埼玉県、委託先の埼玉新聞社の従業員が業務用ノートパソコンを紛失 — 補助事業者236者の実施計画書などが保存

項目	内容
発生日	公表されていない。2025年12月17日時点で二次被害は確認されていないとされる
公表日	2025年12月18日
対象組織・業界	埼玉県（公共・非営利）。紛失したのは委託先である埼玉新聞社の従業員
影響件数	補助事業者236者分。2024年度47者（事業者名、所在地、業種、設立年月日、資本金、従業員数、導入機器、取組概要、補助額、実施計画書、補助事業実施結果報告書、現地確認報告書）、2025年度189者（補助事業者情報、実施計画書）
攻撃手法	攻撃なし。委託先の従業員による業務用ノートパソコンの紛失
情報源	Security NEXT（2025年12月18日）

概要

埼玉県は2025年12月18日、委託先である埼玉新聞社の従業員が業務用ノートパソコンを紛失したことが判明したと公表しました。

保存されていたのは補助事業者に関する情報です。2024年度は47者について、事業者名、所在地、業種、設立年月日、資本金、従業員数、導入機器、取組概要、補助額のほか、実施計画書、補助事業実施結果報告書、現地確認報告書が含まれていました。2025年度は189者の補助事業者情報や実施計画書です。合計236者分にのぼります。

2025年12月17日の時点で、第三者への情報流出や不正使用による二次被害などは確認されていません。

埼玉新聞社はセキュリティ対策や管理体制を強化し、従業員教育を徹底して再発の防止を図るとしています。県は同社に対し、データ持ち出し時における管理の徹底、データの暗号化などセキュリティ対策を強化するよう求めました。

経緯

• 時期不明: 埼玉新聞社の従業員が業務用ノートパソコンを紛失
• 2025年12月17日: 第三者への情報流出や不正使用による二次被害は確認されていないと確認
• 2025年12月18日: 埼玉県が公表。委託先に対しデータ持ち出し時の管理徹底とデータの暗号化を求める

原因

判明している事実: 委託先である埼玉新聞社の従業員が業務用ノートパソコンを紛失したことです。紛失した日時と場所、発覚の経緯は公表されていません。端末の暗号化やパスワード保護が施されていたかも公表されていません。

考えられる原因（推測）

県が委託先に求めた対策が「データ持ち出し時における管理の徹底、データの暗号化」であることから、紛失時点でデータの暗号化が施されていなかった可能性が考えられます。暗号化されていれば、端末の紛失は情報漏えいに直結しません。

保存されていたのが実施計画書、補助事業実施結果報告書、現地確認報告書といった業務の成果物そのものである点は、この端末が作業の主たる保管場所として使われていたことを示唆します。共有サーバやクラウド上に原本を置き、端末には作業中のファイルのみを置く構成であれば、紛失時の影響範囲は限定されます。

2024年度と2025年度の2年分が同一端末に残っていたことは、年度が終わった後もデータが削除されていなかったことを示します。前年度の47者分は、業務としては完了しているはずの情報です。

対策

組織が学ぶべきこと

1. 委託業務の端末に、暗号化を仕様として要求する

県が事後に暗号化を求めていることは、契約の段階で要求されていなかったことを示します。個人情報や事業者情報を扱う委託業務では、使用する端末の暗号化を仕様書のレベルで指定する必要があります。事後の要請は、次の事故を防ぐだけで、今回の影響は変えられません。

2. 端末を原本の置き場にしない構成を委託先にも適用する

実施計画書や報告書といった成果物が端末に保存されていました。原本を共有領域に置き、端末は作業用に留める構成であれば、端末の紛失は成果物の喪失にも情報漏えいにもつながりません。委託先の作業環境についても、この構成を条件として求められます。

3. 年度が終わったデータの削除時期を、委託契約に書き込む

2024年度と2025年度の2年分が同じ端末に残っていました。業務が完了したデータをいつ削除するかが決まっていなければ、データは委託先の端末に蓄積し続けます。保持期間と削除の確認方法を契約に含めることが、影響範囲を構造的に抑えます。

ヤグラの視点 — 攻撃面の拡張：補助事業者236者の書類は、県ではなく新聞社の端末にあった

埼玉県の補助金事業において、申請の受付や現地確認といった実務は委託先が担います。委託元が用意するのは制度と要件であって、作業環境ではありません。結果として、補助事業者236者の実施計画書と現地確認報告書は、県のシステムではなく委託先の従業員が持つノートパソコンの中にありました。県の情報システム部門の資産台帳にも、県のアクセス管理にも、この端末は現れません。

侵入も攻撃もありません。端末が1台なくなっただけです。それでも、事業者名・所在地・資本金・従業員数・補助額・実施計画の内容という、その事業者の経営状況を一望できる情報が県の管理外に出ました。攻撃面という言葉は外部からの侵入経路を指して使われますが、業務を委託した先の作業環境も、同じ意味で守るべき面の一部です。紙か電子か、侵入か紛失かは、この構造の上では二次的な違いです。

委託先を管理下に置く手段は、技術ではなく指定と検証です。県が事後に「データの暗号化を強化するよう求めた」という事実は、それが事前に指定されていなかったことを意味します。どの端末を使うか、暗号化するか、原本をどこに置くか、いつ削除するか——委託元が指定していない項目は、委託先の既定の運用のまま動きます。委託を増やすほど、自分の管理が届く境界がどこで終わっているかを把握しておく必要が増します。

今後の対応

• 紛失した日時・場所と発覚の経緯
• 端末の暗号化・パスワード保護の有無
• 対象となった補助事業者への通知状況
• 委託先における端末管理とデータ保持を含む再発防止策の具体的内容

更新履歴

日時	内容
2026-08-12	2025年12月18日の公表内容をもとにアーカイブ記事として作成