兵庫県洲本市、ふるさと納税寄付者の個人情報リスト画像がSNSに投稿 — 元データ約4万3千件の漏えい可能性、職員・元職員の関与も含め調査

項目	内容
発生日	2026年5月29日午後（市が把握） / 対象データは2015〜2021年度分
対象組織・業界	兵庫県洲本市（地方自治体・ふるさと納税業務）
攻撃手法	外部からの攻撃は確認されていない。庁内データの持ち出しとSNSへの投稿（原因調査中）
情報源	Security NEXT（2026年6月9日） / 洲本市「洲本市個人情報漏洩事案の発生について」

概要

兵庫県洲本市は、ふるさと納税の寄付者に関する個人情報を含むリストの画像がSNS上に投稿され、誰でも閲覧できる状態になっていたことを公表しました。

市が確認した範囲では、対象は洲本市民の23人分・63件（重複を含む件数）です。ただし投稿されていた画像の内容から、リストの元データそのものが漏えいしていた可能性があり、その場合の規模は約2万3千人分・約4万3千件に及びます。

対象となるデータは、2019〜2021年度に洲本市へふるさと納税をした市民の情報、および2015〜2021年度に返礼品として洲本温泉利用券の提供を受けた人の情報です。含まれる項目は氏名、住所、寄付額、入金日、返礼品の品目、および寄付番号・温泉利用券の番号・枚数・券種・発行年度・発送日などで、クレジットカード番号や銀行口座情報は含まれていません。

SNSへの投稿には「ふるさと納税の返礼品を市民に対して送るのは禁止されているのに送られていた」という主旨の文言が添えられていました。市長は、市職員または元職員がセキュリティ体制を逸脱する形で不適切な行為を行い、情報漏えいに至った可能性が否定できないと述べており、市はアクセス権限を持つ職員へのヒアリングを含めて調査を進めています。

経緯

• 2015〜2021年度: 対象となるふるさと納税・洲本温泉利用券のデータが蓄積される
• 2026年5月29日午後: 市民からの通報により、SNS上に個人情報リストの画像が投稿されていることを市が把握。アクセス制限はかかっておらず、誰でも閲覧できる状態だった
• 同日夜: 市がSNS運営会社に対して投稿の削除を要請
• 2026年5月30日午後: 投稿の削除を確認
• 対象となる市民への対応、および漏えい経路の調査を開始。アクセス権限を持つ職員へのヒアリングを実施
• 2026年6月9日: 事案が報じられる。原因は関係機関と相談のうえ調査中。個人情報の不正利用による被害は現時点で確認されていない

原因

漏えいの経路は特定されておらず、市は「関係機関と相談し、現在調査中」としています。外部からの不正アクセスやシステムへの侵害は、現時点で確認されていません。

市長は「市職員または元職員がセキュリティ体制を逸脱するかたちで不適切な行為を行い、情報漏えいに至った可能性が否定できない」と述べており、市はアクセス権限を保有する職員へのヒアリングを含めた調査を進めています。これは確定した原因ではなく、市自身が示した仮説の一つである点に留意が必要です。

考えられる原因（推測）: 投稿内容の性質が、経路の推定に手がかりを与えています。添えられていた文言は「ふるさと納税の返礼品を市民に対して送るのは禁止されているのに送られていた」という制度運用への告発的な内容でした。この文脈からは、(a) 業務上データにアクセスできる立場の者が、制度運用の問題を指摘する目的でデータを抽出・持ち出し、公開した、という経路が最も整合します。データの内容が寄付者の居住地（市民かどうか）と返礼品の品目を突き合わせられる形式であることも、この目的に沿った抽出であることを示唆します。

一方で、(b) 業務用データが庁内のファイルサーバや共有フォルダに広くアクセス可能な状態で保管されており、直接の業務担当者以外も参照できたために持ち出しの母集団が広かった、(c) 過去の業務で作成されたエクスポートファイルが削除されずに残置され、それが持ち出された、といった可能性も考えられます。2015〜2021年度という5〜7年前のデータが対象になっている点は、(c) の残置データ経路と整合的です。現に業務で必要なデータであれば直近年度が含まれるはずで、古い年度に限定されているという事実は、抽出時点の作業成果物がそのまま保管されていた可能性を示します。

なお、市が漏えい範囲を「確認済み23人・63件」と「可能性のある約2万3千人・約4万3千件」の二段で説明しているのは、SNSに投稿された画像に写っていた範囲（確認済み）と、その画像の元となったファイル全体（可能性）を区別しているためと考えられます。この区別は誠実な説明ですが、同時に元ファイル全体がどこまで拡散したかを市が把握できていないことを意味します。

対策

組織が学ぶべきこと

1. 「誰がいつこのデータを抽出したか」を、ヒアリングではなくログで答えられるか

本件で市が採っている調査手段は、アクセス権限を持つ職員へのヒアリングです。これは、データの抽出・エクスポート・持ち出しの操作記録から特定する手段が十分でなかったことを示唆します。ログで答えられる組織であれば、調査は「4月から5月にこのテーブルを一括抽出した操作の一覧」を出すことから始まります。ヒアリングから始まる調査は、時間がかかり、対象者の心理的負担が大きく、そして特定に至らない可能性が高い方法です。

2. 5〜7年前のデータが「まだ抽出可能な形で存在していた」こと

対象は2015〜2021年度のデータです。ふるさと納税業務における当該年度のデータが、2026年時点でなお一括抽出できる状態にあったこと自体が、リスクの土台になっています。保有期間の定義と、期間を過ぎたデータの確実な削除は、事故が起きたときの被害量を直接的に決めます。「念のため残しておく」という判断の積み上げが、そのまま将来の漏えい件数になります。

3. 権限を持つ人間の数が、リスクの分母になる

内部からの持ち出しが疑われる事案では、調査の難易度と再発防止の難易度が、どちらも「権限保有者の人数」に比例します。ふるさと納税の寄付者データベース全件にアクセスできる職員が何人いるのか、そのうち一括エクスポート権限を持つのは何人か——この分母を絞ることが、最も効果的な事前対策です。加えて、参照権限と一括抽出権限を分離する（画面上で個別に確認することはできるが、CSV等での一括出力は限られた権限でのみ可能）という設計は、業務を阻害せずにリスクを大幅に下げられます。

4. 内部からの告発と情報漏えいは、別に扱う必要がある

本件の投稿には制度運用への告発的な文言が添えられていました。仮に制度運用に問題があったとしても、寄付者2万3千人の個人情報を公開することは、その問題とは無関係の第三者に被害を負わせる行為です。同時に組織側の教訓としては、内部で問題を指摘できる正規の経路が機能していれば、この形の公開に至らなかった可能性があるという点も見る必要があります。内部通報制度が「使える」状態にあるか——形式的に存在するかではなく、使った人が不利益を受けないと信じられているか——は、情報セキュリティの一部です。

5. SNS投稿の削除は、収束ではない

市は5月29日夜に削除要請を行い、5月30日午後に削除を確認しています。約1日での対応は迅速です。しかし削除確認までの間に画像が保存・転載された可能性は消えません。加えて、投稿された画像の元となったファイル全体が誰の手にあるのか、追加の投稿がないかは、市の制御下にありません。削除は被害の拡大を止める措置であり、既に渡ったものを回収する措置ではありません。

ヤグラの視点 — 説明責任のログ：問われるのは「事実」ではなく「証明できる事実」

自治体が個人情報漏えい事案で最終的に問われるのは、「何が起きたか」ではなく「何が起きたかを、どこまで証明できるか」です。

本件で洲本市は、いま極めて難しい立場にあります。SNSに投稿された画像から確認できるのは23人・63件。しかし元データ全体が漏えいした可能性を否定できないため、約2万3千人・約4万3千件という数字も併記しなければならない。この二つの数字の間には千倍近い開きがあり、その開きは調査能力の限界を示す数字です。市が「元データも漏えいした」と断定できないのと同じ理由で、「元データは漏えいしていない」とも言えません。

この不確実性のコストは、市民に転嫁されます。約2万3千人は、自分の情報が漏れたのかどうか分からないまま、可能性の通知を受ける立場に置かれます。個人情報保護委員会への報告、議会での説明、報道への対応——そのすべてにおいて、市は「可能性がある」という言葉を使い続けることになります。

この状態を分けたのは何か。データの抽出・出力操作が記録されていたかどうか、その一点です。仮に、ふるさと納税データベースに対する検索・参照・一括出力の操作が、実行者・時刻・対象範囲とともに記録され、かつ検索可能な状態にあったなら、市の調査はまったく違う形になっていました。「2015〜2021年度分を一括で出力した操作は、いつ、誰によって、何件分行われたか」を数時間で答えられる。そこから対象者を確定し、通知範囲を絞り、そして経路を特定できる。ヒアリングは、ログで絞り込んだ対象に対する裏取りとして機能します。

自治体には、地方公共団体情報セキュリティポリシーによってログの取得と定期的なレビューが求められています。しかし実務では、「ログを取得している」と「ログから答えを出せる」の間に大きな隔たりがあります。複数の業務システムに分散したログを、事案発生後に人手で突き合わせて時系列を再構成する作業は、数週間を要する上に、対象期間が古ければログの保存期間を超えていることも珍しくありません。

ヤグラの AI SOC は、各種システムのログを集約・変換して横断的に保持し、AIエージェントに自然言語で監査・脅威ハンティングを指示できる基盤を提供します。「先月、住民データを一括抽出した操作をすべて出せ」「業務時間外に大量レコードを参照したアカウントを挙げろ」といった問いに答えられる状態を、定期監査として回せるようにするものです。

ただし、本件の性質について正確に書いておく必要があります。内部者が業務権限の範囲内で行うデータ参照は、セキュリティ製品では止められません。止められるのは、権限設計（誰が一括出力できるか）とデータ保持方針（いつまで残すか）です。製品が担えるのは、①権限の範囲を超えた、あるいは平常時と乖離した操作を異常として拾うこと、②事後に「誰が何をしたか」を証明可能にすること、の二つです。この二つは事故の予防ではなく、事故の規模を確定させ、説明責任を果たすための能力です。約2万3千人に対して「可能性があります」と言うのか、特定の人数に対して「あなたが対象です」と言えるのか——その差は、この能力の有無で決まります。

今後の対応

漏えい経路は調査中で、市は関係機関と相談しながら原因の特定を進めています。アクセス権限を持つ職員へのヒアリングを含む調査が継続中です。監視ポイントは、①漏えい経路・関与者の特定と公表、②元データ全体（約2万3千人・約4万3千件）が漏えいしていたかの確定、③個人情報の不正利用による二次被害（寄付者を狙った詐欺、ふるさと納税を口実にした連絡など）の発生有無、④SNS上での再投稿・転載の有無、⑤個人情報保護委員会への報告および市としての再発防止策の内容です。確認済みの23人と、可能性のある約2万3千人という範囲の開きが今後どう収束するかが、本件の最大の焦点になります。

更新履歴

日時	内容
2026-08-04	アーカイブとして初稿作成（2026年6月9日報道時点）。DBの仮severity medium を、元データ約2万3千人・約4万3千件の漏えい可能性に照らし high に修正