兵庫県、自治体向けに共有したファイルの図に個人情報600人分が内包 — データ編集で参照可能な状態だった

項目	内容
発生日	2025年11月7日（データを共有）〜2025年12月8日（判明）
公表日	2025年12月19日
対象組織・業界	兵庫県（農林振興事務所・水産振興事務所／公共・非営利）
影響件数	代表者の氏名、住所、電話番号、年齢など600人分
攻撃手法	攻撃なし。ドキュメントファイル内の図にひも付く元データとして個人情報が内包されており、データ編集を行うと参照できる状態だった
情報源	Security NEXT（2025年12月19日）

概要

兵庫県は2025年12月19日、農林振興事務所や水産振興事務所から自治体へ共有したドキュメントファイルに、図とひも付く個人情報が含まれていたと公表しました。

ファイルはデータ編集を行うと個人情報が参照できる状態でした。対象となったのは代表者の氏名、住所、電話番号、年齢など600人分です。

データの共有は2025年11月7日で、判明は12月8日にファイルを再確認した際、意図しないデータが含まれていたことに気付いたことによります。

同県は各自治体に対してファイルの削除を依頼し、メール送信時のチェックリストを作成しました。今後は不要なデータの削除状況を確認するとともに、PDFファイルによりデータを共有するとしています。自治体から外部に対する二次流出はなかったことが確認されています。

経緯

• 2025年11月7日: 農林振興事務所や水産振興事務所から自治体へドキュメントファイルを共有。図にひも付く個人情報が内包されていた
• 2025年12月8日: ファイルを再確認した際、意図しないデータが含まれていたことに気付き判明
• 対応: 各自治体へファイルの削除を依頼。メール送信時のチェックリストを作成。今後はPDFで共有する方針
• 2025年12月19日: 兵庫県が公表。自治体から外部への二次流出はなかったとする

原因

判明している事実: 共有したドキュメントファイルに、図とひも付く個人情報が含まれていたことです。データ編集を行うと参照できる状態でした。振興事務所からそのままドキュメントファイルが共有されたことに起因するとされています。

考えられる原因（推測）

「図とひも付く個人情報」という表現は、グラフや図表の元になった表データが、図と一緒にファイル内に保持されていた構造を指していると考えられます。表計算ソフトで作成したグラフを文書に貼り付ける際、見た目には集計されたグラフだけが表示されますが、内部には元の明細データが埋め込まれます。グラフをダブルクリックして編集モードに入ると、その明細が現れます。

この構造が厄介なのは、作成者の画面でも受け取った側の通常の閲覧でも、個人情報は見えないことです。文書を開いてスクロールしても、グラフとして集計された姿しか表示されません。データを見るには、意図的に編集操作を行う必要があります。今回の判明が「ファイルを再確認した際」であったことも、この見えにくさを示しています。

対象が「代表者の氏名、住所、電話番号、年齢」という構成である点からは、農林水産業の経営体に関する調査データの集計であったことが考えられます。

対策

組織が学ぶべきこと

1. 外部へ渡す文書はPDFに変換する

県が対策として挙げた「PDFファイルによりデータを共有」は、この問題への直接的な解決策です。PDFへの変換は、図の元データや非表示のセル、変更履歴といった「見えないが含まれているもの」を落とします。編集可能な形式のまま外部へ渡す業務上の理由がなければ、変換を既定にできます。

2. 「見えていないもの」を確認する手順を、チェックリストに書き込む

文書を目で見て確認しても、埋め込まれた元データは現れません。確認すべきなのは表示内容ではなく、図の編集モード、非表示の行と列、シートの数、プロパティの作成者情報です。県がチェックリストを作成したとおり、確認項目として明文化しなければ実行されません。

3. 集計結果だけが必要な場面では、集計後の値だけを持つ図に作り替える

グラフに明細データが付随するのは、元データとの連動を保つためです。外部へ渡す資料では、この連動は不要です。画像として貼り付ける、あるいは値のみのグラフに作り替えることで、内包そのものをなくせます。

ヤグラの視点 — 攻撃者のいないインシデント：正しく見えていた文書に、見えないものが入っていた

この事案には侵入も脆弱性の悪用もありません。県の職員が業務のために資料を作成し、正当な相手である自治体へ共有しました。受け取った自治体が文書を開いても、個人情報は表示されません。グラフとして集計された姿だけが見えます。それでも600人分の氏名・住所・電話番号・年齢は、そのファイルの中にありました。

このタイプの事案が検知されにくいのは、すべてが正常に見えるからです。不正なアクセスもなく、送信先も正しく、開いた画面にも異常はありません。異常として拾える信号が存在しません。今回判明したのは、1か月後に県の側でファイルを再確認したときでした。自治体から指摘があったわけでもなく、外部からの通報でもありません。気づいたのは偶然に近い再確認であり、それがなければ発見されないままだった可能性があります。

防ぐ手立ては、監視を厚くすることではなく、渡す形式を変えることで問題自体を消すことにあります。PDFに変換すれば、図の元データは残りません。非表示の行も、変更履歴も、作成者情報も落ちます。「確認して見つける」より「含まれ得ない形にする」ほうが確実です。県がチェックリストの作成とPDFでの共有の両方を挙げているのは、この順序を正しく捉えた対応です。攻撃者のいないインシデントに対しては、間違えられる余地を業務の形から外すのが最も効きます。

今後の対応

本件は自治体へのファイル削除依頼が完了し、二次流出がなかったことも確認され、再発防止策（チェックリストの作成とPDFでの共有）も公表されています。追加公表の予定は示されていません。

更新履歴

日時	内容
2026-08-12	2025年12月19日の公表内容をもとにアーカイブ記事として作成