東京消防庁の委託先（レベルエンター）への不正アクセスによる採用試験論文等漏えい懸念
公表日
東京消防庁は、採用試験の採点業務を委託している企業のサーバーが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。を受け、過去の試験論文データなど最大198件が外部へ漏えいした可能性があると発表しました。現時点で情報の悪用や試験合否への影響は確認されていません。
対象者は？
過去の採用試験で論文添削サービスの導入試験に利用された答案（最大198件。うち1件に職員氏名が記載されており、その他に個人情報の記載はありません）
東京消防庁公式ウェブサイトのお知らせをご確認ください（一般の受験者や利用者側での個別確認手続きは案内されていません）。
何が起きたのか
2026年10月21日、東京消防庁が採用試験論文の採点などを委託している株式会社レベルエンターの自社サーバーで不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。が判明し、翌22日に東京消防庁へ報告されました。同庁が論文添削サービスの導入試験のために提供していた過去の採用試験論文答案の画像や添削結果計198件のほか、人事課のメールアドレスや委託先サイトのログイン用アカウント名・パスワードが外部へ漏えいしたおそれがあります。
なぜ起きたのか・なぜ広がったのか
採点業務の委託先であるレベルエンターのサーバーが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。を受けたことによって発生しました。委託先サーバーに侵入された具体的な原因や手口は公表されていません。また、添削サービスの導入検証を行う目的で過去の試験答案データが委託先サーバー上に置かれていたことが流出懸念につながりました。
いまの状況2026-10-28 時点続報待ち
委託先において対象サーバーの停止と新サーバーへの移行が行われました。東京消防庁は、提供したデータが導入試験用であったため実際の採用試験の合否への影響はないことを確認しており、現時点で情報の不正な持ち出しや悪用も確認されていません。委託先では第三者機関による詳細な調査が進められています。
企業として考えたいこと
新しいITツールや外部サービスの試用・導入検証を行う際、検証用の環境に本番の実データや過去の業務データをそのまま渡していませんか？
技術的な要約
東京消防庁は2026年10月27日、採用試験論文の採点業務などを委託している株式会社レベルエンターの自社サーバーが不正アクセスを受け、情報が外部に漏えいした可能性があると発表した。委託先サーバーへの不正アクセスは10月21日に判明し、翌22日に東京消防庁へ報告された。漏えいした可能性があるのは、論文添削サービス導入試験のために提供していた過去の採用試験論文答案の画像や添削結果計198件（うち1件に職員氏名が記載）のほか、人事課のメールアドレスや委託先サイトのログイン情報である。実際の採用試験合否や業務への影響はないことが確認されており、現時点で情報の不正持ち出しや悪用の事実は確認されていない。委託業者側では対象サーバーの停止と新サーバーへの移行を行い、第三者機関による調査が進められている。
攻撃の分類
- 侵入口
- 委託先経由公表で確認東京消防庁が採点業務を委託している株式会社レベルエンターの自社サーバーが不正アクセスを受けた。委託先サーバーへの具体的な侵入経路や脆弱性は公表されていない。
- 脆弱性
- CVE 非公表不明不正アクセスを受けた委託先サーバーの脆弱性や原因製品は公表されていない。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 論文添削サービスの導入試験のために提供したデータであり、実際の採用試験合否や実施への影響はないことが確認されている。
- データ
- おそれ上限 198確定 —件業務データ氏名従業員情報メール平文PW過去の採用試験論文答案の画像および添削結果198件（うち1件に東京消防庁職員の氏名記載あり）。また人事部人事課のメールアドレス、委託業者サイトログイン用のアカウント名・パスワードが漏えいした可能性がある。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 採用試験論文の採点業務委託先である株式会社レベルエンター（東京都港区）の自社サーバーが不正アクセスを受けたことにより、東京消防庁が提供していたデータに漏えいのおそれが生じた。
時系列
- 2026-04東京消防庁が株式会社レベルエンターへ採用試験論文の採点委託を開始1
- 2026-10-21
- 2026-10-22レベルエンターから東京消防庁へ不正アクセスの発生について報告5
- 2026-10-27東京消防庁が業務委託業者への不正アクセスによる過去の採用試験論文等漏えいのおそれ（198件）を公表5
- 2026-10-27
- 2026-10-27委託先において不正アクセスを受けたサーバーの停止および新サーバーへの移行が実施されたことが明らかにされる5
- 2026-10-27委託先による本事案の公表および第三者機関による調査の実施方針が公表される5
- 2026-10-28時事通信などのメディアがサイバー攻撃・不正アクセス関連ニュースとして報道4
技術解説
委託先サーバーへの不正アクセスと流出懸念の経緯 事実
東京消防庁は2026年10月27日、採用試験論文の採点業務などを委託している株式会社レベルエンターの自社サーバーが不正アクセスを受け、保有していた情報が外部に漏えいした可能性があると公表した。委託先における不正アクセスは2026年10月21日に判明し、翌22日に東京消防庁へ報告が行われた。漏えいした可能性があるデータは、論文添削サービスの導入試験のために提供していた過去の採用試験論文答案の画像や添削結果計198件である。この198件のうち1件には東京消防庁職員の氏名が記載されていたが、その他に個人情報の記載は確認されていない。また、答案データに加えて東京消防庁人事部人事課のメールアドレスや、委託先サイトへログインするためのアカウント名およびパスワードも漏えいした可能性があるとされている。
影響範囲の限定と委託先による初動対応 事実
本事案における影響範囲について、東京消防庁は提供したデータが論文添削サービスの導入試験目的であったことから、実際の職員採用試験の合否や実施への影響はないことを確認していると説明している。また、委託先事業者からは、現時点で東京消防庁の情報が外部へ不正に持ち出された事実は確認されておらず、本件情報が悪用された事実も確認されていないとの報告がなされている。委託先であるレベルエンターにおいては、事案判明後に不正アクセスを受けた対象サーバーの停止および新サーバーへの移行措置が講じられた。さらに、委託先自身による本事案の公表を行うとともに、原因究明や被害状況の把握に向けて第三者機関による調査が進められている。
PoC・導入検証環境における実データ運用のリスク 解釈
本事案では、本格運用中の本番業務データではなく、論文添削サービスの導入検討や試験運用のために過去の試験答案データが委託先へ提供されていた。新技術や外部ツールの導入検証（PoC）では、機能の有効性を検証する目的で実務データがそのまま提供されるケースが散見される。しかし、検証用環境や委託先開発環境は、本番環境と比べてアクセス制御や通信監視、暗号化などのセキュリティ統制が手薄になりやすい傾向がある。検証に実データを利用する場合には、事前に氏名や個人識別情報を不可逆的にマスキング・匿名化する措置や、検証完了後にデータを速やかに消去させる運用ルールを契約と技術の両面で徹底することがリスク低減に不可欠であったと考えられる。
委託先ポータル等の管理用認証情報における保護対策 解釈
公表内容では、試験データのみならず、委託元人事課のメールアドレスや委託先サイトのログイン用アカウント名・パスワードの漏えい懸念も示されている。委託先サービスへアクセスするための認証情報が外部に流出した場合、攻撃者によるサービスへの不正ログインやデータ改ざん、あるいは委託元組織へのなりすましメール送信用途など、二次被害へと発展する危険性がある。外部委託サービスを利用する際には、単なるID・パスワードによる認証にとどまらず、多要素認証（MFA）の導入や接続元IPアドレス制限を課すことが重要となる。また、委託元としても委託先が認証情報を安全に保管・処理しているかを定期的に確認するガバナンス体制が求められる。
対応
- 封じ込め
- 業務委託業者（レベルエンター）において不正アクセスを受けたサーバーの停止および新サーバーへの移行を実施した。
- 公表の仕方
- 東京消防庁が2026年10月27日に公式発表を実施。委託業者側でも事案の公表を実施した。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| PoCやツール導入試験における実データの利用制限とマスキングの徹底 | 新規ツールやサービスの導入検証（PoC）においては実データの利用を原則禁止とし、検証用ダミーデータ生成ツールを用いるか、実データを利用する場合は氏名・識別情報を不可逆的にマスキング・匿名化するパイプラインを必須化する。 |
| 委託先ポータルサイト・管理システムにおける多要素認証（MFA）の強制 | 委託先が提供するWebポータルやデータ共有サイトへのアクセスには、ID・パスワードのみの認証を禁止し、TOTPやFIDO2による多要素認証（MFA）および送信元IPアドレス制限を実装・適用する。 |
| 委託先における受託データの保持期限設定と消去証明の義務付け | 試験運用や業務委託のために預託したデータについて、目的完了後の確実な削除を契約条項に盛り込むとともに、委託先からデータ消去完了の証明書やログ提出を求めるワークフローを構築する。 |
| 委託先サーバーおよび外部接続環境に対するセキュリティ水準の確認 | 委託先事業者が運用する外部公開サーバーについて、定期的なセキュリティチェックシートの回収にとどまらず、外部アタックサーフェス管理（ASM）等を通じて意図しないポート開放や既知の脆弱性が放置されていないか確認する運用を導入する。 |
自組織などでの確認項目
- 自組織で外部サービスや新ツールの導入検証（PoC）を実施する際、本番データや個人情報を含むデータを匿名化せずに委託先へ渡していないか。
- 業務委託先が提供する専用ポータルやデータ受領システムにおいて、多要素認証（MFA）の設定やアクセス元の制限が適切に施されているか。
- 検証目的や過年度業務のために委託先へ提供したデータが、利用終了後も委託先サーバー内に残存していないか確認・監査できているか。
未解明点
- レベルエンターの自社サーバーへの不正アクセスは、どのような侵入経路（公開サーバーの脆弱性、管理画面の認証不備など）によって引き起こされたのか。
- 委託先サーバーに保存されていた論文答案画像や人事課のアカウント情報・パスワードは、保存時に暗号化などの保護措置が施されていたのか。
出典
- 1TBS NEWS DIG Powered by JNN2026-10-27報道本文確認済
- 2NHK2026-10-27報道本文確認済
- 3TBS NEWS DIG報道本文確認済
- 4時事通信2026-10-28報道本文確認済
- 5東京消防庁2026-10-27公式本文確認済