愛知県「あいこんナビ」への個人情報の誤掲載（599名分）
公表日
愛知県が運営する出会いサポートサイト「あいこんナビ」で、イベント主催団体が持っていた599名分の個人情報を含むファイルが、第三者から見られる状態で掲載されていました。
対象者は？
2018年当時にイベント主催団体「NPO 縁結び四つ葉親の会」が保有していた599名分。氏名、フリガナ、年齢、最終学歴、職業、在勤市町村、身長、趣味、特技、続柄が含まれていました。599名は最大の対象範囲で、実際に閲覧された人数ではありません。報道では、含まれる項目としてこれら以外は示されていません。
対象者には、県がイベント主催団体とともに手紙などで謝罪する方針と報じられています。個別の連絡や確認方法の詳細は、まだ発表されていません。
何が起きたのか
2026年9月20日午後2時30分頃、一般の人からの連絡で、あいこんナビに個人情報を含む非公開ファイルが載っていることが分かりました。県は同日午後7時頃にそのファイルを削除しました。9月21日に県が公表し、9月22日の追加発表で、主催団体が「NPO 縁結び四つ葉親の会」だと明らかにされました。
なぜ起きたのか・なぜ広がったのか
県によると、2018年にイベント情報を申請した際、主催団体が非公開の情報を「申込用ファイル」に誤って添付し、県側も個人情報を含むファイルと気付かないまま承認・掲載したとみられます。不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。やサイバー攻撃が原因との情報は公表されていません。実際にいつから公開されていたか、どのくらいの期間だったかは公表されていません。
いまの状況2026-09-22 時点続報待ち
2026年9月22日時点で、二次被害は確認されていません。県は再発防止として、申請団体に個人情報を載せないよう改めて周知し、委託事業者にダブルチェック体制を取るよう指導するとしています。対象者には手紙などで謝罪する方針です。アクセス数やダウンロード数、第三者による保存の有無、個人情報保護委員会への報告一定の個人情報の漏えいが起きた場合、企業は国の機関である個人情報保護委員会への報告と、本人への通知が法律で義務づけられています（2022年4月から）。漏えいの通知が届くのはこのためです。の有無は、まだ発表されていません。
企業として考えたいこと
自社のサイトや申請窓口に外部から届いたファイルを公開する場合、公開前と公開後の両方で、個人情報が混ざっていないかを誰がどう確認していますか。
技術的な要約
愛知県は2026年9月21日、県が管理・運営する出会いサポートポータルサイト「あいこんナビ」で、イベント主催団体が保有する599名分の個人情報を含む非公開ファイルが誤って掲載され、第三者が閲覧できる状態になっていたと公表した。2018年のイベント情報申請時に主催団体が非公開情報を「申込用ファイル」に誤添付し、県側も気付かないまま承認・掲載したとみられる。2026年9月20日午後2時30分頃に一般の人からの連絡で発覚し、同日午後7時頃にファイルを削除した。9月22日時点で二次被害は確認されていない。不正アクセスやサイバー攻撃が原因との情報は公表されていない。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明報道・研究者不正アクセスやサイバー攻撃が原因だったとの情報は公表されていない。2018年の申請時に主催団体が非公開情報を申込用ファイルに誤添付し、県側も気付かず承認・掲載したとみられる（誤操作による誤掲載）。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
- —
影響
- 業務停止
- なし
- データ
- おそれ上限 599確定 —人氏名その他2018年に主催団体が保有していた氏名、フリガナ、年齢、最終学歴、職業、在勤市町村、身長、趣味、特技、続柄。第三者が閲覧できる状態だったが、実際の公開日時・継続期間、アクセス数・ダウンロード数、キャッシュや第三者の取得・保存の有無は公表されていない。9月22日時点で二次被害は確認されていない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 2024年度以降、イベント情報の承認業務は委託されており、現在の問い合わせ先としてタメニー株式会社が掲載されている。
時系列
技術解説
事案の構造：誤掲載という運用上の事象 事実
公表された内容によれば、本件は不正アクセスやサイバー攻撃によるものではない。「あいこんナビ」では、登録団体がログインして開催日時・開催場所・申込方法・申込用ファイルなどを登録し、県へ掲載申請を行う。県が管理者権限で承認すると、イベント情報が利用者から閲覧できる状態になる。2018年の申請時に、主催団体が非公開情報を「申込用ファイル」に誤って添付し、県側も個人情報を含むファイルと気付かないまま承認・掲載したとみられる。誤添付と承認時の見落としという二つの工程が重なった事案である。不正アクセスやサイバー攻撃が原因との情報は公表されていない。
影響範囲と公表されていない点 事実
対象は主催団体が2018年に保有していた599名分で、氏名、フリガナ、年齢、最終学歴、職業、在勤市町村、身長、趣味、特技、続柄が含まれていた。第三者が閲覧できる状態だったが、この599名は公表上の対象の範囲であり、実際に閲覧・取得された人数ではない。実際に一般公開された正確な日時、公開が続いた期間、アクセス数・ダウンロード数、キャッシュの有無、第三者の取得・保存の有無は公表されていない。9月22日時点で二次被害は確認されていない。確認されていないことは、取得されていないことと同じ意味ではない点に注意が必要である。
発覚から対応までの経過 事実
2026年9月20日午後2時30分頃に一般の人からの連絡で発覚し、同日午後7時頃に県が対象ファイルを削除した。判明から削除までは約4時間30分である。9月21日に公表され、9月22日の追加発表で主催団体が「NPO 縁結び四つ葉親の会」と明らかにされた。再発防止策として、申請団体へ個人情報を掲載しないよう改めて周知し、委託事業者にイベント掲載情報のダブルチェック体制を改めて指導する。対象者にはイベント主催団体とともに手紙などで謝罪する方針である。なお、個人情報保護委員会への報告については、9月21日公表・22日更新の資料に記載がなく、有無は確認できない。
長期化の背景に関する解釈 解釈
掲載から発覚まで約8年が経過したとみられる点は、本件の特徴である。愛知県は、終了したイベントについても参考のため掲載を継続していると説明している。この方針のもとでは、一度掲載されたファイルが定期的に見直される機会が少なかった可能性がある。ただしこれは公表情報からの推測であり、実際の点検手順や見直しの有無は公表されていない。また、2024年度以降は承認業務が委託されているが、2018年当時の承認は別の体制で行われたとみられ、委託の有無と今回の見落としとの関係は公表されていない。本件で改めて示されたのは、掲載時の確認だけでなく、掲載後の棚卸しも設計に含める必要があるという点だと考えられる。
対応
- 封じ込め
- 2026年9月20日午後7時頃に対象ファイルを削除した。再発防止策として、申請団体へ個人情報を掲載しないよう改めて周知し、委託事業者にイベント掲載情報のダブルチェック体制を改めて指導する。
- 公表の仕方
- 2026年9月21日に公表、9月22日に追加発表。対象者にはイベント主催団体とともに手紙などで謝罪する方針。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 申込用ファイルなどの添付物に個人情報が混入しうる。 | アップロード時に添付ファイルの種類を制限し、PDF・Excel等の内容を自動走査して氏名・年齢などの個人情報らしい項目を検知した場合は承認画面に警告を出す。 |
| 承認者が個人情報の有無に気付かないまま承認するおそれがある。 | 承認画面で添付ファイルのプレビューを必須表示にし、「個人情報を含まない」旨のチェック項目を設ける。承認は2名体制とし、承認ログを保存する。 |
| 掲載後の公開物が長期間見直されないおそれがある。 | 終了したイベントも含む公開コンテンツ・添付ファイルを年1回以上棚卸しし、不要な添付は非公開化または削除する。公開期間に上限を設け期限後は自動で非公開にする。 |
| 外部からの通報で発覚した。 | サイト上に通報窓口を明示し、受付から削除までの手順と担当を定める。公開ファイルを定期的に外部からクロールして検査する仕組みも用意する。 |
| 公開範囲や閲覧状況が事後に確認できないと影響判断が難しくなる。 | 添付ファイルの公開日時とアクセスログを保存し、保存期間を定める。キャッシュや検索結果の削除依頼手順もあらかじめ用意する。 |
自組織などでの確認項目
- 自組織のWebサイトや申請ポータルで、外部の団体や利用者がアップロードした添付ファイルは、公開前に誰がどのように内容を確認していますか。
- 公開済みで更新されていない古いページやファイルは、どこに何件あるか把握できていますか。最後に見直したのはいつですか。
- 個人情報の誤公開が外部から連絡された場合、削除までの担当者・手順・目標時間は決まっていますか。公開日時やアクセス状況を後から確認できますか。
未解明点
- 対象ファイルが実際に一般公開された正確な日時と、公開が続いた期間はいつからいつまでか。
- 対象ファイルへのアクセス数・ダウンロード数、キャッシュや第三者による取得・保存の有無はどうだったか。
- 個人情報保護委員会への報告は行われたか。
- 2018年の申請月と、当時の承認手順・確認体制はどのようなものだったか。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2026-09-23報道本文確認済
- 2ScanNetSecurity2026-09-29報道本文確認済