会津大学短期大学部、資料請求フォームの不備で他の請求者64人分が閲覧可能に — 過去の公開講座2件でも同じ設定ミス

項目	内容
発生日	2024年10月11日〜2025年12月7日（フォームを公開していた期間）
公表日	2025年12月25日
対象組織・業界	会津大学 短期大学部（教育・研究）
影響件数	資料請求者64人分の氏名、住所、電話番号、出身高校など。ほかに公開講座2件でも同様の設定ミスが判明
攻撃手法	攻撃なし。ウェブフォームの設定の不備により、受付画面に表示されたリンクから他の資料請求者の個人情報を閲覧できる状態だった
情報源	Security NEXT（2025年12月25日）

概要

会津大学は2025年12月25日、短期大学部が設置したウェブフォームに不備があり、関係者の個人情報が流出したと公表しました。

対象となったのは過去入試問題資料の請求フォームで、受付画面に表示されたリンクより、他の資料請求者の個人情報が閲覧できる状態でした。フォームは2024年10月11日から2025年12月7日にかけて公開されており、対象は資料請求者64人の氏名、住所、電話番号、出身高校などです。

判明は2025年12月7日に資料請求者からの指摘を受けたことによります。同大学はフォームを閉鎖しました。

さらに、過去に公開していたサイトを確認したところ、公開講座2件においても同様の設定ミスが判明しています。

経緯

• 2024年10月11日: 過去入試問題資料の請求フォームを公開。設定の不備により、受付画面のリンクから他の請求者の情報が閲覧できる状態となる
• 2025年12月7日: 資料請求者からの指摘により判明（公開から約1年2か月後）。フォームを閉鎖
• その後の点検: 過去に公開していたサイトを確認したところ、公開講座2件でも同様の設定ミスが判明
• 2025年12月25日: 会津大学が公表

原因

判明している事実: ウェブフォームの設定に不備があり、受付画面に表示されたリンクから他の資料請求者の個人情報を閲覧できる状態だったことです。誤った設定の技術的な内容は公表されていません。使用されたのはGoogleフォームです。

考えられる原因（推測）

「受付画面に表示されたリンク」という記述は、送信完了画面に現れる「前の回答を表示」に相当する機能を指していると考えられます。汎用のフォームサービスには、回答者が自分の送信内容を後から確認できる機能があり、この閲覧範囲がフォーム全体に設定されている場合、他人の回答も見えてしまいます。

この設定は、作成者が意図的に選ぶというより、既定値として有効になっている、あるいは別の設定項目と連動して有効になる性質を持ちます。作成者の画面では自分の回答が正しく表示されるため、他人の回答まで見えることには気づきにくい構造です。

公開講座2件でも同じ設定ミスが見つかったという点は、この事案の核心にあたります。個々の担当者の不注意ではなく、フォームを作る手順そのものに確認の工程がなかったことを示しています。

対策

組織が学ぶべきこと

1. フォームは公開前に、回答者として一度送信して確認する

作成者の画面では、この不備は見えません。実際に回答を送信し、送信完了後に到達できる画面をすべて回答者の視点で確認する——この一手順があれば、1年2か月の露出は避けられました。

2. 汎用フォームサービスについて、無効化すべき設定の一覧を組織で持つ

今回の不備は、フォームサービスの機能設定に起因すると考えられます。既定値のまま使うと有効になる機能が、個人情報を扱う用途では不適切な場合があります。組織で使用を認めるサービスごとに、無効化すべき項目を一覧化して配ることが対策になります。

3. 1件見つかったら、過去に作ったフォームをすべて点検する

同大学は今回、過去に公開していたサイトまで確認して公開講座2件の不備を見つけています。同じ手順で作られたものには同じ不備があると想定するのが妥当です。この横展開の点検を行ったかどうかで、残る露出の量が変わります。

ヤグラの視点 — 組織固有知識の学習：同じ設定ミスが3回起きていた

この事案でもっとも重い事実は、64人という件数でも、1年2か月という期間でもありません。過去に公開していたサイトを確認したところ、公開講座2件においても同様の設定ミスが判明したという一文です。同じ誤りが、少なくとも3回繰り返されていたことになります。

3回繰り返されたということは、1回目と2回目のあいだに何も伝わらなかったということです。おそらく1回目も2回目も、その時点では問題として認識されていません。気づかれなかった誤りは、経験として蓄積されないからです。今回、資料請求者からの指摘で1件目が見つかり、そこから横展開の点検を行って初めて残り2件が明らかになりました。逆に言えば、指摘がなければ3件とも露出したままだった可能性があります。

この構造は、担当者の注意力では解決しません。フォームを作る人は毎回同じとは限らず、部署も目的も違います。必要なのは「一度起きた形の誤りを、組織として記憶しておくこと」です。どういう設定が危ないのか、公開前に何を確認するのか——それを作業手順に固定できていれば、2件目は起きませんでした。

セキュリティの現場でも同じ形の失敗が繰り返されます。一度対応した異常の形を記録に残し、次の判断に使えるようにしておくこと。対応履歴を組織の知識として蓄積し、AIが調査の推論に活用する仕組みは、この「同じ形の見落とし」を減らすために働きます（→ ヤグラ AI SOC）。今回、同大学が1件目の判明後に過去のサイトまで遡って点検した判断は、その蓄積を人手で行ったものと言えます。

今後の対応

• 誤った設定の技術的な内容
• 公開講座2件における対象者の件数と情報項目
• 公開期間中の閲覧状況
• フォーム作成手順の見直しを含む再発防止策の公表内容

更新履歴

日時	内容
2026-08-17	2025年12月25日の公表内容をもとにアーカイブ記事として作成