名古屋市、NPO法人事業報告書のマスキング不備で役員・職員の住所が閲覧可能に — 他自治体の事故報道を受けた自主点検で発覚

項目	内容
発覚日	2026年5月3日（自主点検）
公表日	2026年5月27日
対象組織・業界	名古屋市／自治体
事象	公開PDFのマスキング処理不備による個人情報の閲覧可能状態
掲載先	内閣府のポータルサイト
情報源	Security NEXT（2026年5月27日）

概要

名古屋市は、内閣府のポータルサイトに掲載していたNPO法人の事業報告書のPDFファイルについて、マスキング処理に不備があり、NPO法人の役員・職員の住所が参照できる状態だったことを公表しました。

墨塗り処理は施されていたものの、マスキング部分のデータがファイル上に残存しており、参照できる状態でした。対象件数は調査中とされています。

経緯

• 2026年5月1日: 他自治体において同様の事故が発覚（報道）
• 2026年5月3日: 名古屋市が自主的に点検を実施し、マスキング処理の不備を確認
• 2026年5月7日: 内閣府に申請し、ポータルサイト上での公開を停止（アクセスを制限）
• 対象となるNPO法人に対し、書面での説明と謝罪を実施
• 2026年5月27日: 公表

原因

PDFファイルに対して個人の住所を墨塗り処理していたものの、マスキング部分の元データがファイル内に残存しており、参照可能な状態で掲載されていたことが原因です。

考えられる原因（推測）

以下は公表された事実からの技術的な仮説であり、市が公表したものではありません。

PDFのマスキングで最も多い失敗は、「見えなくする」操作と「削除する」操作を取り違えることです。具体的には、次のいずれかが行われた可能性が考えられます。

1. 黒い矩形を上に重ねただけの処理: 注釈機能や図形描画で黒塗りを追加した場合、下層のテキストはPDFの内容ストリームに残ります。テキスト選択・コピーやテキスト抽出で読み取れます。
2. 元文書側で塗りつぶしてPDF化した処理: ワープロソフト上で文字色を白にする、蛍光ペンで塗る、図形を重ねるといった処理をした後にPDF出力した場合も、レイアウト情報として文字が保持されることがあります。
3. 画像化を伴わない一括処理: 複数ファイルを一括で処理する運用では、正規の墨消し（redaction）機能ではなく描画ツールが選ばれやすくなります。

いずれの場合も、画面上は正しく黒塗りされて見える点が共通しています。作業者が目視で確認しても不備を発見できず、点検の観点が「見えているか」に留まる限り検出されません。これらは推測であり、公表された事実はマスキング部分のデータが残存していたことまでです。

対策

組織が学ぶべきこと

1. マスキングの検証は「見た目」ではなく「抽出結果」で行う

PDFの墨塗りが正しく行われたかを確認する唯一確実な方法は、公開前にテキスト抽出をかけて、隠したはずの文字列が出てこないことを確認することです。ビューアで開いて黒く見えることは、何の検証にもなりません。コマンドライン、あるいは検索機能で対象者名や地名を検索するだけでも、多くの不備は検出できます。この確認を公開前のチェックリストに1行足すコストは、事故後の対応コストと比較になりません。

2. 「他所で起きた事故」を、自組織の点検トリガーとして制度化する

本件で名古屋市は、5月1日に他自治体で同様の事故が発覚したことを受け、5月3日に自主点検を実施して不備を発見しています。2日というのは、報道を認知してから点検が動くまでの時間として速い部類です。この動きがなければ、不備は発見されないまま公開が続いていました。他組織のインシデント報道は、自組織にとっての無料の脆弱性診断です。「同じ仕組みを自分たちも使っていないか」を問い直す担当と手順が決まっているかが、この差を生みます。

3. 掲載先が他機関のシステムだと、止めるまでに手続きが挟まる

本件の掲載先は内閣府のポータルサイトでした。市が不備を確認したのは5月3日ですが、公開停止は5月7日です。この4日間の差は、自組織の判断だけでは公開を止められない構造から生じています。他機関が運営するポータルへ情報を提出する業務では、緊急時の公開停止・差し替えの手続きと所要時間を、平時のうちに確認しておく必要があります。「止められる」と思っていた情報が、実は申請を経ないと止まらない、というのは事故対応で頻繁に起きる誤算です。

ヤグラの視点 — 組織固有知識の学習：他組織の事故を、自組織の点検に変換できるか

PDFの墨塗り作業は職員の手作業であり、公開先も外部機関のポータルです。ここで書けるのは、点検の設計と情報の受け止め方に関する話に限られます。

そのうえで、本件には他の漏えい事案にない特徴があります。外部から指摘されて発覚したのではなく、自分たちで見つけたという点です。

インシデントの発覚経路には、大きく分けて「外部通報」「被害の顕在化」「自主点検」の3つがあります。このうち圧倒的に多いのは前の2つで、公表される事案の多くは「外部からの指摘により判明」という一文で始まります。名古屋市の5月3日の点検は、そのどちらでもありません。他所で起きた事故のニュースを、自組織への警告として読み替えた結果です。

これは、技術的な仕組みで代替しにくい能力です。同じ報道を読んでも、「自治体でこんな事故があったらしい」で終わる組織と、「うちも同じ様式のPDFを同じポータルに出している」まで進む組織があります。その差は担当者の意識の高さというより、自組織が何をどこに出しているかの一覧を、平時に持っているかどうかで決まります。一覧がなければ、点検しようにも対象が分かりません。名古屋市が2日で動けたのは、対象を特定できる状態にあったからだと考えるのが自然です。

セキュリティの世界では、これと同じ発想を検知の側で扱います。他所で観測された攻撃手口を、自組織のログに当てはめて「同じ形の痕跡がないか」を遡って探す作業です。外の知識を、自分たちのデータに当てて確かめる——手作業のPDF点検も、ログの遡及調査も、構造は同じです。違うのは、後者は対象が膨大で人手では回らないという点だけです。

本件で名古屋市が示したのは、インシデント報道の最も正しい読み方です。他組織の事故を「他人事の教訓」として消費するのではなく、その日のうちに自組織の点検指示に変換する。この習慣が組織にあるかどうかは、次の1件が自主点検で見つかるか、外部通報で見つかるかを分けます。

今後の対応

市は内閣府ポータルサイトへのアクセスを制限し、対象NPO法人への書面による説明と謝罪を実施済みです。今後、個人情報を含む書類はポータルサイトに掲載しない方針を示しています。対象件数の確定に関する続報が注視されます。

更新履歴

日時	内容
2026-05-27	初稿公開（公表日時点）