さいたま市公共施設予約システムへの不正アクセス（鈴谷公民館の委託業務従事者が8団体のID・パスワードを取得、15件の不正予約）
公表日
さいたま市が委託する鈴谷公民館の業務従事者1名が、施設予約システムの8団体分のIDとパスワードを不正に取得し、そのうち4団体のIDを使って計15件の予約を行っていたと発表されました。
対象者は？
鈴谷公民館の登録団体のうち8団体のIDとパスワードが取得され、うち4団体で不正に使われました。これ以外の団体が対象かどうかや、個人情報が流出したかどうかは、ここで確認できる情報には書かれていません。
鈴谷公民館の登録団体の方は、身に覚えのない抽選予約の申込みや取消がないか、予約システムの履歴を確認してください。心当たりがあれば、さいたま市デジタル改革推進部へ申し出てください。個別の連絡の有無は、発表資料から確認できません。
いますぐできること
- 鈴谷公民館の登録団体の方は、予約システムの予約・取消の履歴を確認する
- 身に覚えのない操作があれば、さいたま市デジタル改革推進部に連絡する
- 同じパスワードを他のサービスでも使っている場合は、変更を検討する
何が起きたのか
さいたま市は、夜間や休日の公民館の貸出業務を公益社団法人さいたま市シルバー人材センターに委託していました。2022年10月から2024年9月まで鈴谷公民館で働いていた1名が、登録団体の申請書を見て、計8団体のIDとパスワードを取得しました。退任後の2024年10月以降、そのIDで多目的ホールの抽選に申し込み、当選後に取り消して空いた枠を自分の団体で予約し、2025年4月から2026年1月利用分まで計15件の予約をしていました。2025年4月24日に1団体が身に覚えのない操作を市に申し出て、市が調べた結果、2025年12月15日に本人の証言が得られました。市は2026年1月23日に発表しました。
なぜ起きたのか・なぜ広がったのか
市の説明では、利用者登録カードを開館時間内にいつでも渡せるよう、申請書類とセットで事務室内のレターケースに保管しており、カードのIDと申請書のパスワードを同時に確認できる状態だったことが原因です。
いまの状況2026-02-12 時点続報待ち
2026年2月12日時点で、市は警察署（浦和西警察署）への相談を続けています。受託事業者には2026年1月23日から2月22日まで1か月間の入札参加停止措置がとられました。再発防止として、パスワードを書いた書類を別のキャビネットに分けて保管し、守秘義務の指導・監督を徹底するとしています。予約機会を失った団体への補償などは、まだ発表されていません。
企業として考えたいこと
自社でも、委託先の従事者が見られる場所に、顧客や取引先のIDとパスワードが一緒に置かれていないでしょうか。
技術的な要約
さいたま市は2026年1月23日、鈴谷公民館の委託業務従事者による公共施設予約システムへの不正アクセスを発表した。従事者は2022年10月1日から2024年9月30日の間、利用者登録・変更申請書を不正に閲覧し、計8団体のID・パスワードを取得した。退任後の2024年10月以降、そのIDで抽選予約に申し込み、当選後に取り消して空いた枠を自らの団体で予約する手法で、2025年4月から2026年1月利用分まで計15件を予約していた。不正使用された団体は4団体。2025年4月24日の1団体からの申出を端緒に調査が進み、2025年12月15日に本人の証言を得て発覚した。市は浦和西警察署に相談しており、受託事業者には1か月間の入札参加停止措置を講じた。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 内部者公表で確認公式発表によれば、委託業務従事者が業務中に利用者登録・変更申請書を不正に閲覧し、ID・パスワードを取得した。利用者登録カードと、パスワードが記載された申請書類がセットで事務室内のレターケースに保管されており、IDとパスワードを同時に確認できる状態だった。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし システム停止や業務停止は公表されていない。不正な抽選予約・取消により、正規の登録団体の予約機会に影響が生じた。
- データ
- 確定上限 —確定 —会員ID平文PWID・パスワードを不正取得された鈴谷公民館登録団体は8団体（うち不正使用4団体）、不正予約は15件（2025年4月〜2026年1月利用分）。単位が団体・件のため件数欄には入れていない。個人情報の流出は発表に記載がない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 市が委託する時間外管理業務（夜間・休日の施設貸出）の従事者による不正。受託事業者は公益社団法人さいたま市シルバー人材センター。委託先システムの侵害ではない。
時系列
- 2022-10-01鈴谷公民館での時間外管理業務への従事が始まる（従事期間は2022-10-01〜2024-09-30）。2
- 2022-10従事期間中に、公民館登録団体の利用者登録・変更申請書を不正に閲覧し、計8団体のID・パスワードを取得（取得日の詳細は非公表）。2
- 2024-09-30従事期間が終了し、委託業務従事者が退任。2
- 2024-10退任後、不正取得したID・パスワードで鈴谷公民館多目的ホールの抽選予約への申込みを開始。当選後に取り消し、空いた枠を自らの団体で予約する手法。2
- 2025-042025年4月利用分から2026年1月利用分まで、計15件の不正予約が行われる。2
- 2025-04-241団体が、身に覚えのない抽選予約申込みや取消操作があるとデジタル改革推進部に申し出る。2
- 2025-12-15アクセス記録調査や現地調査を踏まえ、委託業務従事者本人から証言を得て事案が発覚。2
- 2026-01-23
- 2026-01-23不正アクセス禁止法違反として浦和西警察署に相談。財政局契約管理部が受託事業者に1か月間の入札参加停止措置を開始。2
- 2026-02-12ScanNetSecurityが本事案を報道。1
- 2026-02-22受託事業者への入札参加停止期間の終了日。2
技術解説
事案の経緯と規模 事実
さいたま市は2026年1月23日、鈴谷公民館の委託業務従事者による公共施設予約システムへの不正アクセスを発表した。市は夜間・休日の職員不在時の施設貸出業務を時間外管理業務として公益社団法人さいたま市シルバー人材センターに委託していた。2022年10月1日から2024年9月30日の間に鈴谷公民館で従事していた1名が、登録団体提出の「利用者登録・変更申請書」を不正に閲覧し、計8団体のID・パスワードを取得した。退任後の2024年10月以降、そのIDで多目的ホールの抽選予約に申し込み、当選後に取り消して空いた枠を自らの団体で予約する手法で、2025年4月から2026年1月利用分まで計15件の予約をしていた。不正使用された団体は8団体のうち4団体である。
原因と発覚の経過 事実
市は原因を、利用者登録カードを開館時間内にいつでも交付できるよう申請書類とセットで事務室内のレターケースに保管しており、カードのIDと申請書記載のパスワードを同時に確認できる状態になっていたこととしている。発覚の端緒は2025年4月24日で、1団体が身に覚えのない抽選予約申込みや取消操作があるとデジタル改革推進部へ申し出た。同部がアクセス記録調査や現地調査等を行い、その結果を踏まえて2025年12月15日に委託業務従事者本人から証言を得たことで事案が発覚した。数値は、取得された団体が8、不正使用が4団体、不正予約が15件である。
市と関係者の対応 事実
市は発覚後、不正アクセス行為の禁止等に関する法律に違反するものとして浦和西警察署に相談しており、今後の捜査に向けて相談を継続するとしている。財政局契約管理部は、受託事業者の公益社団法人さいたま市シルバー人材センターに対し、2026年1月23日から2月22日までの1か月間の入札参加停止措置を講じた。再発防止策として、受託事業者への守秘義務遵守の指導・監督を徹底するとともに、パスワードを記載した申請書類をファイリングキャビネットに分離保管し、IDとパスワードを同時に確認できないようにする。
構造上の特徴（解釈） 解釈
本件は外部からの侵入ではなく、業務上の正規の立場で書類に触れられる内部者が認証情報を得た事案と読める。ID・パスワードが紙で一組になって保管されていたことで、閲覧の機会がそのまま認証情報の取得につながった点が構造の核心だと考えられる。また、従事の終了後も取得済みの認証情報が使い続けられたことから、人の入れ替わりに合わせた認証情報の見直しの仕組みが、運用上の論点になり得る。申出から本人証言まで約8か月を要した点は、予約の取消といった操作が通常利用と区別しにくく、アクセス記録の突合に時間を要した可能性を示唆するが、公表資料だけでは断定できない。
対応
- 封じ込め
- 申請書類（パスワード記載）をファイリングキャビネットに分離保管し、IDとパスワードを同時に確認できないようにする。受託事業者への守秘義務遵守の指導・監督を徹底する。受託事業者には2026年1月23日から2月22日まで入札参加停止措置を講じた。
- 公表の仕方
- 2026年1月23日に市が発表し、記者向け提供資料としても公表した。発覚は2025年12月15日。
- 当局対応
- 浦和西警察署（不正アクセス禁止法違反として相談、今後の捜査に向け相談を継続）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| IDとパスワードを同じ紙面・同じ保管場所に置くと、閲覧できる人が認証情報を丸ごと得られる | 紙の申請書にパスワードを書かせない設計にする。やむを得ない場合は初期パスワードを利用者本人へ封緘で渡し、初回ログイン時に変更を強制する。書類は施錠キャビネットで分離保管し、閲覧者を限定する。 |
| 委託業務従事者の退任後も、在任中に触れた認証情報が有効なままだった | 従事者の入れ替わりを契機に、その業務で取り扱った認証情報の一括再設定を運用手順に組み込む。委託契約に退任時チェックリストと実施報告を盛り込む。 |
| 取消と再予約という正規操作の組み合わせは、通常の利用と区別しにくい | 予約システムで、同一の予約枠の取消直後に別団体で予約された事象や、同一IPからの複数団体ログインを検知するルールを追加する。ログインIP・時刻を保持し、定期的に突合する。 |
| 利用者からの申出がなければ発覚が遅れる可能性がある | ログイン・予約・取消の通知メールを登録団体に送る。管理画面で操作履歴を団体自身が確認できるようにし、身に覚えのない操作の問合せ窓口を明示する。 |
| 委託先従事者への権限・情報アクセスの範囲が、業務に必要な範囲を超えていた可能性がある | 貸出業務に必要な情報だけを参照できるよう、書類・システム権限を最小化する。閲覧記録を残し、委託先に守秘義務の遵守状況を定期報告させる。 |
自組織などでの確認項目
- 自組織で、利用者や取引先のIDとパスワードが書かれた紙や台帳は、誰が閲覧できる場所に保管されていますか。同じ場所に一緒に置かれていませんか。
- 委託先や派遣の従事者が退任・契約終了するとき、その人が触れた認証情報や権限を無効化・再設定する手順と確認者は決まっていますか。
- 自組織のシステムで、予約や申込みの取消と再登録のような正規操作が不自然に繰り返されたとき、ログから気づける仕組みや、利用者が身に覚えのない操作を通報できる窓口はありますか。
未解明点
- 不正取得された8団体のうち、不正使用されなかった4団体を含め、ID・パスワードの変更など個別の対応や通知がどのように行われたかは、公表資料からは確認できない。
- 不正な取消により予約機会を失った正規の登録団体に対する救済や補償の有無は、まだ発表されていない。
- 取得されたID・パスワードが予約以外の用途に使われたかどうか、また他の公民館や施設で同様の保管状況がなかったかは、公表されていない。
- 警察による捜査の結果や、従事者本人に対する処分・法的措置の有無は、公表されていない。
出典
- 1ScanNetSecurity2026-02-12報道本文確認済
- 2さいたま市2026-01-23公式本文確認済
- 3さいたま市公式本文確認済