八重瀬町、ふるさと納税寄付者の非公開希望氏名を4年超サイト掲載 — 指摘まで気づかず、原因も特定できず

項目	内容
発生期間	2020年10月29日〜2024年12月31日
判明日	2026年4月2日（ポータルサイト運営事業者からの指摘）
公表日	2026年5月22日
対象組織・業界	沖縄県八重瀬町（自治体）
事象	ふるさと納税寄付者の非公開希望氏名などを町ウェブサイトに誤掲載
影響件数	非公表
情報源	Security NEXT（2026年5月22日）

概要

沖縄県八重瀬町は2026年5月22日、同町のウェブサイトにおいて、氏名の非公開を希望した寄付者、および公開の意向が確認できていない寄付者の個人情報を誤って掲載していたことを公表しました。

掲載されていたのは、氏名、地域名、寄付金額、寄付の使い道です。件数は公表されていません。

誤掲載は2020年10月29日から2024年12月31日にかけて発生しており、2026年4月2日にふるさと納税ポータルサイトの運営事業者から指摘を受けて判明しました。町は翌4月3日に該当情報を非公開化しています。

経緯

• 2020年10月29日〜2024年12月31日: この期間に、非公開希望者および意向不明の寄付者の情報が町ウェブサイトに掲載される状態が発生
• 2026年4月2日: ふるさと納税ポータルサイトの運営事業者から指摘があり、問題が判明
• 2026年4月3日: 掲載されていた情報を非公開化
• 2026年5月22日: 八重瀬町が公表。個人情報保護委員会への報告、寄付者への個別説明と謝罪を実施するとした

原因

町は「原因などの特定には至っておらず、引き続き詳細な調査に取り組む」としており、確定した原因は公表されていません。可能性の一つとして、設定の操作と手順が正しく行われていなかったことが挙げられています。

考えられる原因（推測）: ふるさと納税の寄付者情報は、ポータルサイト事業者から自治体へ受け渡され、自治体側がお礼の掲示や寄付実績の公表に用いるという流れをとります。この過程には、寄付者本人が申込時に選択した「氏名公開の可否」というフラグが含まれます。掲載期間が4年以上にわたり、かつ「意向がわからない寄付者」も対象に含まれているという公表内容からは、公開可否フラグの判定が掲載処理の手前で正しく適用されなかった、あるいは未回答を「公開可」として扱う既定値になっていた可能性が考えられます。単発の操作ミスであれば影響は特定の時期に限られるはずで、4年に及ぶ継続的な発生は、掲載手順そのものに組み込まれた問題を示唆します。いずれも推測であり、町の調査結果を待つ必要があります。

対策

組織が学ぶべきこと

1. 「公開しない」という選択が、システム上どこで効いているかを確認する

本件で失われたのは、寄付者が自ら選んだ「名前を出さない」という意思です。この種の同意フラグは、申込画面では明確に見えていても、その後のデータ受け渡し・加工・掲載の各段階を通過するうちに、扱いが曖昧になっていくことがあります。同意項目は「取得すること」ではなく「最後の出力まで運ばれること」が要件です。取得時点のUIだけを点検しても、この種の事故は見つかりません。

2. 4年間気づかなかったのは、自己点検の経路がなかったから

発覚のきっかけは外部事業者からの指摘でした。町の側から見れば、掲載しているのは自分たちのウェブサイトであり、非公開希望者のリストも手元にあります。「非公開希望者の氏名が、公開ページ上に存在しないこと」の照合は、原理的には自組織で実施できる点検です。それが4年以上行われなかったことが、期間を長期化させました。公開しているコンテンツと、公開してよい範囲の定義を突き合わせる作業は、年に一度でも実施すれば期間は大幅に縮みます。

3. 原因不明のまま公表する判断は妥当

町は原因を特定できていない段階で公表に踏み切っています。誤掲載の事実と期間が確定しているのであれば、原因究明を待たずに対象者へ知らせる判断は適切です。原因が固まるまで公表を止める運用は、対象者が自衛する機会を奪います。

ヤグラの視点 — 攻撃者のいないインシデント：誰も侵入していないのに、4年分の意思が無効になった

不正アクセスもマルウェアもなく、外部の誰かが何かを破った形跡もない、攻撃者の存在しないインシデントだからです。それでも、寄付者が明示的に選んだ「氏名を公開しない」という意思は、4年以上にわたって無効化され続けていました。

インシデント対応の議論は、どうしても「誰かに攻撃された」ケースを前提に組み立てられます。侵入経路をふさぎ、痕跡を追い、封じ込める。しかし自組織が自ら公開してしまった情報には、遮断すべき経路も、追うべき痕跡もありません。技術的な防御層は、この種の事故に対して一切作動しません。ファイアウォールもEDRも、正規の手順で正規のサーバに掲載されたコンテンツを止める立場にはないからです。

だからこそ、攻撃者のいないインシデントを見つけられるかどうかは、「自分たちが今、何を、どこまで見せているか」を定期的に自分で確かめる仕組みがあるかにかかっています。公開範囲の定義（誰の何を出してよいか）と、公開の実態（実際に出ているもの）を突き合わせる。この照合が業務プロセスに組み込まれていない組織では、誤公開は「外部から指摘されるまで」続きます。本件の4年という長さは、その照合が存在しなかった期間の長さそのものです。

今後の対応

八重瀬町は原因の詳細調査を継続するとしており、調査結果に応じた続報が想定されます。個人情報保護委員会への報告と、対象となる寄付者への個別説明・謝罪が進められます。

更新履歴

日時	内容
2026-05-22	初稿公開（公表日時点）