名古屋市、ボランティア登録システムに開発時の動作確認ページが残存 — 登録者25人のメールアドレスが閲覧可能に

項目	内容
判明日	2026年4月16日（登録者からの指摘）
報道日	2026年5月8日
対象組織・業界	名古屋市（なごやウェルカムサポーター事業）／自治体
事象	委託先が構築したシステムに開発時の動作確認用ページが残存し、登録者情報が閲覧可能な状態に
影響件数	メールアドレス25人分
情報源	Security NEXT（2026年5月8日）

概要

名古屋市は、「なごやウェルカムサポーター事業」のボランティア登録システムにおいて、開発時に設置した動作確認用のページが本番環境に残存しており、登録者の個人情報が閲覧できる状態だったことを公表しました。

システムを構築・運用していたのは委託先のコングレです。ボランティア登録者がログインした状態で特定のURLにアクセスすると、他の登録者の情報が表示される状態になっていました。流出したのはメールアドレス25人分です。

2026年4月16日、登録者からの指摘により問題が発覚しました。委託先は該当ページへのアクセス制限措置を実施し、名古屋市は対象者に対して説明と謝罪を行っています。

経緯

• システム開発時、委託先が動作確認用のページを設置。本番稼働後も削除されずに残存
• 2026年4月16日: ボランティア登録者からの指摘により、当該ページから他の登録者の情報が閲覧できることが判明
• 委託先が該当ページへのアクセス制限措置を実施
• 名古屋市が対象者25人に説明と謝罪を実施
• 2026年5月8日: Security NEXTが報道

原因

公表されている原因は、開発時に設置した動作確認用ページが本番環境に残存していたことです。外部からの攻撃や不正アクセスによるものではありません。

考えられる原因（推測）: 動作確認用のページは、開発中にデータの投入結果や画面表示を検証する目的で作られ、多くの場合本来の画面遷移からはリンクされていません。URLを直接入力しなければ到達できないため、リリース前の画面確認テストでは検出されず、テストケースにも載りません。結果として、「使われていないから存在に気づかない」まま本番環境に残り続ける、という経路が考えられます。

閲覧にログイン状態が必要だったことからは、このページが認証の内側には置かれていたものの、登録者本人のデータだけを表示するアクセス制御が実装されていなかった可能性がうかがえます。開発中は「自分のデータが正しく出るか」を確認する目的で作られるため、他人のデータを出さないという要件がそもそも設計に入っていないことがあります。いずれも推測であり、公表されているのは残存という事実までです。

対策

組織が学ぶべきこと

1. リリース判定に「消したもの」の確認を入れる

システムのリリース判定は、通常「実装した機能が正しく動くか」を確認する形で行われます。しかし本件で問題になったのは、実装したが本番には不要なものが残っていないかという逆方向の確認です。開発用エンドポイント、デバッグ画面、テストアカウント、初期パスワードのままのユーザー——これらは動作確認の対象外に置かれるため、チェックリストに明示的に載せない限り、誰も見に行きません。

2. 「リンクされていない」はアクセス制御ではない

画面上のどこからもリンクされていないページは、実務上「非公開」として扱われがちです。しかしURLは推測でき、共有され、ブラウザの履歴に残ります。到達経路の有無と、アクセス権の有無は別の話です。本件のように、ログインしていれば誰でも到達できる状態になっていた場合、その内側でどのデータを見せるかは、必ずサーバ側で判定される必要があります。

3. 委託開発の成果物受け入れ時に、本番環境そのものを点検する

自治体のシステムは、設計・構築・運用が委託先に一括して委ねられることが多く、発注側が本番環境の構成を直接確認する機会は限られます。受け入れ検査を「仕様どおりに機能するか」だけで行うと、本番環境に何が置かれているかは検査対象になりません。公開されているURLの一覧、認証の内外の境界、開発用資産の削除記録を成果物として要求することが、この死角を減らします。

ヤグラの視点 — 攻撃面の拡張：開発の残骸は、誰の資産台帳にも載らない

この事案は、攻撃行為を伴っていません。 誰も侵入しておらず、脆弱性が悪用されたわけでもなく、開発中に作ったページが消し忘れられていた、というだけの事象です。にもかかわらず、結果として25人分のメールアドレスが第三者から見える状態になっていました。

ここで注目したいのは、このページがどの資産台帳にも載っていなかったであろうという点です。組織が管理する情報資産の一覧には、システム名、サーバ、データベース、公開URLが記載されます。しかし「開発中に作った動作確認用のページ」は、仕様書にも設計書にも運用手順書にも登場しません。存在を知っているのは、それを作った開発者だけです。そしてプロジェクトが終われば、その知識も組織から離れます。

守るべき面を把握するとは、公開しているつもりのものを数えることではありません。自分たちが公開しているとは思っていないのに、実際には到達できてしまうものを見つけることです。この差分は、設計書を読んでも出てきません。外側から実際に到達可能な範囲を数え、台帳と突き合わせて初めて見えます。

そして委託開発が絡む場合、この差分はさらに広がります。発注側は仕様と成果物を見ますが、本番環境に何が置かれているかは見ません。受注側は納品後、環境の全体像を見返す動機を持ちません。双方が「相手が見ているはず」と考える領域に、開発の残骸が残ります。

本件では登録者からの指摘で発覚しました。誰かが偶然URLを踏み、それを報告してくれたおかげで25人で済んでいます。この発見経路が機能しなかった場合、残存ページは何年でも残り続けます。外部からの指摘を待つ以外の発見手段を持っているか——それが、この種の事象で被害規模を分ける唯一の変数です。

今後の対応

委託先による該当ページへのアクセス制限措置は完了しており、名古屋市は対象者25人への説明と謝罪を実施済みです。委託システムの点検体制に関する追加公表が想定されます。

更新履歴

日時	内容
2026-05-08	初稿公開（報道日時点）