広島県 新病院県民公開セミナー申込画面の個人情報漏えい（申込者86名分が閲覧可能に）
公表日
広島県は、新病院に係る県民公開セミナーの申込者86名分の個人情報が、一時的にインターネット上の画面から見られる状態になっていたと発表した。実際に見られた人数は確認できていない。
対象者は？
新病院に係る県民公開セミナーの既申込者86名。氏名、フリガナ、属性（一般・医療・行政）、年齢区分、住所、電話番号、質問が見られる状態だった。一部には申込者等の疾病に関する相談内容等が含まれる。これら以外の項目は、発表資料には書かれていない。
県によると、受託者から申込者へ電話等による説明・謝罪が行われた。詳しくは県の発表資料で確認できる。
いますぐできること
- セミナーに申し込んだ人は、県の発表資料を読み、自分が対象に当たるか確認する。
- 身に覚えのない電話や郵便があったときは、すぐに応じず、県や受託者に確認する。
- 不安があるときは、県の発表資料に記載された窓口へ相談する。
何が起きたのか
2026年5月29日の中国新聞朝刊に、新病院に係る県民公開セミナーの広告が載った。この広告に、申込用ではなく、管理者が申込者の情報を確認するための二次元コードが誤って付けられていた。そのため、すでに申し込んだ86名分の情報が、申込画面にアクセスした人から見られる状態になった。同日10時頃、申込者からの連絡で発覚した。11時頃に申込画面は閉鎖され、18時30分に修正を確認して申込が再開された。県は6月2日に発表した。
なぜ起きたのか・なぜ広がったのか
県は原因として、受託者が本来不要な管理者確認用の画面と結びついた二次元コードを作ったこと、二次元コード等のテストをしていなかったことを挙げている。県も事前に広告の文面は確認していたが、二次元コードが付いておらず、確認できていなかったとしている。
いまの状況2026-06-02 時点続報待ち
6月2日10時時点で、二次被害の連絡は県も受託者も受けていない。県は受託者に、詳しい原因の調べと再発防止の報告を求めており、その内容を踏まえて具体的な再発防止策を検討するとしている。再発防止策の詳細や、補償については、まだ発表されていません。
企業として考えたいこと
自社が外に出す広告やチラシの二次元コードは、公開前に誰がどの端末で読み取って確認しているか、また委託先に任せた部分もその確認が行われているか、説明できるだろうか。
技術的な要約
広島県は2026年6月2日、新病院に係る県民公開セミナーの申込者の個人情報が漏えいした事案を発表した。運営管理業務の受託者であるホームテレビ映像株式会社が、5月29日の中国新聞朝刊（23面）のセミナー広告に、申込用ではなく管理者用確認二次元コードを誤って添付したことが原因である。その結果、既申込者86名分の氏名、住所、電話番号、質問などが申込画面へアクセスした者から閲覧可能な状態となった。閲覧者数は確認できておらず、6月2日10時時点で二次被害の連絡は受けていない。同日中に申込画面の閉鎖、修正確認、申込再開が行われ、県は受託者に詳細な原因究明と再発防止の報告を求めている。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 管理画面/API公表で確認外部からの侵入ではなく、受託者が新聞広告に誤って管理者用確認二次元コードを添付したことで、申込者情報を管理する管理者確認用画面に申込画面へアクセスした者がアクセスできる状態となった。
- 脆弱性
- CVE 非公表公表で確認受託者が本来不要な管理者確認用画面と紐付いた二次元コードを作成し、二次元コード等のテストが未実施であった。県も広告の事前確認時に二次元コードの貼付がなく未確認であった。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 受託者が申込画面を閉鎖し、当該二次元コードからのアクセス・申込を停止した。修正確認後に申込を再開した。期間：2026-05-29 11時頃〜18時30分（約7時間半）
- データ
- おそれ上限 86確定 —人氏名住所電話健康情報その他既申込者86名分の氏名、フリガナ、属性（一般、医療、行政）、年齢区分、住所、電話番号、質問が閲覧可能な状態だった。一部には申込者等の疾病に関する相談内容等が含まれる。閲覧者数は確認できていない。6月2日10時時点で二次被害の連絡はない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 運営管理業務の受託者（ホームテレビ映像株式会社）が制作・運用した申込画面と広告掲載の誤りが原因で、委託元である広島県の事案として公表された。
時系列
- 2026-05-29
- 2026-05-29 10:00受託者が申込者からの連絡で事案を覚知した。県も申込者の指摘を受けた広島市役所を通じて覚知し、受託者へ状況確認を連絡した。2
- 2026-05-29 11:00受託者が申込画面を閉鎖し、当該二次元コードからのアクセス・申込を停止した。2
- 2026-05-29 11:40受託者が来庁して状況を報告した。県は対応状況の随時報告と、被害状況・原因・対応方針の報告を指示した。2
- 2026-05-29 17:30受託者が被害状況・原因等を報告した。県は申込者への電話等による説明・謝罪を指示した。2
- 2026-05-29 18:30県及び受託者が同様の事象が生じないよう修正を確認した上で、申込を再開した。2
- 2026-06-02 10:00この時点で、情報漏洩に伴う二次被害の連絡は県及び受託者とも受けていない。2
- 2026-06-02
- 2026-06-11ScanNetSecurityが本事案を報じた。1
技術解説
事案の概要と対応の経過 事実
広島県は2026年6月2日、新病院に係る県民公開セミナー申込者の個人情報漏えい事案を発表した。運営管理業務の受託者であるホームテレビ映像株式会社が、5月29日の中国新聞朝刊（23面）に掲載したセミナー広告に、誤って管理者用確認二次元コードを添付した。その結果、既申込者の情報がインターネット上の申込画面から閲覧可能な状態となった。事案は5月29日に申込者からの連絡で発覚し、県も申込者の指摘を受けた広島市役所を通じて把握した。受託者は同日11時頃に申込画面を閉鎖し、18時30分に県と受託者が修正を確認したうえで申込を再開した。受託者から申込者へ、電話等による説明・謝罪が行われた。
閲覧可能となった情報の範囲 事実
県の発表によると、セミナーの既申込者86名分の情報が、申込画面へアクセスした者から閲覧可能な状態となっていた。対象の項目は氏名、フリガナ、属性（一般、医療、行政）、年齢区分、住所、電話番号、質問である。申込者情報の一部には、申込者等の疾病に関する相談内容等が含まれる。86名は閲覧可能な状態となっていた人数であり、実際に閲覧された人数は確認できていない。6月2日10時時点で、情報漏洩に伴う二次被害の連絡は、県及び受託者のいずれも受けていない。外部からの侵入や攻撃者の主張については、公表資料から確認できる記載がない。
公表された原因 事実
県は原因として、受託者側と県側の双方の事項を挙げている。受託者については、本来不要な、申込者情報を管理する管理者確認用の画面と紐付いた二次元コードを作成したこと、本来実施すべき二次元コード等のテストが未実施であったことが示された。県については、5月29日掲載の広告について事前に掲載文を確認していたものの、二次元コードの貼付がなく、未確認であったとされている。県は今後の広報で、二次元コード等の申込に係る情報の確実な確認やダブルチェックが必要と考えており、受託者における個人情報の適切な管理への監督・指導を強化するとしている。
構造の整理と公表の見方 解釈
本件は、外部からの攻撃ではなく、制作物の取り違えが情報の閲覧可能状態につながった事案と整理できる。公表された事実からは、管理用画面と申込画面が二次元コードという入口でつながっていたことがうかがえる。新聞広告は掲載後に修正できないため、印刷前の確認が実質的に唯一の防護となる。その確認が掲載文に限られ、二次元コードが対象に入っていなかった点は、受託者と県の双方に共通する論点と考えられる。一方、発覚から画面閉鎖まで約1時間、申込再開まで約9時間という初動は、時刻つきで示されており経過を追いやすい。管理画面側にどのような認証があったかは公表されておらず、評価は限定的にならざるを得ない。
対応
- 封じ込め
- 5月29日11時頃に受託者が申込画面を閉鎖して当該二次元コードからのアクセス・申込を停止した。県と受託者が修正を確認し、18時30分に申込を再開した。受託者から申込者へ電話等による説明・謝罪が行われた。
- 公表の仕方
- 2026年6月2日に広島県（医療機能強化推進課）が公表した。原因として受託者の二次元コード作成・テスト未実施と県の事前確認漏れを挙げた。受託者に詳細な原因究明と再発防止の報告を求め、二次元コード等の確実な確認やダブルチェック、受託者への監督・指導の強化を行うとしている。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 管理者用の画面は、URLや二次元コードを知っていれば開ける状態にしない | 管理画面には必ずログイン認証（ID・パスワードに加え多要素認証）を要求し、可能なら接続元IP制限も併用する。管理画面のURLは公開用のドメイン・パスと分離し、推測や読み取りだけでは到達できない設計にする。 |
| 二次元コードは印刷・掲載の前に、実機で読み取って遷移先を確認する | 校正手順に「実機で読み取り、遷移先が申込用ページであること、ログインなしで個人情報が見えないこと」の確認を必須項目として入れる。結果は画面キャプチャで記録し、承認者が照合する。 |
| 広告・チラシ等の事前確認の対象に、二次元コードとURLを含める | 発注元と受託者の双方で、掲載物チェックリストに文面・QR・URL・問合せ先の項目を設ける。確認者を2人以上にし、QRが入稿物に無い場合も「無いことの確認」を記録する。 |
| 掲載物に誤りが見つかったとき、公開画面をすぐ止められる体制を用意する | 受託者と発注元の連絡先・判断者を一覧化し、画面の閉鎖や無効化を短時間で実行できる手順書を整備する。申込フォームにメンテナンス表示へ切り替える機能を備え、定期的に訓練する。 |
| 申込フォームで集める情報を必要最小限にし、機微な内容の扱いを決めておく | 自由記述欄に疾病等の相談内容が入りうる場合は、収集の要否を見直し、入力欄に注意書きを付ける。保存期間と閲覧権限を定め、管理画面での表示項目も最小限にする。 |
自組織などでの確認項目
- 自組織が運用する申込フォームや管理画面は、ログインなしでURLや二次元コードから開けないか。実際に未ログインの端末から確認できるか。
- 外部に出す広告・チラシ・案内状の確認手順に、二次元コードとURLの読み取りテストは含まれているか。発注元と受託者のどちらが実施するか決まっているか。
- 委託先が制作・運用する画面で誤りが見つかったとき、誰がどの時刻までに閉鎖を判断し、連絡できるか。連絡先は最新か。
未解明点
- 実際に閲覧された人数や、閲覧されたアクセスの記録（ログ）の分析結果は、まだ公表されていない。
- 管理者確認用画面にどのような認証があったか、なぜ認証なしで開ける状態だったかは、公表資料に記載がない。
- 受託者からの詳細な原因究明・再発防止の報告内容と、県が検討する具体的な再発防止策は、まだ発表されていない。
- 個人情報保護に関する当局への報告の有無や、申込者への補償の有無は、公表資料に記載がない。
出典
- 1ScanNetSecurity2026-06-11報道本文確認済
- 2広島県 医療機能強化推進課2026-06-02公式本文確認済