群馬県、県内高校の部活動体験会の申込フォームで申込者81人の情報が閲覧可能に — 約1か月後に申込者の指摘で判明
| 項目 | 内容 |
|---|---|
| 発生日 | 2025年10月22日（フォームの掲載日）〜2025年11月20日（申込者からの指摘） |
| 公表日 | 2025年12月15日 |
| 対象組織・業界 | 群馬県（県内高校における部活動体験会／教育・研究） |
| 影響件数 | 申込者81人に関する氏名、中学校名、学年、参加部活動名、交通手段など。氏名と中学校名は順不同で表示され、紐づいた状態ではなかったとされる |
| 攻撃手法 | 攻撃なし。利用したフォームの設定の不備により、申込者が他の申込者の情報を閲覧できる状態になっていた |
| 情報源 | Security NEXT（2025年12月15日） |
群馬県は2025年12月15日、県内高校における部活動体験会の申し込みフォームより送信された個人情報が公開されていたと公表しました。
フォームの掲載は2025年10月22日で、申込者が他の申込者の個人情報を閲覧できる状態になっていました。閲覧できたのは申込者81人に関する氏名、中学校名、学年、参加部活動名、交通手段などです。
ただし氏名と中学校名は順不同で表示され、紐づいた状態ではなかったとされています。
判明は2025年11月20日の申込者からの指摘によるもので、フォームの掲載から約1か月が経過していました。同県は閲覧ができないよう設定を修正し、対象となった申込者と在籍する中学校に対して経緯の説明と謝罪を行っています。二次被害などは確認されていません。
- 2025年10月22日: 部活動体験会の申し込みフォームを掲載。設定の不備により、申込者が他の申込者の情報を閲覧できる状態となる
- 2025年11月20日: 申込者からの指摘により判明（掲載から約1か月後）
- 判明後: 閲覧ができないよう設定を修正。対象となった申込者と在籍する中学校へ経緯の説明と謝罪
- 2025年12月15日: 群馬県が公表。二次被害は確認されていないとする
判明している事実: 「利用したフォームの設定に不備があった」ことが公表されています。使用したフォームサービスの名称、不備の技術的な内容は公表されていません。
考えられる原因（推測）
Section titled “考えられる原因（推測）”申込者が他の申込者の回答を見られたという結果と、「氏名と中学校名は順不同で表示され、紐づいた状態ではなかった」という説明を合わせると、露出したのは回答の集計結果や統計表示の画面であった可能性が考えられます。汎用のフォームサービスには回答の概要をグラフや一覧で表示する機能があり、この公開範囲が回答者にも開かれている設定になっていれば、この形になります。
項目ごとに順不同で表示されるという性質は、個々の回答レコードではなく、項目単位の集計が見えていたことを示唆します。これが被害を限定した要因でもあります。
約1か月にわたって状態が続いたことは、フォームを公開する前に回答者の立場からアクセスして確認する工程がなかったことを示しています。
組織が学ぶべきこと
Section titled “組織が学ぶべきこと”1. フォーム公開前に、回答者として一度送信して確認する
Section titled “1. フォーム公開前に、回答者として一度送信して確認する”作成者の画面では、この不備は見えません。実際に回答を送信し、送信完了後に到達できる画面をすべて回答者の視点で確認する——この一手順で1か月の露出は避けられました。
2. 汎用フォームサービスの集計表示機能を、既定で無効にする
Section titled “2. 汎用フォームサービスの集計表示機能を、既定で無効にする”回答の集計を回答者に見せる機能は、アンケートでは有用ですが、個人情報を伴う申込では不適切です。組織で使用を認めるフォームサービスについて、無効化すべき機能の一覧を用意しておくことが対策になります。
3. 中学生の申込は、通知先が本人と学校の両方に及ぶ
Section titled “3. 中学生の申込は、通知先が本人と学校の両方に及ぶ”今回、県は申込者と在籍する中学校の双方に説明と謝罪を行っています。未成年が対象の場合、対応の範囲は本人だけで終わりません。フォームに集める項目を業務に必要な最小限にとどめることが、こうした場面の負荷を直接下げます。
ヤグラの視点 — 発見までの時間：1か月の露出を止めたのは、県の点検ではなく申込者の指摘だった
Section titled “ヤグラの視点 — 発見までの時間：1か月の露出を止めたのは、県の点検ではなく申込者の指摘だった”この事案で公開されていた情報は、氏名と中学校名が紐づかない状態でした。項目としては限定的で、二次被害も確認されていません。それでも記録すべきなのは、露出が10月22日から11月20日まで約1か月続いたという事実です。
止めたのは申込者でした。県の側で公開範囲を点検する工程は、掲載時にも掲載後にも動いていません。この構造では、露出の期間は「外部の誰かが気づいて、わざわざ知らせてくれるまで」で決まります。誰も指摘しなければ、体験会が終わるまで公開が続いた可能性があります。今回1か月で止まったのは、対策が機能した結果ではなく、親切な申込者がいた結果です。
設定不備による露出は、操作の記録上は何も異常が起きていないため、侵入を前提とした監視には掛かりません。だからこそ検知の役割を、公開する前の確認工程に前倒しする必要があります。公開時に回答者の視点で1回確認する。フォームを立てるたびにそれを繰り返す。手間は数分で、代わりに得られるのは「気づいてもらえるまで待つ」状態から抜けることです。外部の善意に検知を依存している限り、次も同じ長さの露出が起こります。
- 使用されたフォームサービスと不備の技術的な内容
- 同種のフォームを使う他の県事業における公開範囲の点検結果
- 再発防止策の公表内容
| 日時 | 内容 |
|---|---|
| 2026-08-12 | 2025年12月15日の公表内容をもとにアーカイブ記事として作成 |