デジタル庁 国家資格等情報連携・活用システムでの個人情報誤送付（資格管理団体職員150人分）
公表日
デジタル庁が他省庁へ送ったファイルに、各資格管理団体の職員150名の氏名などが誤って含まれていました。二次被害は確認されていません。
対象者は？
国家資格等情報連携・活用システムにログイン履歴のある各資格管理団体の職員150名。含まれていたのは氏名、ユーザーID、所属等のコードです。マイナンバーや資格情報は挙がっていないと報じられています。一般の資格保有者への影響は公表されていません。
個別の連絡の有無や方法は公表されていません。詳細はデジタル庁のお知らせで確認できます。
何が起きたのか
2026年7月6日、デジタル庁が他省庁へ送ったシステムの「ログイン履歴」ファイルに、関係のない人の氏名やユーザーIDなどが載っていると、受け取った省庁の担当者から連絡がありました。確認すると、各資格管理団体の職員150名分の情報が含まれていました。デジタル庁は8月7日にこの件を公表しました。
なぜ起きたのか・なぜ広がったのか
送付先の担当課のユーザーだけでファイルを作るべきところ、作業手順書の書き方があいまいだったため作業の誤りが起き、他の資格管理団体のユーザーも含まれたままになったと説明されています。送る側の点検では見つからず、受け取った担当者の気づきで分かったと報じられています。
いまの状況2026-08-25 時点
送付先への確認で、ファイルは第三者に転送されておらず削除済みで、公表時点で二次被害は確認されていません。デジタル庁はチェック体制の強化と作業手順書の点検で再発防止に努めるとしています。個人情報保護委員会への報告一定の個人情報の漏えいが起きた場合、企業は国の機関である個人情報保護委員会への報告と、本人への通知が法律で義務づけられています（2022年4月から）。漏えいの通知が届くのはこのためです。や本人への通知については、まだ発表されていません。
企業として考えたいこと
自社が取引先や他部署に渡すファイルは、宛先に必要な人だけを含んでいるかを、人の目以外の方法でも送る前に確認できる仕組みになっていますか。
技術的な要約
デジタル庁は2026年8月7日、国家資格等情報連携・活用システムの運用で、各資格管理団体の職員150名の個人情報が漏えいしたと公表した。他省庁へ送付した「ログイン履歴」ファイルに、送付先の省庁担当課ユーザー以外の氏名、ユーザーID、所属等のコードが含まれていた。2026年7月6日に送付先の省庁担当者からの連絡で発覚した。原因は、運用の作業手順書の曖昧な記載により、対象外の資格管理団体のユーザーを除外しないままファイルが作成された作業誤りである。ファイルは第三者に転送されず削除済みで、公表時点で二次被害は確認されていない。再発防止として、チェック体制の強化と作業手順書の点検を行うとしている。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 内部者公表で確認外部からの侵入ではなく、ログイン履歴ファイル作成時の作業誤り。公式発表では「運用の作業手順書の曖昧な記載により作業誤りが発生し、他の資格管理団体のユーザが含まれた状態で当該ファイルが作成されておりました」とされている。
- 脆弱性
- CVE 非公表公表で確認製品の脆弱性は挙げられていない。背景として、作業手順書の記載が曖昧で、対象ユーザーを限定する手順が明確でなかったと報じられている。
- 攻撃者
- 特定・主張なし
- ATT&CK
- —
影響
- 業務停止
- なし 業務停止は公表されていない。
- データ
- 確定上限 150確定 150人氏名会員ID従業員情報その他各資格管理団体の職員150名分。項目は氏名、ユーザーID、所属等のコード。マイナンバーや資格情報は挙がっていない（報道）。ファイルは送付先の省庁に渡ったが、第三者への転送は確認されていない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- —
時系列
技術解説
事案の構造：外部攻撃ではなく、ファイル作成時の作業誤り 事実
デジタル庁の公表によると、国家資格等情報連携・活用システムの「ログイン履歴」ファイルを他省庁へ送付した際、送付先の省庁担当課ユーザーだけを対象とすべきところ、他の資格管理団体のユーザーが含まれた状態で作成されていた。ファイルは同システムから抽出した複数のデータを基に作成されたと報じられている。記載されていたのは氏名、ユーザーID、所属等のコードで、ログイン履歴のある各資格管理団体の職員150名分である。外部からの侵入や脆弱性の悪用は、公表にも報道にも挙がっていない。公式発表は原因を「運用の作業手順書の曖昧な記載により作業誤りが発生した」ことと説明している。
発覚の経緯と二次被害の状況 事実
2026年7月6日、ファイルを受け取った送付先省庁の担当者が、関係者以外の個人情報が記載されていることに気づき、デジタル庁へ連絡して事象が確認された。報道では、誤りは送信側の点検では検知されず、受け取った担当者が中身に気づいて初めて発覚したと伝えられている。デジタル庁は送付先に確認し、ファイルは第三者に転送されておらず削除済みであること、2026年8月7日の公表時点で二次被害が確認されていないことを公表した。公表は同日付で、発覚から約1か月後である。マイナンバーや資格情報は挙がっていないと報じられている。
手順書の曖昧さと送信前チェックの観点からの解釈 解釈
公表された事実からは、対象者を絞る作業が手順書上で明確でなかったことと、送信前の点検で誤りが捉えられなかったことが重なっていたと読める。ここから先は解釈である。抽出したデータを結合して絞り込む作業では、除外条件の指定が一箇所抜けるだけで、見た目は正常なファイルができ上がる。そのため、手順の明確化に加えて、出力結果が想定した所属・団体だけになっているかを機械的に確認する仕組みがあれば、受け手に頼らず検知できた可能性がある。ただし、実際の点検体制や作業内容の詳細は公表されておらず、個別の運用の良否は判断できない。
公表内容の評価と未確認の点 解釈
公表文は、原因、対象人数、項目、二次被害の有無、再発防止策を簡潔に示しており、関係者への謝罪も含まれている。一方でInnovatopiaは、公表文に個人情報保護委員会への報告や本人への通知の記載がないと指摘している。同媒体は、行政機関の長等には本人の数が100人を超える漏えい等で施行規則43条4号に基づく報告が求められると説明している。本件は150名で、この基準の人数を上回る。ただし、報告の有無は公表されておらず、実施されたかどうかはここでは判断できない。記載がないことと、実施していないことは別である。作業手順書の具体的な改訂内容や、チェック体制の中身も公表されていない。
対応
- 封じ込め
- 送付先に確認し、当該ファイルが第三者に転送されておらず削除済みであることを確認した。公表時点で二次被害は確認されていない。
- 公表の仕方
- 2026年8月7日にデジタル庁が「職員の個人情報の漏えいについて」を公表した。原因、対象150名、項目、二次被害の有無、再発防止策（チェック体制の強化、作業手順書の点検）を記載し、関係者に謝罪した。発覚の2026年7月6日から公表まで約1か月である。
- 当局対応
- 個人情報保護委員会への報告については公表文に記載がない（Innovatopiaの指摘）。行政機関の長等は、本人の数が100人を超える漏えい等で施行規則43条4号に基づく報告が求められる。
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 対象者を絞って作るファイルは、手順書の曖昧さが出力の誤りに直結する。 | 抽出条件を手作業ではなくスクリプトやクエリとして固定し、レビュー済みのものを手順書から参照する。手順書には除外条件を具体的な項目名と値で書く。 |
| 誤りが送信側の点検で検知されず、受け取った側の気づきで発覚した。 | 外部へ出す前に、出力ファイルの所属・団体コードの一覧が宛先の想定集合と一致するかを自動検証し、不一致なら送付を止めるゲートを入れる。 |
| 外部提供ファイルには、宛先が必要としない列や行が混ざりやすい。 | ログ類を提供する際は、必要な列だけを出力するホワイトリスト方式にする。氏名など個人を特定する項目はコードへの置換や除外を標準にする。 |
| 漏えい後の報告・通知の有無が公表文から読み取れないと、受け手に疑問が残る。 | インシデント対応手順に、規制当局への報告要否の判定基準（人数・項目）と、本人通知・公表文への記載項目のチェックリストを組み込む。 |
| 送付先の削除確認や転送有無の確認が、被害拡大の判断材料になった。 | 誤送付時の初動として、受領者への削除依頼、転送有無の確認、確認結果の記録を定型の手順にし、確認日時を残す。 |
自組織などでの確認項目
- 自組織で他部署や外部へ渡すログ・名簿ファイルの作成手順書に、対象者を絞る条件が具体的に書かれているか。担当者によって解釈が分かれる記述はないか。
- 外部提供ファイルの内容が宛先の想定範囲に収まっているかを、送付前に人以外の仕組みで確認できているか。
- 誤送付が見つかった際、受領者への削除依頼、転送有無の確認、規制当局への報告要否の判断を、誰がどの順で行うか決まっているか。
未解明点
- 個人情報保護委員会への報告や、対象の職員・各資格管理団体への通知が行われたかどうかは、公表文に記載がなく不明である。
- ファイルの作成・送付日と、送付先の省庁名、作業手順書の具体的な改訂内容、強化するチェック体制の中身は公表されていない。
出典
- 1＠IT（ITmedia）2026-08-11報道本文確認済
- 2Innovatopia2026-08-11報道本文確認済
- 3ScanNetSecurity2026-08-25報道本文確認済
- 4デジタル庁2026-08-07公式本文確認済