新潟県、県内の中等教育学校で受験生813人分の選抜検査成績を保存したUSBメモリを紛失 — パスワード未設定、11年分が1本に
| 項目 | 内容 |
|---|---|
| 発生日 | 特定されていない。2025年11月28日にUSBメモリが所在不明となっていることが判明 |
| 公表日 | 2025年12月19日 |
| 対象組織・業界 | 新潟県（県内の中等教育学校／教育・研究）。学校名は公表されていない |
| 影響件数 | 受験生813人に関する入学者選抜検査の成績と調査書データ。2015年度から2025年度までの入学者選抜資料 |
| 攻撃手法 | 攻撃なし。パスワードが設定されていないUSBメモリの紛失 |
| 情報源 | Security NEXT（2025年12月19日） |
新潟県は2025年12月19日、県内の中等教育学校で受験生の個人情報を含む資料を保存したUSBメモリを紛失したと公表しました。
2025年11月28日にUSBメモリが所在不明となっていることが判明したものです。保存されていたのは受験生813人に関する入学者選抜検査の成績と調査書データで、2015年度から2025年度までの入学者選抜資料が含まれていました。
紛失したUSBメモリにはパスワードが設定されていませんでした。
同県はパスワード設定の徹底、USBメモリを用いてデータの保管を行わないことなど、管理体制を点検するよう求めています。二次被害などは確認されていません。
- 2015年度〜2025年度: 入学者選抜資料が同一のUSBメモリに蓄積される
- 時期不明: USBメモリが失われる
- 2025年11月28日: USBメモリが所在不明となっていることが判明
- 対応: 県が学校に対し、パスワード設定の徹底、USBメモリを用いたデータ保管を行わないことなど、管理体制の点検を求める
- 2025年12月19日: 新潟県が公表。二次被害は確認されていないとする
判明している事実: USBメモリが所在不明になったことと、そのメモリにパスワードが設定されていなかったことです。紛失した時期と場所、持ち出しの有無、失われた経緯は公表されていません。
考えられる原因（推測）
Section titled “考えられる原因（推測）”2015年度から2025年度という11年分の入学者選抜資料が同一のメモリに保存されていた点が、この事案の性格を示しています。年度ごとに新しい媒体を用意するのではなく、同じメモリを使い続けて追記していく運用があったと考えられます。入学者選抜は年に一度の業務であり、担当者が交代しても媒体がそのまま引き継がれる構造では、この形になります。
紛失時期が特定できていないことは、メモリの所在を定期的に確認する運用がなかったことを示唆します。年に一度しか使わない媒体は、次の選抜の準備を始めるまで不在に気づく機会がありません。判明が11月28日であることは、翌年度の選抜業務の準備過程で探した際に発覚した可能性を示しています。
パスワードが設定されていなかった点については、選抜業務の場面で複数の担当者が同じ媒体を参照する必要があり、パスワードの共有が煩雑になることを避けた運用上の判断が背景にあると考えられます。
組織が学ぶべきこと
Section titled “組織が学ぶべきこと”1. 記憶媒体の暗号化は、紛失を前提とした唯一の防壁である
Section titled “1. 記憶媒体の暗号化は、紛失を前提とした唯一の防壁である”紛失した媒体は発見されていません。パスワードが設定されていれば、どこへ渡っても中身は読めませんでした。県が対策の第一に「パスワード設定の徹底」を挙げているとおり、この一点が813人分の情報の運命を分けています。
2. 年度をまたいでデータを蓄積させない
Section titled “2. 年度をまたいでデータを蓄積させない”11年分の資料が1本のメモリに残っていたことが、影響件数を813人まで積み上げました。業務が完了した年度のデータをいつ削除するかが決まっていなければ、媒体は年々重くなります。保持期間を年度単位で定め、削除の実施を確認する運用が、影響の上限を決めます。
3. 年に一度の業務で使う媒体は、所在確認を年次点検に組み込む
Section titled “3. 年に一度の業務で使う媒体は、所在確認を年次点検に組み込む”入学者選抜は年に一度の業務であり、媒体は使わない期間が長くなります。参照されない媒体は、失われても不在が観測されません。保管台帳を作り、年次で所在を突き合わせる運用があれば、紛失時期を狭い範囲に絞り込めます。
ヤグラの視点 — 訓練で防げた分岐点：パスワードを設定するという一手順が、813人分と1本の媒体を分けていた
Section titled “ヤグラの視点 — 訓練で防げた分岐点：パスワードを設定するという一手順が、813人分と1本の媒体を分けていた”この事案の被害を決めた要因は、紛失そのものではありません。紛失したメモリにパスワードが設定されていなかったという一点です。暗号化されていれば、媒体が誰の手に渡っても中身は読めず、公表内容は「所在不明の媒体があるが、内容は保護されている」で終わりました。実際には813人分の入学者選抜検査の成績と調査書が、読める状態で行方不明になっています。
パスワードを設定すべきだということを、学校の関係者が知らなかったとは考えにくい。知識の問題ではなく、その媒体を用意する場面で実行されなかったというだけです。しかも今回、その場面は年に一度しか訪れません。選抜業務の準備で急いでいるとき、複数の担当者が交代で参照する運用のなかで、パスワードは共有の手間として現れます。設定しない理由はいつも具体的で、設定する理由はいつも抽象的——この非対称が、規程の周知では埋まらない部分をつくります。
だから効くのは「パスワードを設定する」という項目の再確認ではなく、その具体的な場面を体験させることです。11年分のデータが入った媒体を用意する瞬間に、それが失われたら何が起こるのかを、選抜業務の文脈のなかで示す。攻撃手口を反映したシナリオで訓練を組むのと同じ考え方で、内部の運用も「知っている」から「その場でやる」へ橋を架ける必要があります（→ ヤグラ アウェアネス）。813人分の成績と、パスワード設定1回の距離は、それだけしかありません。
- USBメモリの発見状況
- 紛失した時期と経緯の特定
- 対象となった受験生への通知状況
- USBメモリを用いないデータ保管への移行状況
| 日時 | 内容 |
|---|---|
| 2026-08-12 | 2025年12月19日の公表内容をもとにアーカイブ記事として作成 |