東京都、職員向け「東京デジタルアカデミー」ポータルでアクセス制限に不備 — 職員2,438人分、CSVのダウンロード痕跡も確認

項目	内容
発生日	2026年5月20日（アクセス可能な状態が生じた日）
公表日	2026年6月9日
対象組織・業界	東京都（職員向け「東京デジタルアカデミー（TDA）ポータルサイト」）
事象	個人情報保存領域のアクセス制限不備により、権限のない利用者が個人情報を閲覧可能な状態に
影響件数	行政職員 最大2,438人分 / 一般住民 2人分
情報源	Security NEXT（2026年6月9日）

概要

東京都は2026年6月9日、職員向けの学習ポータル「東京デジタルアカデミー（TDA）ポータルサイト」において、個人情報の保存領域でアクセス制限が適切に行われていなかったことを公表しました。これにより、権限を持たない利用者が個人情報にアクセスできる状態が生じていました。

アクセス可能な状態にあったのは、行政職員最大2,438人分の氏名・業務用メールアドレス・ハッシュ化されたパスワードと、一般住民2人分の氏名・メールアドレス・ハッシュ化されたパスワードです。さらに、CSVファイルが過去にダウンロードされていたことが確認されたと説明しています。

経緯

• 2026年5月20日: 個人情報の保存領域において、アクセス制限が適切に行われていない状態が生じる
• その後、当該領域に対してCSVファイルのダウンロードが行われていたことが判明
• アクセス制限設定を修正
• 対象となる職員に対して謝罪
• 2026年6月9日: 事案を公表

原因

アクセス制限が適切に行われていなかった具体的な理由（設定変更の経緯、いつから不備が存在したか、どの権限レベルで閲覧可能だったか）は公表されていません。

考えられる原因（推測）: 職員向け学習ポータルのような内部利用システムで個人情報の保存領域が露出する経路としては、(a) 機能追加やコンテンツ更新の際にファイル保存ディレクトリの権限設定を引き継がず、既定の緩い権限で作成された、(b) 認証はかかっていたが「ログイン済みユーザーであれば誰でも読める」設計になっており、ロール単位の認可制御が抜けていた、(c) 管理者向けのCSV出力機能に対する権限チェックが実装されておらず、URLを知っていれば実行できる状態だった、といったパターンが典型です。本件は「認証は通っている職員」がアクセスできる状態であったことを示唆する記述であり、外部からの不正侵入ではなく認可（オーソライゼーション）設計の抜けと考えられます。ただしこれは公表事実からの推測であり、確定した原因ではありません。

対策

組織が学ぶべきこと

1. 「認証」と「認可」は別の話である

職員向けの内部システムでは、「都のネットワークからログインした職員しかアクセスできない」ことをもって安全とみなす設計になりがちです。しかし本件のように個人情報を含むファイル領域は、ログイン済みであっても職務上必要な者だけに絞る必要があります。認証（誰であるか）が通っていることは、認可（何をしてよいか）の根拠にはなりません。内部システムだからこそ、利用者数が多く、閲覧できてしまう範囲が広くなります。

2. ハッシュ化パスワードも「漏えいしてよい情報」ではない

公表ではパスワードが「ハッシュ化されている」と明記されています。これは平文よりはるかに望ましい状態ですが、ハッシュ化されていれば安全という意味ではありません。ハッシュアルゴリズムの強度やソルトの有無によって、辞書攻撃・レインボーテーブルによる復元可能性は変わります。加えて、氏名と業務用メールアドレスがセットで揃っていることは、それ自体が標的型攻撃の下準備に使える情報です。都職員2,438人分の実在するメールアドレス一覧は、なりすましメールの送り先リストとして機能します。

3. 「ダウンロードされていた」ことが分かったのは、ログが残っていたから

本件で特筆すべきは、アクセス制限の不備そのものではなく、CSVファイルが過去にダウンロードされていたという事実まで確認できている点です。設定不備の事案では「閲覧可能な状態だったが、実際にアクセスされた証跡は確認できていない」という説明で終わることが少なくありません。この違いは、対象者への説明の質を決定的に左右します。「見られた可能性がある」と「実際にダウンロードされた記録がある」では、対象者が取るべき行動（パスワード変更、なりすましメールへの警戒）の緊急度が変わります。

ヤグラの視点 — 攻撃者のいないインシデント：誰も侵入していないのに情報が出ていく構造

本件には、いわゆる攻撃者が登場しません。脆弱性を突かれたわけでも、認証情報を盗まれたわけでもなく、個人情報の置き場所に対する権限設定が意図した状態になっていなかったという一点で成立しています。それにもかかわらず、氏名・メールアドレス・ハッシュ化パスワードという実害に直結する組み合わせが、権限のない利用者の手元でCSVとして取得可能でした。

このタイプの事案が厄介なのは、すべての操作が「正常な操作」として記録されることです。ログイン試行の失敗も、不審な国外IPも、マルウェアの検体も残りません。ダウンロードは正規ユーザーによる正規のHTTPリクエストであり、境界防御やアンチウイルスの視点からは何も起きていないことになります。だからこそ、公開範囲・権限設定の変更そのものを監視対象として扱い、「昨日まで管理者しか読めなかった領域が、今日は全ログインユーザーから読める」という状態変化に気づける仕組みが必要になります。

本件で「ダウンロードされていた」まで言い切れたのは、アクセスログが取得・保管されていたからです。ヤグラの AI SOC は、各種システムのログを集約して横断的に相関し、AIが「誰がどのファイルを、いつ、どれだけ取得したか」を追跡可能な状態に保つための基盤を提供します。攻撃者がいない事案ほど、平時のログ設計だけが唯一の証跡になります。

今後の対応

東京都はアクセス制限設定を修正し、対象職員への謝罪を完了しています。ダウンロードされたCSVの取得者・利用目的・二次利用の有無について追加の説明が行われるかが注目点です。対象者側では、業務用メールアドレスを標的としたなりすましメールへの警戒と、他システムでのパスワード再利用の確認が実務上の対応となります。

更新履歴

日時	内容
2026-08-05	過去アーカイブとして記事化（キュレーション）