大阪マラソン2026ボランティア登録情報システムでの個人情報閲覧可能状態（最大4,101名）
公表日
大阪マラソン2026のボランティア登録システムで、最大4,101名分の個人情報が、他のボランティア参加者に3日間閲覧できる状態になっていました。
対象者は？
インターネットからボランティア参加登録をした4,101名分が対象です。氏名・所属団体名のページが3,477名分、氏名・所属団体名・携帯電話番号・メールアドレスのページが18名分と公表されています。公表された範囲に、これ以外の情報は含まれていません。
委託事業者が3月21日に、対象の4,101名へ電子メールで経緯の説明と謝罪を行い、問合せ専用窓口を案内しています。登録した方は届いたメールをご確認ください。
いますぐできること
- ボランティア登録をした方は、委託事業者から届いたお知らせのメールを確認する
- 心当たりのない電話やメールが来たときは、すぐに応じず、内容をよく確かめる
- 不安なことは、お知らせのメールに書かれた問合せ専用窓口に相談する
何が起きたのか
大阪マラソン2026のボランティア登録情報を管理するシステムで、登録された個人情報が、他のボランティア参加者にも見られる状態になっていました。見られる状態だったのは3月16日から18日までの3日間で、ボランティア参加者だけに知らされた専用URLから閲覧できました。3月18日に参加者から委託事業者へ連絡があって分かり、登録情報は非公開になりました。3月21日に対象の方へメールで説明とお詫びがあり、3月25日に組織委員会が発表しました。
なぜ起きたのか・なぜ広がったのか
大会の終了に伴い、委託事業者の指示を受けたシステム構築会社がシステムを閉じる作業の前に、誤って個人認証の機能をオフにしてしまったためと公表されています。このため、通常は見られない他の参加者の情報が見られる状態になりました。
いまの状況2026-04-06 時点
登録情報は3月18日に非公開になりました。本件による個人情報の不正利用などの二次被害は、公表時点では確認されていません。組織委員会は委託事業者に、個人情報管理の再点検、社員研修、マニュアルの順守、責任者による2段階チェック体制の構築を指導し、事務局職員にも注意喚起を行ったと発表しています。実際に何人が閲覧したかなどの詳細は、まだ発表されていません。
企業として考えたいこと
自社のシステムを終了・閉鎖するとき、認証や公開範囲の設定を変更する作業を、誰がどのように確認していますか。
技術的な要約
大阪マラソン組織委員会は2026年3月25日、大阪マラソン2026のボランティア登録情報管理システムで、登録された個人情報が一定期間、他のボランティア参加者に閲覧可能な状態になっていたと発表した。大会終了に伴い、委託事業者の指示を受けたシステム構築会社がシステム閉鎖作業の前に誤って個人認証機能をオフにしたことが原因である。閲覧可能だった期間は3月16日から18日の3日間で、インターネットから登録した4,101名分が対象となった。3月18日にボランティア参加者から委託事業者へ連絡があり発覚し、登録情報は非公開とされた。本件に起因する不正利用などの二次被害は、公表時点では確認されていない。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明外部攻撃者による侵入は公表されていない。公式発表では、システム構築会社が閉鎖作業前に誤って個人認証機能をオフにしたため、ボランティア参加者のみに知らせた専用URLから他の参加者の個人情報を閲覧できる状況が発生した。
- 脆弱性
- CVE 非公表公表で確認製品の脆弱性ではなく、システムの個人認証機能の誤オフが原因と公表されている。
- 攻撃者
- 特定・主張なし
- ATT&CK
- —
影響
- 業務停止
- なし 業務停止は公表されていない。
- データ
- おそれ上限 4,101確定 —人氏名電話メールその他対象はインターネットからボランティア参加登録をした4,101名分。内訳は、氏名・所属団体名が掲載されたページ3,477名分、氏名・所属団体名・携帯電話番号・メールアドレスが掲載されたページ18名分。二次被害は公表時点で確認されていない。「その他」は所属団体名。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 組織委員会の委託事業者と、その指示を受けたシステム構築会社の作業が原因。外部への波及は公表されていない。
時系列
- 2026-03-16ボランティア登録情報が他のボランティア参加者に閲覧可能な状態となった期間の開始（専用URLから閲覧可能）。2
- 2026-03-18
- 2026-03-18委託事業者が事象を確認し、システム構築会社にボランティア参加登録情報を非公開とするよう指示した。閲覧可能期間は同日までの3日間。2
- 2026-03-19委託事業者が組織委員会事務局へ本事案を報告した。2
- 2026-03-21委託事業者が対象の4,101名に電子メールで経緯の説明と謝罪を行い、問合せ専用窓口を設置して案内した。2
- 2026-03-25
- 2026-03-25組織委員会が委託事業者に対し、個人情報管理の再点検、社員研修、マニュアル順守、責任者による2段階チェック体制の構築を指導した。2
- 2026-03-25組織委員会事務局職員に本事案を周知し、個人情報を扱う他業務で同様の事案が起きないよう注意喚起を行った。2
- 2026-04-06ScanNetSecurityが本件を報道した。1
技術解説
公表された事案の内容 事実
大阪マラソン組織委員会の発表によると、大阪マラソン2026のボランティア登録情報管理システムで、登録された個人情報が一定期間、他のボランティア参加者に閲覧可能な状態になっていた。閲覧可能だった期間は令和8年3月16日(月)から3月18日(水)の3日間で、ボランティア参加者のみに知らせた専用URLから閲覧できた。対象はインターネットからボランティア参加登録をした4,101名分である。内訳として、氏名・所属団体名が掲載されたページが3,477名分、氏名・所属団体名・携帯電話番号・メールアドレスが掲載されたページが18名分と公表されている。本件に起因する不正利用などの二次被害は、公表時点では確認されていない。
公式発表が示す原因と発覚の経緯 事実
公式発表が示す原因は、大阪マラソン2026の終了に伴い、委託事業者から指示を受けたシステム構築会社が、システムの閉鎖作業を行う前に、誤ってシステムの個人認証機能をオフにしたことである。その結果、システム利用者は、通常は個人認証によりアクセスが不可能な他のボランティア参加者の個人情報を閲覧できる状況になった。発覚は3月18日で、システムを利用したボランティア参加者が、他の参加者の個人情報が閲覧できる状態になっていると委託事業者へ連絡したことによる。委託事業者は事象を確認した後、システム構築会社に登録情報を非公開とするよう指示した。
発覚後の対応と再発防止策 事実
3月18日に委託事業者が登録情報の非公開をシステム構築会社に指示し、3月19日に組織委員会事務局へ報告した。3月21日には委託事業者が対象の4,101名に電子メールで経緯の説明と謝罪を行い、問合せ専用窓口を設置して案内した。3月25日に組織委員会が発表し、同日、委託事業者に対して個人情報管理の再点検、社員への研修、マニュアルの順守、責任者による2段階チェック体制の構築を指導した。あわせて組織委員会事務局職員に本事案を周知し、個人情報を扱う他の業務で同様の事案が起きないよう注意喚起を行ったと公表されている。
運用の切り替え時に生じた構造的な弱点（解釈） 解釈
公表内容からは、閲覧制限の仕組みが個人認証機能に依存しており、その機能を切ると制限が一斉に外れる構造だったと読める。しかも操作が行われたのは、大会終了後の閉鎖作業という通常運用とは別の局面であり、作業の指示元、実施者、確認者が分かれていた。こうした局面では手順の確認が手薄になりやすい。ただし、実際の作業手順や確認体制がどうだったかは公表されておらず、これは公表事実からの推測にとどまる。また、発覚が参加者からの連絡だった点から、組織側の監視で検知できたのかは公表情報では分からない。
対応
- 封じ込め
- 委託事業者が事象確認後、システム構築会社にシステムに登録されているボランティア参加登録情報を非公開とするよう指示した（3月18日）。
- 公表の仕方
- 3月21日に委託事業者が対象者4,101名へ電子メールで経緯説明と謝罪を行い、問合せ専用窓口を設置。3月25日に組織委員会が発表した。再発防止策として、委託事業者への個人情報管理の再点検・社員研修・マニュアル順守・責任者による2段階チェック体制の構築の指導と、事務局職員への周知・注意喚起を行った。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| システム閉鎖・終了作業は、通常運用と同じ水準の変更管理の対象にすべきである。 | 閉鎖手順を手順書化し、認証設定の変更を含む作業は変更申請と、作業者とは別の責任者による事前レビューを必須にする。公表された「2段階チェック体制」と同趣旨の運用を、作業チケットの承認フローとして実装する。 |
| 個人認証機能を単一の防御に頼らず、設定が誤って外れた場合でも露出が広がらない設計にする。 | 認証オフ時はアプリ側で個人情報の返却自体を拒否するデフォルト拒否の実装にする。終了後の環境は、まずネットワークやWAFで閲覧元を限定し、その後に停止する手順にする。 |
| 認証や公開範囲の設定変更を自動で検知できるようにする。 | 認証設定のドリフトを定期的に外形監視（未認証リクエストで個人情報ページが取得できないことの自動テスト）し、設定変更時にアラートを上げる。 |
| 委託先・再委託先の作業にも個人情報保護の統制を及ぼす。 | 契約と作業指示書に、認証・公開設定を変更する作業の事前承認と事後確認、アクセスログの保全を明記し、再委託先の作業にも同様に適用する。 |
| 利用者や参加者から寄せられる異常の連絡を、すぐに受け付けて対応できる経路を用意する。 | 問合せ窓口から運用担当へ即時エスカレーションできる連絡フローと、個人情報露出疑いの初動手順（非公開化、ログ保全、報告）を整備し、定期的に訓練する。 |
自組織などでの確認項目
- 自組織のシステムを終了・閉鎖する際の手順書に、認証や公開範囲の設定変更が含まれているか。その作業を実施者以外が確認する仕組みがあるか。
- 自組織の個人情報を扱う画面やURLで、認証が外れた場合にも情報が返却されないことを、定期的に確認しているか。
- 委託先や再委託先が行う作業のうち、個人情報の公開範囲に影響するものを一覧で把握しているか。異常の連絡を受けた際、誰が何時間以内に非公開化の判断をするか決まっているか。
未解明点
- 閲覧可能だった4,101名のうち、実際に他の参加者に閲覧された件数は何件か。公表された内訳（3,477名分と18名分）の合計は3,495名分で、4,101名との差分の扱いは示されていない。
- アクセスログなどから、閲覧した人数や、ボランティア参加者以外による閲覧がなかったことを確認できたのか。
- 閉鎖作業の手順や確認体制は具体的にどうなっていたのか。2段階チェック体制の具体的な内容と実施時期はどうか。
- 個人情報保護委員会など当局への報告の有無と内容は公表されているか（今回の資料には記載がない）。
出典
- 1ScanNetSecurity2026-04-06報道本文確認済
- 2大阪府2026-03-25公式本文確認済