埼玉県学事課の情報公開文書におけるマスキング不備による個人情報漏えい（延べ536名）
公表日
埼玉県総務部学事課が情報公開請求で開示した電子ファイルで、黒塗り部分が操作により読み取れる状態でした。大宮の専門学校2校の学生、延べ536名分の氏名などが対象です。
対象者は？
令和2年度から令和6年度に大宮医療秘書専門学校と大宮ビューティ＆ブライダル専門学校に在籍した学生のうち、授業料等減免の対象者で、延べ536名です。対象の情報は、学科、氏名、学年、入学月、入学金、授業料、減免の区分や金額、学籍に関する情報などです。住所・電話番号などの連絡先は含まれません。
県の公式発表で対象の範囲を確認できます。問合せ対応は県で行うと、県は2校に伝えています。
いますぐできること
- 自分が対象の学校・年度に当てはまる可能性がある人は、埼玉県の公式発表を読んで内容を確認する。
- 問合せがある場合は、県が対応すると案内されているので、県の発表の内容に沿って連絡する。
何が起きたのか
埼玉県総務部学事課は、2025年12月19日付で、情報公開請求に基づく文書を電子ファイルで開示しました。この文書では、見せない部分を黒く隠す処理が不完全でした。2026年8月27日に、文書を受け取った人から、ファイルを操作すると隠した部分が読み取れるという連絡があり、問題が分かりました。県は請求者に謝罪し、第三者への提供がないことを確認して、ファイルを削除してもらいました。そのうえで2校に説明して謝罪し、個人情報保護委員会に速報を行い、9月10日に発表しました。
なぜ起きたのか・なぜ広がったのか
県は原因について、令和5年度に同じような事案があり、適切な隠し方を知らせていたものの、課内での周知が十分に徹底されていなかったためと説明しています。そのため、適切ではない方法で隠す処理をしたまま、文書を提供してしまいました。
いまの状況2026-09-10 時点続報待ち
9月10日の発表時点で、県は、第三者による個人情報の不正使用などは確認されていないとしています。再発防止として、どんな操作でも隠した部分が見えない処理方法を周知徹底し、複数の職員で確認することを公表しています。補償などについては、まだ発表されていません。
企業として考えたいこと
あなたの会社が外部に渡す電子ファイルで、見せない部分を隠す処理は、元のデータが残らない方法で行われていると、確かめられますか。
技術的な要約
埼玉県総務部学事課が情報公開請求に基づき開示した電子ファイルについて、一定の操作をすることで個人情報を含む不開示情報（マスキング部分）が閲覧可能な状態であったことが判明した。2026年8月27日、2025年12月19日付で開示した文書を受領した人からの情報提供で発覚した。対象は令和2〜6年度に大宮医療秘書専門学校および大宮ビューティ＆ブライダル専門学校に在籍した授業料等減免対象の学生で、延べ536名である。原因は、令和5年度の同種事案を受けた適切なマスキング手法の周知が課内で不十分だったことである。県は2026年9月10日に報道発表し、現在のところ第三者による個人情報の不正使用等は確認されていない。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明公表で確認外部からの侵入ではなく、不適切な手法で不開示処理を行った電子ファイルを情報公開請求者に提供したことによる漏えい。公式には「一定の操作をすることで」マスキング部分が閲覧可能と記載されている。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
- —
影響
- 業務停止
- なし 業務停止は公表されていない。
- データ
- 確定上限 536確定 536人氏名その他対象は令和2〜6年度に大宮医療秘書専門学校・大宮ビューティ＆ブライダル専門学校に在籍した、授業料等減免の対象学生で延べ536名。内容は学科、氏名、学年、入学月、入学金、授業料（年額）、授業料減免の支援区分（対象月数、金額）、年間の授業料等減免額、学籍に関する情報等。住所・電話番号などの連絡先は含まれない。第三者による不正使用等は確認されていない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- —
時系列
- 2025-12-19学事課が情報公開請求に基づき、マスキングが不完全な電子ファイルを開示した。2
- 2026-08-27
- 2026-09-10請求者への謝罪と第三者提供がないことの確認、当該電子ファイルの削除確認が完了した。2
- 2026-09-10漏えいがあった2校に経緯を説明し謝罪、問合せ対応は県で行う旨を伝えた。2
- 2026-09-10個人情報保護法第68条第1項に基づく個人情報保護委員会への速報を行った。2
- 2026-09-10
- 2026-09-10再発防止策として、いかなる操作でもマスキング部分が閲覧できない処理方法の周知徹底と、複数職員による確認の徹底を公表した。2
- 2026-09-29ScanNetSecurityが本件を報じた。1
技術解説
事案の概要と発覚の経緯 事実
埼玉県総務部学事課が情報公開請求に基づき開示した文書（電子ファイル）について、一定の操作をすることで、個人情報を含む不開示情報（マスキング部分）が閲覧可能な状態であったことが判明した。2025年12月19日付で開示した文書を受領した人から、2026年8月27日に、ファイルを操作するとマスキング部分の情報が読み取れるとの情報提供があり、発覚した。県は、当該文書（電子ファイル）の削除が確認できたため、2026年9月10日に報道発表した。発覚から公表までの間に、削除の確認という手順が置かれていたことが公式発表から読み取れる。
対象者と漏えいした情報の範囲 事実
対象者は、令和2年度から令和6年度に大宮医療秘書専門学校（さいたま市）および大宮ビューティ＆ブライダル専門学校（さいたま市）に在籍した学生のうち、「大学等における修学の支援に関する法律による授業料等減免」の対象者で、延べ536名とされている。内容は、学科、氏名、学年、入学月、入学金、授業料（年額）、授業料減免の支援区分（対象月数、金額）、年間の授業料等減免額、学籍に関する情報等である。住所・電話番号などの連絡先は含まれないと公表されている。現在のところ、第三者による個人情報の不正使用等の事実は確認されていないとされている。
原因の公表内容と県の対応 事実
県が示した原因は、令和5年度に発生した同種の事案を受けて適切なマスキング手法の周知が行われたものの、課内での周知の徹底が不十分だったため、適切ではない手法で不開示処理を行ったまま文書（電子ファイル）を提供してしまったことである。対応として、県は情報公開請求者に謝罪し、第三者への提供がないことを確認するとともに、当該文書を削除してもらった。漏えいがあった2校には経緯を説明して謝罪し、問合せ対応は県で行う旨を伝えた。個人情報保護法第68条第1項に基づく個人情報保護委員会への速報も行った。再発防止策は、いかなる操作でもマスキング部分が閲覧できない処理方法の周知徹底と、複数の職員による確認の徹底である。
見た目の黒塗りと情報の除去の違い 解釈
公式発表は「適切ではない手法」「一定の操作」としか述べておらず、具体的な方法は分からない。そのうえで一般論として、電子文書では画面上の黒塗りや図形の重ね貼りだけでは、元の文字データが文書内に残ることがある。この場合、見た目では隠れていても、操作によって読み取れる状態になり得る。紙の黒塗りと同じ感覚で作業すると、この種の差が見落とされやすいと考えられる。本件がこの類型に当たるかどうかは公表情報からは確認できず、あくまで推測である。
過去の同種事案を受けた周知の課題 解釈
県の説明では、令和5年度の同種事案の後に適切な手法の周知は行われていた。それでも再び起きたことから、手法を伝えるだけでは、担当者が実際に守る状態までは確保しにくい可能性がある。人事異動や担当替わりのある部署では、周知した内容が引き継がれにくいことも考えられる。また、今回の再発防止策には複数職員による確認が含まれる。ただし、確認者が画面上の見た目だけを見るなら、同じ不備を見逃しかねない。確認の方法まで決めておくことが、実効性を左右すると思われる。これらは公表内容からの推測であり、課内の実際の運用は示されていない。
公表の特徴と評価の留意点 解釈
公式発表は、発覚日、対象期間、人数、情報の項目、連絡先が含まれないこと、原因、再発防止策を具体的に示している。対象者が分かる範囲で整理されている点は、利用者が自分に関係するかを判断する助けになると思われる。一方で、発覚の8月27日から公表の9月10日までの間に、関係者への連絡や調査がどの順で進んだかは詳細に書かれていない。この期間の長短を評価するには、公開されていない事実が足りない。県は削除確認後の公表としており、この説明を踏まえて慎重に受け止める必要がある。
対応
- 封じ込め
- 情報公開請求者に謝罪し、第三者への提供がないことを確認のうえ当該電子ファイルを削除してもらった。漏えいがあった2校に経緯を説明し謝罪した。再発防止として、閲覧不能な処理方法の周知徹底と複数職員での確認を徹底する。
- 公表の仕方
- 2026年9月10日に埼玉県が報道発表。発覚は8月27日で、削除確認後に公表した。
- 当局対応
- 個人情報保護委員会（個人情報保護法第68条第1項に基づく速報）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 電子ファイルの黒塗りは、見た目の加工ではなく元データの除去で行う必要がある。 | 不開示処理は、元文書を画像化（ラスタライズ）したPDFを新規出力する手順に統一する。図形の重ね貼りや文字色変更のみの加工は手順書で禁止する。 |
| 周知しただけでは再発を防げないため、守られているかを仕組みで確かめる必要がある。 | 開示前チェックリストに処理手法の確認欄を設け、承認ワークフロー上で記入を必須にする。年1回、担当者に実際の処理を行わせて確認する演習を実施する。 |
| 複数職員による確認は、確認の観点を決めないと形だけになりやすい。 | 確認者が、テキスト選択・検索・メタデータ表示・レイヤー表示の4点で、マスキング部分が読み取れないことを確認する手順を定める。結果を記録として残す。 |
| 開示前の機械的な検査を入れると、人の見落としを減らせる。 | 開示用PDFから抽出したテキストに、不開示とした氏名等の文字列が含まれないか照合するスクリプトを、開示前の必須工程にする。画像化済みでテキスト層が無いことも検査する。 |
| 過去の同種事案の教訓は、担当替わりがあっても引き継がれる形で残す必要がある。 | 過去事案の原因と正しい手順を、課内の手順書とテンプレートに組み込む。異動時の引き継ぎ項目に含め、新任者の研修で確認する。 |
自組織などでの確認項目
- 自組織が外部へ渡す電子ファイル（開示文書、提出資料、メール添付など）で、黒塗りや非表示の処理をしている業務はどこか。その処理は、元データが残らない方法で行われているか。
- 過去に同種のミスがあった場合、その後の対策は手順書やテンプレートに反映されているか。担当者が替わっても守られるか、実際のファイルで確認できるか。
- 外部へ出す前の複数人確認では、確認者が何を、どの方法で見るかが決まっているか。確認結果は記録として残っているか。
未解明点
- 公式発表が「一定の操作」とだけ書いている、具体的な操作方法と不適切だった処理手法の内容は何か。
- 情報提供者以外の請求者や閲覧者に、同様の電子ファイルが渡っていないかの確認範囲は、どこまで行われたのか。
- 令和5年度の同種事案の件数や内容、その後の周知の具体的な方法は、どのようなものだったのか。
- 対象となった学生本人への個別の通知や問合せ窓口の案内は行われるのか。
出典
- 1ScanNetSecurity2026-09-29報道本文確認済
- 2埼玉県 総務部 学事課2026-09-10公式本文確認済