2025年日本国際博覧会協会の再委託先Microsoft 365への不正アクセス（関係者・イベント出演者の個人情報漏えいのおそれ）
公表日
大阪・関西万博を運営した協会の再委託先で、メールのシステムが不正にアクセスされ、関係者やイベント出演者の個人情報が漏れたおそれがあります。対象人数は発表されておらず、外部への持ち出しも確認されたとは発表されていません。
対象者は？
万博の催事運営の関係者、委託先などの従業員、イベント出演者のうち、再委託先とメールをやり取りした人。氏名・所属・役職・メールアドレス・電話番号、勤務シフト、出演者の写真・台本・動線などが含まれるおそれがあります。一般来場者の個人情報とクレジットカード情報は、含まれていたことは確認されていません。
大阪・関西万博 総合コンタクトセンター（メール contact@expo2025info.jp、電話 0570-200-066、平日9:00～17:00）に問い合わせてください。個別に通知が行われるかどうかは、まだ発表されていません。
いますぐできること
- 協会や万博の関係者を名乗る心当たりのない電話やメールには、すぐに応じず、リンクや添付ファイルを開かないようにする。
- 不安な場合は、総合コンタクトセンター（電話 0570-200-066、平日9:00～17:00）に確認する。
- 自分が関係者や出演者だった場合は、仕事用のメールに届く不審なメッセージに注意し、気になるものは社内の担当者に相談する。
何が起きたのか
2026年5月13日、万博の催事運営を任された会社から仕事の一部を請け負っていた会社（再委託先）の従業員が、海外企業を装ったメールを受け取りました。その後、同社のMicrosoft 365のアカウントが不正にアクセスされたことが確認され、同じ日のうちにアクセスは止められました。この中には、協会の仕事に関係するメールや添付ファイルがあり、関係者やイベント出演者の個人情報が含まれていました。協会は2026年8月20日に公表しました。
なぜ起きたのか・なぜ広がったのか
きっかけは、海外企業を装ったメールだったとされています。ただし、アカウントの情報がどのように盗まれたのか、多要素認証を使っていたかどうかは、まだ発表されていません。協会は、仕事を頼むときに個人情報の管理や、仕事が終わった後の廃棄・消去を義務付けていたと説明しています。万博の閉幕後も、関連するメールが残っていたかどうかは公表されていません。
いまの状況2026-08-20 時点続報待ち
2026年8月20日の時点で、個人情報が悪用されるなどの二次被害は確認されていません。協会は委託先などの安全管理や、使わなくなった個人情報の廃棄状況を確認し、改善を求めるとしています。対象人数、外部への持ち出しの有無、続報は、まだ発表されていません。
企業として考えたいこと
もしあなたの会社の取引先や、その先の再委託先でメールが乗っ取られたら、終わった案件の個人情報がそこに残っていないかを、すぐに確認できますか。
技術的な要約
2025年日本国際博覧会協会は2026年8月20日、催事運営業務の再委託先でMicrosoft 365への不正アクセスが発生し、関係者やイベント出演者の個人情報を含むメールと添付ファイルが対象となった可能性があると公表した。発端は2026年5月13日に再委託先の従業員が海外企業を装うフィッシングメールを受信したことで、同日中に不正アクセスが確認され遮断された。対象の可能性がある情報は、メール送受信者の氏名・所属・役職・メールアドレス・電話番号、委託先従業員の勤務シフトや担当業務、イベント出演者の氏名・肩書・写真・スピーチ原稿・進行台本・動線などである。一般来場者の個人情報やクレジットカード情報が含まれていたことは確認されておらず、外部への持ち出しの確認や対象人数は公表されていない。二次被害は2026年8月20日時点で確認されておらず、協会は委託先等の安全管理措置や個人情報の廃棄状況の確認と改善を求めるとしている。
公開情報が限られている点について
攻撃の分類
- 侵入口
- フィッシング公表で確認協会の公表では、2026年5月13日に再委託先の従業員が海外企業を装うフィッシングメールを受信したことを端緒として、同社のMicrosoft 365アカウントへの不正アクセスが行われた。具体的な認証情報窃取手法やMFAの利用状況などは公表されていない。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 業務停止に関する公表はない。
- データ
- おそれ上限 —確定 —氏名メール電話従業員情報取引先情報業務データ写真メール送受信者の氏名・所属・役職・メールアドレス・メール署名の電話番号等、委託先等の従業員の氏名・勤務シフト・担当業務、見積書・請求書の担当者情報、イベント出演者の氏名・肩書・写真・スピーチ原稿・進行台本・登壇退場動線等が漏えいのおそれ。対象人数は公表されておらず、外部への持ち出しの確認も発表されていない。不正アクセスの対象となった可能性があるのは協会の委託業務に関係するメールと添付ファイルのみで、一般来場者の個人情報やクレジットカード情報が含まれていたことは確認されていない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 協会が委託先に催事施設の統括・運営管理業務及び公式参加者催事業務等を委託し、委託先がその一部を再委託していた。その再委託先のMicrosoft 365アカウントが不正アクセスを受け、協会関係の個人情報を含むメール・添付ファイルが対象となった可能性がある。
時系列
技術解説
攻撃の構造と公表されている経路 事実
協会は催事施設の統括・運営管理業務及び公式参加者催事業務等を委託先に委託し、委託先はその一部を再委託先に再委託していた。2026年5月13日、再委託先の従業員が海外企業を装うフィッシングメールを受信したことを端緒に、同社のMicrosoft 365アカウントへの不正アクセスが再委託先で確認され、同日中に遮断された。不正アクセスの対象となった可能性があるのは、協会の委託業務に関係するメールと添付ファイルのデータのみで、その他のデータへの不正アクセスは確認されていない。具体的な認証情報窃取手法やMFAの利用状況などは公表されていない。協会は2026年8月20日に本件を公表した。
対象となる可能性がある情報と未確認の事項 事実
対象の可能性がある情報は、メール送受信者の氏名・所属・役職・メールアドレス・メール署名の電話番号等、委託先等の従業員の氏名・勤務シフト・担当業務、見積書・請求書の担当者情報、イベント出演者の氏名・肩書・写真・スピーチ原稿・進行台本・登壇退場動線などである。一般来場者の個人情報やクレジットカード情報が含まれていたことは確認されていない。一方、個人情報が実際に外部へ持ち出されたことを確認したとの発表ではなく、対象人数も公表されていない。2026年8月20日時点で二次被害は確認されておらず、協会又は関係者を装う電話・メール等への注意が呼びかけられている。
閉幕後もメールが残っていた可能性（解釈） 解釈
万博は2025年10月13日に閉幕しており、今回の不正アクセスは閉幕から約7カ月後の2026年5月13日である。協会は委託業務終了後の個人情報の廃棄・消去を契約上義務付けていたと説明している。これらを並べると、閉幕後も再委託先のメールボックスに業務メールが残っていた可能性は考えられる。ただし、残っていた期間や理由、契約上の廃棄時期は公表されておらず、あくまで推測にとどまる。協会が今回、廃棄・消去状況の確認を改善要請の項目に挙げている点は、この論点と関係すると読める。メールは添付ファイルごとに蓄積されやすく、台本や動線といった業務データも長く残りうる。これは多くの組織に共通する課題である。
公表時期と情報量の見方（解釈） 解釈
遮断が2026年5月13日、公表が同年8月20日で、間は約3カ月ある。この間に影響範囲の調査や関係者への連絡が進められていた可能性はあるが、調査内容や通知の有無は公表されていない。第1報では、対象情報の種類、一般来場者・カード情報への影響が確認されていないこと、二次被害の有無、問い合わせ窓口が示されており、基本的な情報は整理されている。一方で、対象人数、外部への持ち出しの有無、認証情報窃取の手法、個人情報保護委員会への報告は公表資料では確認できなかった。現時点では調査中で、続報で補われる余地があるため、評価は暫定的なものにとどまる。
対応
- 封じ込め
- 再委託先が2026年5月13日に不正アクセスを確認し、同日中にアクセスを遮断した。協会は委託先等の安全管理措置、インシデント報告体制、再委託先の管理、不要となった個人情報の廃棄・消去状況を確認し、改善を求めるとしている。
- 公表の仕方
- 協会は2026年8月20日に「再委託先における不正アクセス事案による関係者・イベント出演者に関する個人情報の漏えい等に関するご報告とお詫び」を公表した。二次被害は未確認とし、協会又は関係者を装う電話・メール等への注意を呼びかけ、問い合わせ窓口として大阪・関西万博 総合コンタクトセンターを案内した。遮断（5月13日）から公表までは約3カ月ある。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 委託先だけでなく再委託先のメール環境も、個人情報の漏えい経路になりうる。 | 委託契約に再委託先の事前届出を義務付け、再委託先のMicrosoft 365等のテナントについて、MFA必須、レガシー認証の無効化、条件付きアクセスの設定状況を年次で書面確認する。 |
| 業務終了後も、メールと添付ファイルに個人情報が残り続けることがある。 | 案件終了時の廃棄期限を契約に明記し、Exchange Onlineの保持ポリシーやラベルで案件メールを自動削除・アーカイブし、廃棄完了の証跡を委託元へ提出させる。 |
| フィッシングによる認証情報の窃取は、当日のうちに検知・遮断しても影響範囲の確定に時間がかかる。 | サインインログと監査ログ（メールボックス監査、受信トレイルール、OAuth同意）を最低90日以上保存し、不正アクセス時に閲覧・転送された対象を特定できる状態にしておく。 |
| 再委託先で起きたインシデントを、委託元が速やかに把握できる報告ルートが必要である。 | 委託先・再委託先にインシデント発生時の報告期限（例：覚知後24時間以内）と連絡先を契約と運用手順に明記し、年1回は連絡訓練を実施して到達時間を測る。 |
| イベントの台本や動線など、一般の個人情報以外の業務情報にも保護が必要な場合がある。 | 案件で扱う情報を機密区分で分類し、台本・動線などはメール添付ではなく、アクセス権とダウンロード制限を設けた共有基盤で受け渡す運用に切り替える。 |
自組織などでの確認項目
- 自組織の委託先・再委託先は何社あり、各社のメール環境でMFAが有効になっていることを、契約や監査で確認できていますか。
- 終了した案件のメールや添付ファイルが、自組織や委託先に今も残っていないか。廃棄期限を決めて実際に消した記録を、直近の案件で確認できますか。
- 委託先から再委託先でのインシデントの第一報を受ける手順と連絡先は文書化されており、直近1年で連絡が届くかを試しましたか。
未解明点
- 対象となった可能性がある人数と、外部への持ち出し（閲覧や転送を含む）が実際にあったのかどうかは、公表されていない。
- 再委託先がどの手法で認証情報を窃取されたのか、MFAが有効だったのか、また万博閉幕後も該当メールが保管されていた理由は公表されていない。
- 個人情報保護委員会への報告の有無や、対象者への個別通知の状況は、公表資料では確認できない。
出典
- 1セキュリティ対策Lab(合同会社ロケットボーイズ)2026-08-21報道本文確認済
- 2公益社団法人2025年日本国際博覧会協会2026-08-20公式本文確認済