルダにはアクセス権とアクセスログ監視を設定する。 |
| 現金に結びつく通帳と銀行印は、同じ場所に無施錠で置かない | 通帳と銀行印を別の保管場所に分けて施錠し、持ち出しは記録と二人以上の承認を必須とする。出金手続きには担当者と承認者を分ける権限設計を導入する。 |
| 口座の入出金は、担当者以外が定期的に照合する仕組みが要る | 月次で通帳・銀行取引明細と帳簿を担当外の者が照合し、結果を記録する。出金通知を管理者にも届くよう設定し、異常な頻度の出金を検知する。 |
| 自作自演の「漏洩」も実際の漏洩と同様に調べ、原因を切り分ける手順が必要である | 外部から届いた「漏洩情報」の真偽確認と流出元特定の手順を用意し、ログ照合で持ち出し元の端末とアカウントを特定する。調査結果は種類・件数まで整理して公表判断に回す。 |
自組織などでの確認項目
- 自分の組織で、他人の端末やアカウントに不正にログインした場合、どのログインログに残り、誰がいつ気づける仕組みになっていますか。
- 個人情報を含むファイルをメールで送る、または印刷する操作は、誰が・いつ・何を行ったかを後から追跡できますか。
- 現金や通帳、印鑑、鍵などの管理を担当者1人に任せている業務はありませんか。担当外の人による照合は定期的に行われていますか。
- 内部の人物が原因の可能性があるインシデントが起きたとき、調査と公表の判断を誰が担い、どの時点で関係者へ通知しますか。
未解明点
- 持ち出された個人情報の種類、件数、影響を受けた市民の数はどうなっているか（2026年6月22日時点で未公表）。
- 同僚のPCへの不正ログインの具体的な手口と、市がどのように把握したか。
- 個人情報が含まれる市民への通知や相談窓口の有無、および再発防止策の詳細。
- 一部が印刷されて市の関連施設へ送付された情報が、その後どう回収・保管されたか。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2026-06-23報道本文確認済
- 2北海道新聞デジタル2026-06-08報道本文確認済