大阪府立高校で生徒資料を教室の机に置き忘れ、生徒7人が閲覧 — 180人分の個人情報、公表まで約7か月

項目	内容
発生日	2025年11月10日（置き忘れ）／11月11日（閲覧の発生）
公表日	2026年6月16日
対象組織・業界	大阪府（府内の高等学校。学校名は非公表）
事象	生徒資料を教室の机内に置き忘れ、別の生徒が閲覧
影響件数	生徒180人分の個人情報（うち指導計画9人分・教育支援計画1人分）
情報源	Security NEXT（2026年6月16日）

概要

大阪府は2026年6月16日、府内の高等学校で生徒の個人情報を含む資料が教室の机内に置き忘れられ、別の生徒に閲覧されたことを公表しました。

2025年11月10日、教員が打ち合わせで使用したファイルを教室の机の中に残したまま退室し、教室を施錠しました。翌11月11日の昼休み前に別の教員が教室を解錠したところ、昼食のために教室を利用した生徒7人が資料を閲覧しました。

資料に含まれていたのは生徒180人分の個人情報で、うち指導計画9人分、教育支援計画1人分が含まれます。情報項目は生徒名、生年月日、保護者名、出身中学校、住所、連絡先、障害の状況、関係機関、支援内容、懲戒処分情報、指導の経過などです。

経緯

• 2025年11月10日: 教員が打ち合わせで使用したファイルを教室の机内に置き忘れ、退室して施錠
• 2025年11月11日 昼休み前: 別の教員が教室を解錠。昼食利用のため教室にいた生徒7人が資料を閲覧
• 2026年6月16日: 大阪府が公表（発生から約7か月後）

原因

打ち合わせで使用した資料を、使用後に所定の保管場所へ戻さず教室の机内に残置したことが直接の原因です。攻撃者の関与はなく、書類の物理的な管理手順の逸脱による露出です。

考えられる原因（推測）: 教員が生徒の指導記録・支援計画といった機微性の高い資料を扱う場面は、職員室外（教室、面談室、会議室）で発生します。資料が職員室の施錠キャビネットに保管される運用でも、持ち出しから返却までの区間には管理の空白が生まれます。本件では「退室時に施錠した」という記述があり、教員としては教室を閉めたことで一定の安全を確保したつもりだった可能性が考えられます。しかし翌日には別の教員が正当に解錠し、生徒が教室を使用する——つまり施錠は一時的な措置にすぎず、翌日の運用が想定されていなかった構造です。

なお、公表が発生から約7か月後になっている点については、その理由が明らかにされていません。

対策

組織が学ぶべきこと

1. 「施錠したから安全」が成立するのは自分だけが鍵を持つ場合

本件で教員は教室を施錠して退室しています。しかし教室の鍵は他の教員も持っており、翌日には通常の運用として解錠されます。施錠が安全を意味するのは、その空間へのアクセス権が自分に限られている場合だけです。共用空間における一時保管は、時間の経過とともに自動的に露出リスクへ変わります。持ち出した資料は、その日のうちに施錠キャビネットへ戻す——という手順以外に、この構造を止める方法はありません。

2. 機微情報を含む資料は「持ち出し記録」で扱いを変える

本件の資料には、障害の状況、支援内容、懲戒処分情報、指導の経過が含まれます。これらは生徒本人・保護者にとって、氏名や住所以上に知られたくない情報です。同じ「生徒名簿」という名称でも、含まれる項目によって扱いの重みは全く異なります。機微情報を含む資料には物理的なマーキングと持ち出し記録を紐づけ、返却されていないことに気づける仕組みを持つ組織は、置き忘れを翌日まで放置しません。

3. 閲覧したのが「同じ学校の生徒」であることの意味

外部への流出と異なり、閲覧者は同校の生徒7人でした。データが外部に拡散するリスクは相対的に低い一方、閲覧された生徒と閲覧した生徒が同じ学校生活を送り続けるという点で、当事者への影響はむしろ深刻です。障害の状況や懲戒処分情報が同級生に知られることの重みは、件数では測れません。この種の事案では、情報が「どこまで広がったか」ではなく「誰に届いたか」が被害の質を決めます。

ヤグラの視点 — 影響範囲の特定：「誰が、どこまで見たか」を確定できる事案とできない事案

紙の資料の置き忘れであり、ネットワークもログもデータベースも関与しません。ヤグラの製品群が扱うのは「攻撃者がいる侵害」の領域であり、本件はその外側にあります。

それでも本件を記録に残す価値があるのは、影響範囲の特定という論点において、デジタル事案と紙の事案が対照的な構造を持つことを示しているからです。

本件では、閲覧者が生徒7人であることが特定できています。教室を使用した生徒の範囲が限定されており、資料の所在も1か所だったからです。「誰が、いつ、どこまで見たか」を確定できているという意味で、影響範囲の説明は成立しています。一方、資料が撮影されていないか、内容が口伝で広がっていないかは原理的に確認できません。ここが紙の事案の限界です。

デジタル事案では、この構造が逆になります。ファイルサーバから何が持ち出されたか、どのアカウントがどのデータにアクセスしたか——これらはログが残っていれば正確に特定できる一方、ログが残っていなければ何ひとつ言えません。当サイトで扱う不正アクセス事案の多くが「流出の可能性」という表現に留まるのは、この後者に該当するからです。攻撃者が入った痕跡はあるが、何を持ち出したかを示すログがない。だから「可能性」としか書けない。

つまりデジタル事案における影響範囲の説明責任は、事故が起きてから調査するものではなく、事故が起きる前にログ設計として決まっているということです。認証ログ、ファイルアクセスログ、アウトバウンド通信ログが横断的に相関できる状態にあるかどうかが、公表時に「180人分・閲覧者7人」と言える組織と、「流出の可能性は否定できない」と言うしかない組織を分けます。本件が発生から公表まで約7か月を要した理由は明らかにされていませんが、影響範囲の確定と関係者への対応に時間を要する事案であることは、紙・デジタルを問わず共通しています。

今後の対応

府の再発防止策の内容は公表されていません。閲覧された生徒・保護者への説明状況、資料の持ち出し・保管手順の見直し、公表までに約7か月を要した経緯について、続報を注視します。

更新履歴

日時	内容
2026-08-03	初稿公開（2026年6月16日公表時点の情報）