宮城県涌谷町、イベント申込フォームの共有設定不備で申込者26人の個人情報が閲覧可能に — 2時間半で是正

項目	内容
発生日	2026年5月18日19時ごろ（公開） / 同日21時半（設定修正）
対象組織・業界	宮城県涌谷町（地方自治体）
攻撃手法	攻撃なし。Googleフォームの回答共有設定の誤り
情報源	Security NEXT（2026年6月15日）

概要

宮城県涌谷町は、純米大吟醸「花時雨」のお披露目イベントの申込に使用したGoogleフォームにおいて、「結果の概要を回答者と共有する」設定が有効になっていたため、申込者が他の申込者の個人情報を閲覧できる状態になっていたことを公表しました。

閲覧可能だったのは、申込者26人の氏名、電話番号、年齢、メールアドレスです。町の確認では、実際に他者の情報を閲覧したのは4人から5人とされています。

公開は2026年5月18日19時ごろ、申込者からの指摘を受けて同日21時半に設定を修正しており、露出時間は約2時間半にとどまりました。対象となる申込者には報告と謝罪を実施しています。

経緯

• 2026年5月18日19時ごろ: イベント申込用のGoogleフォームを公開。回答の概要を回答者と共有する設定が有効の状態だった
• 同日: 申込者から「他の申込者の情報が見える」旨の指摘を受ける
• 同日21時半: 設定を修正し、閲覧可能な状態を解消
• その後、対象となる申込者に報告と謝罪を実施
• 2026年6月15日: 事案が報じられる

原因

Googleフォームには、回答を送信した人に対して集計結果の概要を表示する設定が用意されています。この設定は選択式の統計だけでなく自由記述欄に入力された内容も回答者間で共有されるため、氏名・電話番号などを収集するフォームで有効にすると、申込者名簿がそのまま参加者全員に見える状態になります。

本件では、この設定が有効のままフォームが公開されたことが直接の原因です。町の発表では、設定が有効になっていた経緯（既定値のままだったのか、意図的に有効化されたのか）についての言及はありません。

考えられる原因（推測）: 汎用SaaSのフォーム機能を業務利用する際の典型的な経路として、(a) 過去に作成したフォームを複製して流用し、元フォームの設定を引き継いだ、(b) 作成者が設定項目の意味を「回答件数だけが見える」と誤解した、(c) 公開前の動作確認を作成者自身のアカウントで行ったため、他人の回答が見える挙動を再現できなかった、といったものが挙げられます。特に (c) は、作成者本人のテストでは絶対に気づけない種類の見落としで、この設定不備が公開まで通ってしまう構造的な理由になりえます。

対策

組織が学ぶべきこと

1. フォームは「作った人以外の目」で公開前に見る

この種の設定不備は、作成者が自分の権限で確認する限り再現しません。共有設定・公開範囲の検証は、別のアカウント（できれば組織外の一般ユーザー相当）で1回申し込んでみることでしか担保できません。数分の作業ですが、これを公開手順に含めているかどうかで結果が変わります。

2. 汎用SaaSで個人情報を集めるときの既定値リスク

Googleフォームのような汎用ツールは、アンケート・投票のような「共有されても困らない用途」を前提とした機能を多く備えています。自治体がイベント申込・住民アンケートに転用する場合、用途と機能設計の前提がずれていることを意識する必要があります。「氏名・連絡先を集めるフォームでは、回答共有・概要表示に関する設定をすべてオフにする」という組織標準のチェックリストが有効です。

3. 対象が26人でも公表した判断

本件は申込者26人、実際の閲覧が4〜5人、露出時間2時間半という規模です。公表しないという選択もありえた事案ですが、涌谷町は対象者への個別報告と公表を選んでいます。軽微だから伏せる、という運用を一度でも認めると、判断基準は必ず緩む方向に滑ります。規模ではなく事実の有無で公表を決める姿勢は、住民の信頼という観点で正しい方向です。

ヤグラの視点 — 復旧可能性という指標：2時間半で封じられた条件は何だったか

インシデントを「起きたかどうか」だけで評価すると、この事案は失敗として片付いてしまいます。しかし19時に公開し、21時半に是正したという事実を、条件の側から見ると学べるものがあります。

2時間半で封じ込められた理由は3つに分解できます。第一に、気づいた人がすぐ町に伝えられる経路があったこと。申込者からの指摘が同日中に担当部署に届いています。第二に、是正操作が単純だったこと。Googleフォームの設定を切り替えるだけで露出は止まり、システム停止やベンダー手配は不要でした。第三に、指摘を受けた側が「確認してから対応する」で夜まで持ち越さなかったこと。同日21時半という時刻は、通常の勤務時間を過ぎてから動いたことを示しています。

逆に言えば、この3条件のどれかが欠けていれば、露出は数日〜数週間に伸びます。外部からの指摘窓口が分かりにくければ第一が崩れ、独自開発システムであれば第二が崩れ、「翌営業日に上司の判断を仰ぐ」運用であれば第三が崩れます。

設定不備そのものはゼロにできません。だからこそ「起きたときに何時間で止められる組織か」を指標として持つことに意味があります。本件は、攻撃者が関与しないインシデントであり、セキュリティ製品で検知できる事案ではありません。評価すべきは製品ではなく、通報経路の分かりやすさと、時間外でも封じ込めを実行できる権限設計です。

今後の対応

設定修正と対象者への謝罪は完了しており、事案としては収束しています。監視ポイントは、他の部署が公開している申込・アンケート用フォームに同種の設定が残っていないかの横展開点検、および外部ツールを業務利用する際の公開前チェック手順の整備状況です。

更新履歴

日時	内容
2026-08-04	アーカイブとして初稿作成（2026年6月15日報道時点）。DBの仮severity medium を、対象26人・露出2時間半・是正済みの実態に照らし low に修正