北九州市、情報公開で開示したPDFの墨塗りが機能せず — 教員採用試験申込者4135人・のべ5217件が参照可能に

項目	内容
発生日	2026年3月18日（電子ファイルで開示）
判明日	2026年4月20日（開示請求者からの指摘）
報道日	2026年5月8日
対象組織・業界	福岡県北九州市（教員採用試験に関する行政文書の開示）／自治体
事象	開示文書PDFの墨塗り処理が画像化されておらず、マスキング部分の文字データが参照可能に
影響件数	2020年度〜2024年度の教員採用試験申込者4135人／のべ5217件の個人情報
情報源	Security NEXT（2026年5月8日）

概要

北九州市は、情報公開請求に応じて教員採用試験に関する行政文書をPDF形式で開示した際、不開示情報に施した墨塗り処理が実質的に機能していなかったことを公表しました。

同市は不開示情報を参照できないよう黒色でマスキング処理を実施していましたが、本来は画像として出力すべきところ、文字データが含まれるPDFファイルを生成したため、黒く塗られた部分の文字データがファイル内に残り、参照できる状態になっていました。

対象となったのは、2020年度から2024年度までの教員採用試験申込者4135人に関する氏名、受験番号、年齢、性別など、のべ5217件の個人情報です。

2026年3月18日に電子ファイルで開示され、4月20日に開示請求者からの指摘を受けて判明しました。同市は開示請求者に文書の返送と複製データの削除を依頼し、不開示処理を施した文書を改めて送付。試験申込者に対しては書面で経緯を説明し、謝罪しています。

経緯

• 2026年3月18日: 情報公開請求に応じ、教員採用試験に関する行政文書を電子ファイル（PDF）で開示。不開示情報には黒色のマスキング処理を実施していたが、画像化されていなかった
• 2026年4月20日: 開示請求者からの指摘により、マスキング部分の文字データが参照できる状態であることが判明
• 開示請求者に対し、文書の返送と複製データの削除を依頼。不開示処理を施した文書を改めて送付
• 対象となった試験申込者に書面で経緯を説明し、謝罪
• 2026年5月8日: Security NEXTが報道

原因

公表されている原因は、マスキング処理を施したPDFを画像として出力せず、文字データを含む形式で生成したことです。外部からの攻撃や不正アクセスによるものではありません。

考えられる原因（推測）: PDFの墨塗りには、大きく二つの方法があります。ひとつは該当領域の文字情報そのものを削除する「墨消し（Redaction）」機能を使う方法、もうひとつは黒い図形を上に重ねる方法です。後者は表示上は同じに見えますが、文字データは削除されておらず、図形の下に残ります。テキスト選択やコピー、テキスト抽出を行えば、下にある文字がそのまま取り出せます。

本件で「画像として出力すべきところ」と説明されているのは、黒い図形を重ねたPDFを画像化して再生成すれば文字データが失われるため、その手順が定められていた可能性を示唆します。つまり手順自体は存在していたが、その最後の一工程が抜けたという構図が考えられます。加えて、処理後の確認が「画面上で黒く見えるか」で行われていた場合、この抜けは絶対に検出されません。

対象が5年度分・4135人に及んでいることからは、同一手順で作成された複数の文書がまとめて開示された可能性がうかがえます。いずれも推測であり、公表されているのは出力形式の誤りという事実までです。

対策

組織が学ぶべきこと

1. 「黒く見えるか」ではなく「取り出せないか」を確認工程にする

墨塗りの確認を目視で行う限り、この事故は検出できません。黒い図形を重ねたPDFは、画面上では完璧に黒く見えます。必要な確認は、完成したファイルからテキストを選択・コピーして、不開示情報が取り出せないことを確かめることです。この一手順を確認チェックリストに書き加えるだけで、同種の事故はほぼ防げます。

2. 情報公開の担当者は、ファイル形式の専門家ではない

情報公開請求への対応は、対象文書の特定、不開示情報の判定、決裁といった法制度の作業が中心です。PDFの内部構造やテキストレイヤーの有無は、その業務の専門性の範囲外にあります。担当者の注意力に依存させるのではなく、墨消し機能を持つツールを標準として配備し、その手順以外を使えなくする——道具の側で不可能にすることが、確実な対策になります。

3. 開示後に取り戻すことはできない、という前提で工程を組む

本件では開示請求者に文書の返送と複製データの削除を依頼していますが、電子ファイルはコピーが容易であり、依頼が実行されたことを確認する手段は原理的にありません。紙の交付であれば回収に一定の実効性がありますが、電子ファイルの開示は、渡した瞬間に取り消し不能です。電子開示を選ぶということは、送信前の確認が唯一の防御線になるということを意味します。

ヤグラの視点 — 攻撃者のいないインシデント：黒く塗ったつもりの情報が、制度の手続きに乗って外に出た

この事案には、攻撃者が登場しません。 不正アクセスもマルウェアもなく、脆弱性が突かれたわけでもありません。市は情報公開制度に基づく正当な手続きを踏み、不開示情報を隠す意思を持って処理を行い、そのうえで4135人分の個人情報を外に出しました。

こうした事象は「単純なミス」と片づけられがちですが、構造としては見過ごせない特徴を持っています。情報が漏れた経路が、組織の正規の業務プロセスそのものだったという点です。ファイアウォールの外側から来るものは疑うことができます。しかし、決裁を受けて、規程に沿って、正しい相手に、意図して送ったファイルを疑う仕組みは、多くの組織に存在しません。

そして被害規模を決めたのは、攻撃者の技量ではなく、開示対象文書が5年度分まとめて処理されていたことでした。攻撃者が5年分のデータを狙って侵入すれば、それは高度な標的型攻撃と呼ばれます。同じ量の情報が、出力形式の選択ミス一つで、正規の手続きに乗って外に出ました。守るべき情報の量は、攻撃者ではなく業務設計が決めています。

この種の事象に共通するのは、「表示」と「実体」の乖離です。黒く塗られて見えるPDF、非表示にした表計算の行、リンクされていないページ、共有設定が「リンクを知る全員」のファイル——いずれも、人間が画面で見ている状態と、ファイルが実際に保持している内容が一致していません。この乖離は目視では絶対に埋まらないため、確認の方法を「見る」から「試す」に変える必要があります。テキストを抽出してみる、シートを表示してみる、ログアウト状態でURLを開いてみる。数十秒の操作が、公表と謝罪の数カ月を回避します。

発覚が開示請求者からの指摘だった点にも触れておく必要があります。指摘したのは、その文書を最も詳しく読んだ人でした。外部の誰かが親切に教えてくれる可能性に依存した発見体制は、たまたま今回機能したにすぎません。

今後の対応

北九州市は開示請求者への返送・削除依頼と、不開示処理を施した文書の再送付を完了しています。対象となった試験申込者4135人への書面による説明・謝罪も実施済みです。情報公開事務における文書作成手順の見直しに関する追加公表が想定されます。

更新履歴

日時	内容
2026-05-08	初稿公開（報道日時点）