全国社会保険労務士会連合会（厚生労働省受託事業）のセミナー参加者名簿の誤格納による個人情報漏えい（498名分）
公表日
厚生労働省の委託事業で、全国社会保険労務士会連合会が開いたセミナーの参加者名簿（498名分）が、約15分間、参加者から見られる状態になりました。
対象者は？
セミナーの参加者名簿に掲載されていた498名です。名簿には事業所名・事業所住所・電話番号・担当者氏名・メールアドレスが載っていました。これら以外の情報が含まれていたかどうかは、発表には書かれていません。
受託者は名簿に掲載されていた498名に謝罪したと公表されています。ご自身が対象かどうかを確認する個別の窓口は、まだ発表されていません。厚生労働省の公式のお知らせをご確認ください。
いますぐできること
- 2026年2月20日のこのセミナーに参加した方は、厚生労働省の公式のお知らせで内容を確認する。
- 受託者から謝罪の連絡が届いていないか、ご自身の連絡先まわりを確認する。
何が起きたのか
2026年2月20日、全国社会保険労務士会連合会が開いたセミナーで、担当者が確認が不十分なまま、参加者名簿を、参加者が資料を見るためのファイル共有サービスに保存してしまいました。名簿は約15分間、参加者から見たりダウンロードしたりできる状態でした。受託者は名簿に載っていた498名に謝罪し、データが削除されたことを確認しました。3月31日に同会が発表し、厚生労働省も公表しました。
なぜ起きたのか・なぜ広がったのか
発表されている原因は、受託者が確認が不十分なまま、参加者が見られるクラウドに名簿を保存したことです。外部からの攻撃があったとは書かれていません。実際に何人が名簿を見たりダウンロードしたりしたかは、まだ発表されていません。
いまの状況2026-04-10 時点続報待ち
受託者は、クラウドを使うときの注意点をまとめた手順書を作って関係者に周知・徹底し、情報セキュリティ研修の内容を見直して研修を行うとしています。厚生労働省は受託者に注意指導を行い、情報セキュリティの監査を実施するとしています。監査の結果は、まだ発表されていません。
企業として考えたいこと
自社が行うセミナーやイベントで、参加者に見せる資料と、参加者の名簿とを、同じ共有場所に置いてしまわない仕組みはあるでしょうか。
技術的な要約
2026年2月20日、全国社会保険労務士会連合会が厚生労働省から受託する働き方改革推進支援事業のセミナーで、担当者が確認不十分なまま参加者名簿をファイル共有サービスに誤って格納した。名簿は参加者から約15分間、閲覧およびダウンロード可能な状態だった。名簿には事業所名・事業所住所・電話番号・担当者氏名・メールアドレスが記載され、498名分である。受託者は498名に謝罪し、データが削除されたことを確認した。同会は3月31日に発表し、厚生労働省は受託者への注意指導と情報セキュリティ監査の実施を公表した。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明公表で確認外部からの攻撃ではなく、受託者が確認不十分なまま参加者名簿を参加者が閲覧可能なクラウドに誤って格納したことが原因（公式）。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
- —
影響
- 業務停止
- なし 業務停止に関する公表はない。
- データ
- おそれ上限 498確定 —人その他住所電話氏名メール名簿は事業所名・事業所住所・電話番号・担当者氏名・メールアドレスを記載した498名分。約15分間、参加者から閲覧・ダウンロード可能だった。実際の閲覧・取得の有無は公表されていない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 厚生労働省の受託事業で発生したが、委託先環境の侵害ではなく受託者自身の誤操作による。
時系列
- 2026-02-20
- 2026-02-20参加者名簿データ（498名分）が約15分間、参加者から閲覧・ダウンロード可能な状態だったことが判明した。2
- 2026-02-202月20日以降、受託者は名簿に掲載された498名に謝罪し、データが受託者の依頼により削除されたことを確認した。2
- 2026-03厚生労働省が「委託事業における個人情報漏えいについて」を公表した。2
- 2026-03-31全国社会保険労務士会連合会が個人情報漏えいについて発表した。1
- 2026-03受託者はクラウド利用時の留意事項の手順書を作成して周知・徹底し、情報セキュリティ研修の内容を見直した。2
- 2026-03厚生労働省は受託者に注意指導を行い、情報セキュリティ監査を実施するとした。2
- 2026-04-10ScanNetSecurityが本件を報じた。1
技術解説
公表されている事案の内容 事実
2026年2月20日、全国社会保険労務士会連合会が厚生労働省から受託する「中小企業・小規模事業者等に対する働き方改革推進支援事業」のセミナーで、参加者名簿が、参加者がセミナー資料を閲覧できるファイル共有サービス（クラウド）に誤って格納された。名簿には事業所名・事業所住所・電話番号・担当者氏名・メールアドレスが記載され、498名分である。名簿は約15分間、参加者から閲覧およびダウンロードが可能な状態だった。同会は3月31日に発表し、厚生労働省も「委託事業における個人情報漏えいについて」を公表した。
公表された原因と対応 事実
公表されている発生原因は、受託者が確認が不十分なまま、参加者名簿を参加者が閲覧可能なクラウドに誤って格納したことである。2月20日以降、受託者は名簿に掲載されていた498名に謝罪し、データが受託者の依頼により削除されていることを確認した。受託者はクラウド利用時の留意事項の手順書を作成して関係者に周知・徹底し、情報セキュリティ研修の内容を見直して研修を実施するとしている。厚生労働省は受託者に対し、個人情報の適切な取扱いと再発防止の徹底を図るよう注意指導し、情報セキュリティに関する監査を実施する。
事案の構造：外部攻撃ではなく共有操作の確認工程の問題 解釈
公表内容からは、外部からの侵入や脆弱性の悪用ではなく、資料共有の場に置くファイルの取り違えが起点だったと読み取れる。参加者に資料を見せるための共有先は、参加者全員が閲覧できる前提で運用される。そのため、格納するファイルの内容を確認する工程が一つ抜けると、そのまま参加者への開示につながりうる構造だったと考えられる。ただし、確認手順が実際にどう定められていたかや、どの段階で確認が抜けたかは公表されていない。これは公表事実からの推測であり、個人の責任を問うものではない。
数値の読み方：上限と実際の閲覧は別 解釈
498名は名簿に掲載されていた人数であり、影響を受けうる範囲の上限として読むのが適切である。閲覧やダウンロードが可能だった時間は約15分で、対象は参加者に限られていた。一方で、実際に何人が名簿を閲覧・取得したかは、公表資料の範囲では示されていない。そのため流出が確認された件数は不明として扱い、「おそれ」の事案と整理するのが妥当と考えられる。削除の確認は公表されているが、取得されたコピーの有無までは確認できない。
対応
- 封じ込め
- 受託者が名簿に掲載された498名に謝罪し、当該データが受託者の依頼により削除されていることを確認した。クラウド利用時の留意事項の手順書を作成して関係者に周知・徹底し、情報セキュリティ研修の内容を見直して研修を実施するとした。
- 公表の仕方
- 2026年3月31日に全国社会保険労務士会連合会が発表し、厚生労働省が「委託事業における個人情報漏えいについて」を公表した。
- 当局対応
- 厚生労働省：受託者に対し個人情報の適切な取扱いと再発防止の徹底を図るよう注意指導し、情報セキュリティに関する監査を実施する。
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 共有先に置くファイルは、公開前に内容を確認する工程が必要 | 共有サービスへのアップロードを、担当者と確認者の二人体制にする。個人情報を含むファイルを置く領域と、参加者向け資料の領域を分け、参加者向け領域には承認済みフォルダからのみ投入する運用にする。 |
| 個人情報を含むファイルが共有領域に置かれたことを自動で検知する | DLPやクラウドの共有ログ監視で、参加者向け領域に氏名・メールアドレス・電話番号などのパターンを含むファイルが置かれたらアラートを出す。ファイル名規則（例：名簿を含む名称）で投入を制限する。 |
| クラウド利用時の手順書と研修を整備し、定期的に見直す | 共有範囲の設定、公開前の確認、誤格納時の連絡先と削除依頼の手順を、チェックリストとして手順書に盛り込む。年次研修と、擬似的な誤格納を想定した訓練を実施する。 |
| 誤格納が起きたときに素早く気づき、対応できる体制を作る | 共有領域の新規ファイルを通知する仕組みと、誤格納を見つけた参加者や担当者が即時に報告できる窓口を用意する。共有リンクの即時無効化、アクセスログの保存、閲覧者の特定までを対応手順に含める。 |
自組織などでの確認項目
- 自組織が使う共有サービスで、参加者や外部の人が閲覧できる領域には、どのような種類のファイルが置かれうるか。個人情報を含むファイルとの区別は、仕組みとして働いているか。
- 自組織でセミナーやイベントを運営するとき、名簿と配布資料は別の場所で管理されているか。ファイルを共有領域に置く前に、第三者が内容を確認する手順はあるか。
- 共有領域に誤ってファイルを置いたとき、誰が気づき、何分以内に共有を止められるか。誰が何を閲覧・取得したかを、アクセスログから後で確認できるか。
未解明点
- 名簿を実際に閲覧またはダウンロードした参加者がいたのか、いたとすれば何人かは、公表資料の範囲では示されていない。
- 誤格納にどのように気づき、約15分後に閲覧できない状態にしたのか、経緯の詳細は公表されていない。
- 厚生労働省が実施するとした情報セキュリティ監査の結果と、再発防止策の効果の確認方法は、まだ発表されていない。
出典
- 1ScanNetSecurity2026-04-10報道本文確認済
- 2厚生労働省2026-03公式本文確認済