岩手県、物価高騰対策事業の事務局ポータルが約9か月間外部から閲覧可能に — アクセス制限を意図的に解除、申請事業者5,707件分が流出
| 項目 | 内容 |
|---|---|
| 発生日 | 2025年2月〜2025年11月28日（約9か月間） |
| 公表日 | 2025年12月19日 |
| 対象組織・業界 | 岩手県（物価高騰対策賃上げ支援事業の事務局／公共・非営利）。ポータルを作成したのは事務局業務の委託先 |
| 影響件数 | 申請書送付依頼リストなど16件の資料。申請事業者5,707件に関する担当者氏名や電話番号など |
| 攻撃手法 | 攻撃なし。当初はIDとパスワードで保護されていたが、幹事社の担当者がアクセスできなかったため、アクセス制限をかけない状態へ変更された |
| 情報源 | Security NEXT（2025年12月19日） |
岩手県は2025年12月19日、物価高騰対策賃上げ支援事業の事務局業務の委託先が内部情報共有のため作成したポータルサイトが、2025年2月から約9か月間にわたり外部から閲覧できる状態だったと公表しました。
このサイトは当初はIDとパスワードで保護されていました。しかし幹事社の担当者が情報共有していたサイトにアクセスできなかったため、IDとパスワードによるアクセス制限をかけない状態へと変更されていました。
公開されていたのは申請書送付依頼リストなど16件の資料で、申請事業者5,707件に関する担当者氏名や電話番号などの情報が記載されていました。
判明は2025年11月28日に県内自治体の職員から指摘を受けたことによります。同日、資料を閲覧できないようサイトを閉鎖しました。なお、当該サイトは検索エンジンのBingに登録されていたとされています。
- 2025年2月: 委託先が内部情報共有のためポータルサイトを作成。当初はIDとパスワードで保護
- 時期不明: 幹事社の担当者がサイトにアクセスできなかったため、IDとパスワードによるアクセス制限をかけない状態へ変更
- 以降約9か月間: 外部から閲覧できる状態が継続。検索エンジンのBingに登録される
- 2025年11月28日: 県内自治体の職員からの指摘により判明。同日サイトを閉鎖
- 2025年12月19日: 岩手県が公表
判明している事実: 幹事社の担当者がサイトにアクセスできなかったことを受けて、IDとパスワードによるアクセス制限をかけない状態へ変更されたことが原因です。委託先の企業名、4社の構成、変更を行った主体と承認の有無は公表されていません。
考えられる原因（推測）
Section titled “考えられる原因（推測）”この事案の特徴は、アクセス制限の解除が意図的な操作だった点です。設定を誤ったのではなく、「アクセスできない」という業務上の障害に対して、制限を外すという解決策が選ばれています。
背景には、事務局業務が複数社の共同体制で運営されていたという構造があります。参加各社のセキュリティ設定や認証の仕組みが異なる場合、共通のポータルにアクセスできない会社が生じます。このとき、個別に認証を設定して回るより、制限そのものを外すほうが早く問題が解決します。目の前の業務は進み、副作用は目に見えません。
約9か月にわたって状態が続いたことと、検索エンジンに登録されていたことは、解除が一時的な措置として行われ、元に戻す期限が設定されていなかったことを示しています。検索エンジンへの登録は、外部から到達可能な状態が長期に続いたことの結果です。
組織が学ぶべきこと
Section titled “組織が学ぶべきこと”1. 「アクセスできない」への対処として、制限の解除を選択肢に置かない
Section titled “1. 「アクセスできない」への対処として、制限の解除を選択肢に置かない”この事案は設定の誤りではなく、障害対応としての判断でした。アクセスできない担当者を通すために制限を外すという解決策が、その場で選べる状態にあったことが原因です。認証の追加や権限の付与という正規の手段を、同じ速度で実行できる体制が必要です。
2. 一時的な設定変更には、必ず復旧の期限を設定する
Section titled “2. 一時的な設定変更には、必ず復旧の期限を設定する”制限の解除が一時的な措置だったとしても、元に戻す作業が予定されていなければ恒久的な状態になります。変更の記録と復旧の期限を残す運用が、9か月という長さを防ぎます。
3. 複数社の共同体制では、共有基盤のセキュリティ水準を先に揃える
Section titled “3. 複数社の共同体制では、共有基盤のセキュリティ水準を先に揃える”参加各社の設定の差が、アクセス障害の原因になっています。共同で使う情報共有の仕組みは、参加各社の環境で動作することを確認したうえで運用を開始する必要があります。運用開始後に発生した障害は、その場の判断で解決されます。
ヤグラの視点 — 攻撃者のいないインシデント：鍵を外したのは、攻撃者ではなく担当者だった
Section titled “ヤグラの視点 — 攻撃者のいないインシデント：鍵を外したのは、攻撃者ではなく担当者だった”この事案には侵入がありません。脆弱性も悪用されていません。IDとパスワードによる保護は最初から設置されており、それを外したのは事務局側の担当者でした。理由も明確です。幹事社の担当者がアクセスできなかったからです。業務を進めるための、目的の明確な操作です。
このタイプの事案が検知されにくいのは、すべての操作が正常な記録として残るからです。不正なログインはなく、認証の突破もありません。設定変更は権限を持つ者によって行われ、その後のアクセスはすべて「公開されているページへの閲覧」として成立します。異常として拾える信号が存在しません。9か月続いたのは検知の失敗ではなく、検知すべき対象として認識されていなかったためです。気づいたのは県内自治体の職員で、検索エンジンにはすでに登録されていました。
防ぐ手立ては、監視を厚くすることではなく、制限を外すという選択肢を業務から取り除くことにあります。アクセスできない担当者がいたとき、権限を追加する手段が制限を外すのと同じくらい早く実行できるなら、後者は選ばれません。逆に、正規の手段が時間を要するなら、現場は必ず速い方を選びます。設定不備による誤公開に対しては、間違えた人を責めるのではなく、間違えられる選択肢を業務から外す設計が最も効きます。
- 委託先の企業名と、アクセス制限を解除した経緯の詳細
- 公開されていた期間中の閲覧・ダウンロードの状況
- 対象となった申請事業者への通知状況
- 共同体制における情報共有基盤の運用ルールを含む再発防止策の公表内容
| 日時 | 内容 |
|---|---|
| 2026-08-12 | 2025年12月19日の公表内容をもとにアーカイブ記事として作成 |