総務省「放送コンテンツ製作取引実態調査」回答用サイトでの他回答者情報の漏えい（漏えい6件確認・おそれ43件）
公表日
総務省の調査の回答用サイトで、他の回答者が保存していた回答ページが表示され、法人の担当者氏名・電話番号・メールアドレスなどが漏れました。漏えいが確認されたのは6件、漏えいのおそれがあるのは43件（合わせて最大49件）です。
対象者は？
総務省の令和7年度「放送コンテンツ製作取引実態調査」の回答依頼先（1,708社）のうち、回答用サイトで他の回答者の一時保存ページが表示された可能性のある方です。漏れた情報は法人の担当者氏名・電話番号・メールアドレスと、企業情報を含む回答内容です。これ以外の情報が含まれるという発表は、今回の出典にはありません。
対象の可能性がある方には、総務省情報流通行政局情報通信作品振興課を通じて説明とお詫びが進められています。心当たりがある場合は、クロス・マーケティングの「放送コンテンツ製作取引実態調査 個人情報お問い合わせ窓口」（平日10:00～17:00）に問い合わせられます。
いますぐできること
- この調査に回答した覚えがある場合は、総務省からの連絡を確認し、不明な点は問い合わせ窓口（平日10:00～17:00）に相談する。
- 自社の担当者あてに、身に覚えのないメールや電話が来ていないか、社内で共有しておく。
何が起きたのか
総務省が行う令和7年度の放送コンテンツ製作取引実態調査では、アンケートに答えるためのウェブサイトが使われていました。このサイトに回答者がログインすると、別の回答者が途中保存していた回答ページが表示されることがありました。表示された内容には、法人の担当者の氏名、電話番号、メールアドレスや、企業情報を含む回答内容がありました。2月6日に総務省とクロス・マーケティングが公表し、回答用サイトは問題が分かった当日中に閉鎖されました。3月19日の続報で、漏えいが6件確認され、連絡が取れないなどの理由で漏えいのおそれが43件あると報告されました。
なぜ起きたのか・なぜ広がったのか
受託事業者が回答用サイトを作る際に、ログイン管理の設定を誤ったことが原因と公表されています。この設定が、他の回答者の途中保存ページが表示されるケースにつながりました。誤りの具体的な内容や、いつから起きていたかは、まだ発表されていません。
いまの状況2026-03-19 時点続報待ち
2026年3月19日時点で、漏えい確認6件、漏えいのおそれ43件と報告されています。回答依頼先1,708社全社に、総務省を通じてお詫びと状況把握の調査が行われています。クロス・マーケティングは、調査用サイトの仕様や運用の見直しなどの再発防止に取り組むとしています。補償については、まだ発表されていません。
企業として考えたいこと
自社が外部に委託して作ったウェブサイトで、別々のアカウントのデータが混ざって表示されないことを、公開前に誰がどのように確かめているでしょうか。
技術的な要約
総務省が実施する令和7年度「放送コンテンツ製作取引実態調査」の回答用ウェブサイトで、回答者がログインすると他の回答者が一時保存していた回答ページが表示され、法人の担当者氏名・電話番号・メールアドレスおよび企業情報を含む回答内容が漏えいした。原因は、受託事業者がサイト作成時にログイン管理の設定を誤ったこととされる。2026年2月6日に総務省とクロス・マーケティングが公表し、回答依頼先1,708社全社にお詫びと状況把握の調査が行われた。3月19日の続報で、漏えい6件が確認され、連絡が取れない等により漏えいのおそれが43件あると報告された。回答用サイトは発覚当日中に閉鎖され、サイト仕様や運用の見直しなど再発防止が進められている。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 管理画面/API公表で確認外部からの侵入ではない。受託事業者が回答用ウェブサイトのログイン管理の設定を誤った結果、回答者がログインした際に他の回答者が一時保存状態にしていた回答ページが誤って表示された（クロス・マーケティング公表）。
- 脆弱性
- CVE 非公表公表で確認令和7年度調査の回答用ウェブサイト（ログイン管理）ソフトウェアの脆弱性ではなくログイン管理の設定誤り。製品名・CVEは公表されていない。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 回答用ウェブサイトは事案が発覚した当日中に閉鎖された。中核業務の停止に関する公表はない。
- データ
- おそれ上限 49確定 6件氏名電話メールその他漏えい確認6件＋漏えいのおそれ43件＝最大49件（合算は本稿の計算）。個人情報は法人の担当者氏名・電話番号・メールアドレスで、ほかに企業情報を含む回答内容（その他に分類）。「おそれ」は回答者と連絡が取れない等で漏えいのリスクが完全にないとの判断が難しかったもの。
- 波及先
- 1708 社
- 回答依頼先1,708社全社に総務省を通じてお詫びと状況把握の調査が実施された
- 金銭影響
- —
- サプライチェーン
- 総務省の調査を受託した事業者（クロス・マーケティング）が作成したサイトの設定誤りが原因。ScanNetSecurityの関連記事は、三菱UFJリサーチ&コンサルティングの業務委託先の設定誤りとも報じているが、両者の関係は提供された出典では確認できない。
時系列
- 2026-02-06総務省が令和7年度放送コンテンツ製作取引実態調査での情報漏えいを発表した。1
- 2026-02-06クロス・マーケティングが、受託事業における情報漏洩事案の発生を公表した。3
- 2026-02-06回答用ウェブサイトのログイン管理の設定誤りにより、他の回答者の一時保存ページが表示されるケースがあったと公表された。回答用サイトは発覚当日中に閉鎖された。3
- 2026-02-06回答依頼先1,708社全社に、総務省を通じてお詫びと状況把握のための調査が行われ、確認された関係者には逐次報告とお詫びが行われた。3
- 2026-03-02ScanNetSecurityが、他の回答者の個人情報が閲覧可能になった件を報じた。1
- 2026-03-19総務省が、2月6日公表の情報漏えいについて続報を発表した。2
- 2026-03-19クロス・マーケティングが確認結果として、漏えい6件の確認と漏えいのおそれ43件を公表した。4
- 2026-03-19調査用ウェブサイトの仕様や運用の見直しなど再発防止策を示し、問い合わせ窓口（平日10:00～17:00）を案内した。4
- 2026-04-01ScanNetSecurityが、受託事業者のログイン管理設定の誤りが原因と報じた。2
技術解説
事象の内容と公表された原因 事実
総務省が実施する令和7年度「放送コンテンツ製作取引実態調査」では、アンケート回答用のウェブサイトが作成・運用されていた。回答者がこのサイトにログインすると、他の回答者が一時保存していた回答ページが表示され、個人情報（法人の担当者氏名、電話番号及びメールアドレス）と企業情報を含む回答内容が漏えいする事象が発生した。原因についてクロス・マーケティングと総務省は、受託事業者が回答用ウェブサイトを作成した際にログイン管理の設定を誤ったためと説明している。回答者がログインした場合に、他の回答者が一時保存状態にしていた回答ページが誤って表示されるケースがあった、というのが公表された内容である。
件数の確定と「おそれ」の区別、公表の経過 事実
総務省は2026年2月6日に情報漏えいを発表し、クロス・マーケティングも同日、受託事業における情報漏洩事案の発生を公表した。回答用サイトは事案が発覚した当日中に閉鎖された。回答依頼先1,708社全社に対しては、総務省を通じてお詫びと状況把握のための調査が行われている。3月19日の続報では、調査対象者への確認等の結果、漏えいが6件確認され、ほかに漏えいのおそれが43件あると公表された。「おそれ」とは、回答者と連絡が取れない等により、漏えいのリスクが完全にないとする判断が難しかったものを指す。再発防止として、調査用ウェブサイトの仕様や運用の見直しが示されている。
攻撃ではなく設定不備という構造（解釈） 解釈
公表内容から見ると、本件は外部の攻撃者による侵入ではなく、サイト作成時のログイン管理の設定誤りによって、正規の回答者に他者のデータが見えてしまった事案と読める。そのため、悪意ある操作がなくても、通常どおりログインするだけで他社の回答ページに到達し得た点が特徴である。ログイン管理と一時保存データの紐づけに不備があった可能性は考えられるが、具体的な仕組みや設定内容は公表されておらず、ここは推測にとどまる。回答者が自分の画面で気づいて初めて顕在化する種類の問題で、運営側が事前のテストで検出できたかどうかが、同種の事案を防ぐうえでの論点になると考えられる。
公表の特徴と受託構造に関する留意点（解釈） 解釈
件数を「確認6件」と「おそれ43件」に分け、「おそれ」の意味を定義した点は、読み手が最大規模（合算で最大49件）と確定分を区別しやすい書き方だと評価できる。一方で、侵入日にあたる開始時期、発覚の経緯、サイトを開設していた期間は、今回の出典の範囲では示されていない。また、ScanNetSecurityの関連記事は三菱UFJリサーチ&コンサルティングの業務委託先の設定誤りにも触れているが、クロス・マーケティングとの委託関係は提供された出典からは確認できない。発注元、受託事業者、再委託先が重なる構造では、責任範囲と報告経路が見えにくくなりやすい。
対応
- 封じ込め
- 回答用ウェブサイトを事案が発覚した当日中に閉鎖した。回答依頼先1,708社全社へ総務省を通じてお詫びと状況把握のための調査を行い、確認された関係者へ逐次報告とお詫びを行った。
- 公表の仕方
- 2026-02-06に総務省とクロス・マーケティングが公表し、2026-03-19に確認結果（漏えい6件・おそれ43件）を続報として公表した。クロス・マーケティングは再発防止策の作成・実施に全力を尽くすとし、調査用ウェブサイトの仕様や運用を見直すとしている。「放送コンテンツ製作取引実態調査 個人情報お問い合わせ窓口」（平日10:00～17:00）を設置した。
- 当局対応
- 総務省 情報流通行政局 情報通信作品振興課（調査実施主体。対象の可能性がある方への説明・謝罪を進めている）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| ログイン後に表示するデータは、認証済みユーザーIDと必ず紐づけて取得する必要がある | 一時保存・下書きの取得処理で、セッションから得たユーザーIDを必須の検索条件にする。他ユーザーのIDやキーを指定しても404/403になる認可テストを自動テストに組み込む。 |
| ログイン管理などの基本設定は、公開前に複数アカウントでの検証が欠かせない | 公開前チェックリストに「2アカウント同時ログインで互いのデータが見えない」確認を入れる。ステージング環境で並行ログインのシナリオテストを実行し、結果を成果物として残す。 |
| 個人情報を扱う受託サイトは、発注元が受入れ検査の観点を持つ必要がある | 委託契約の仕様書に認可・セッション管理の検証項目と報告様式を明記する。公開前に発注元または第三者が脆弱性診断・設定レビューを行う条件にする。 |
| 他者のデータ混入に気づける検知手段を用意しておく | アプリログに、リクエストしたユーザーIDと返却データの所有者IDを記録し、不一致を検知するアラートを設定する。利用者が不具合を通報できる窓口を画面上に常設する。 |
| 影響範囲が確定しにくい場合に備え、確認済みと「おそれ」を分けて管理・公表する | アクセスログから対象者を特定する手順を事前に決め、連絡不能者を別区分で台帳管理する。公表資料には区分の定義と確認状況を併記する。 |
自組織などでの確認項目
- 自組織が運営・委託している入力フォームや会員サイトで、別々のアカウントで同時にログインしたとき、互いの一時保存データが見えないことを確認した記録はありますか。
- 委託先が作成したウェブサイトについて、公開前に認可やログイン管理の設定を誰がどの方法で確認する取り決めになっていますか。
- 他人のデータが表示されたという報告を利用者から受けた場合、受付窓口、サイト停止の判断者、影響範囲を調べるためのログの保存期間は決まっていますか。
未解明点
- 設定誤りの具体的な内容（セッション管理、キャッシュ、一時保存の紐づけなど）は公表されていない。
- 誤表示が起き得た期間と、事案が発覚した経緯（誰がいつ気づいたか）は、今回の出典では示されていない。
- 三菱UFJリサーチ&コンサルティングの業務委託先に関する記事と本件の委託関係は、提供された出典では確認できない。
- 連絡が取れていない回答者（漏えいのおそれ43件に含まれる分）が、その後どう確認されたかは公表されていない。
出典
- 1ScanNetSecurity2026-03-02報道本文確認済
- 2ScanNetSecurity2026-04-01報道本文確認済
- 3株式会社クロス・マーケティング2026-02-06公式本文確認済
- 4株式会社クロス・マーケティング2026-03-19公式本文確認済
- 5総務省 情報流通行政局 情報通信作品振興課2025-05当局本文確認済