広島県、新聞広告の二次元コード誤りで申込者86人分の個人情報が閲覧可能に — 誘導先が管理者用確認画面

項目	内容
発生日	2026年5月29日
公表日	2026年6月18日
対象組織・業界	広島県（自治体）
事象	新聞広告に掲載した二次元コードの誘導先が管理者用確認画面となっており、申込者情報が閲覧可能に
影響件数	86人分
情報源	Security NEXT（2026年6月18日）

概要

広島県は2026年6月18日、県民公開セミナーを告知する新聞広告に掲載した二次元コードの誘導先が誤っていたため、セミナー申込者の個人情報が閲覧できる状態になっていたことを公表しました。

2026年5月29日発行の新聞広告に掲載された二次元コードを読み取ると、申込フォームではなく管理者用の確認画面へ誘導される状態になっていました。この画面には、セミナー申込者86人分の氏名、住所、電話番号、年齢区分、そして疾病に関する相談内容が保存された状態で表示されていました。

問題は同日10時ごろ、申込者からの報告によって判明しました。

経緯

• 2026年5月29日: 県民公開セミナーを告知する新聞広告が発行。掲載された二次元コードの誘導先が管理者用の確認画面になっていた
• 同日10時ごろ: 申込者からの報告により問題が判明
• その後、申込画面を修正して受付を再開。県は委託先に対し、関係者への説明と謝罪を指示
• 2026年6月18日: 公表

原因

業務委託先が掲載用二次元コードのテストを実施していなかったことが直接の原因です。加えて広島県側は、広告の掲載文は確認したものの、確認対象に「二次元コードは含まれておらず未確認だった」と説明しています。

つまり、委託先も県も、印刷物に載る二次元コードを実際に読み取って遷移先を確認する工程を持っていなかったことになります。

考えられる原因（推測）: 申込フォームの構築時、開発・確認用のURLと公開用のURLが並存する構成は一般的です。管理者用の確認画面が認証なしで到達できる状態だった点も併せると、(a) フォーム作成ツール上で管理画面のURLをそのままコード化してしまった、(b) テスト環境のURLを本番用と誤認した、といった経路が考えられます。いずれの場合も、遷移先に認証がかかっていれば個人情報の露出は起きなかったはずで、URLの取り違えと管理画面の認証不備という2つの欠落が重なって成立した事案と見られます。

対策

組織が学ぶべきこと

1. 印刷物は「公開したら修正できない」チャネル

Webページの誤りは発見後に差し替えられますが、新聞広告に印刷された二次元コードは回収できません。本件では申込画面を修正して対応していますが、これは「コードの遷移先を後から正しくした」対応であり、コード自体は変えられません。修正不可能なチャネルに載せる前の確認は、Web公開時よりも厳格でなければ釣り合わないという当たり前が、印刷物の校正フローに組み込まれていなかったことが問われます。

2. 「掲載文は確認した」は確認の完了を意味しない

県は広告の掲載文を確認していました。しかし確認対象に二次元コードが含まれていませんでした。校正のチェックリストがテキストベースで作られていると、コードや画像リンクといった「読み取って初めて内容が分かる要素」は構造的に漏れます。確認項目は媒体の要素構成に合わせて更新する必要があります。

3. 管理者用画面に認証がない状態を許容していないか

本件で露出したのは、疾病に関する相談内容を含む機微性の高い情報です。二次元コードの誘導先が誤っていたことは事故のトリガーですが、その先が認証なしで見られる管理画面だったことが被害を成立させました。URLを知られただけでデータが見える設計は、リンクの取り違え・検索エンジンのクロール・URLの共有といった無数の経路で露出します。委託先に構築を任せる場合も、管理機能の認証要件は発注側の必須要件として明示すべき項目です。

ヤグラの視点 — チャネルの死角：点検の目が「メール以外」に届いているか

攻撃者は存在せず、印刷物の校正工程とフォームの認証設計という2つの業務プロセスの欠落が原因です。

ただし本件は、リスク点検の対象範囲について重要な示唆を含んでいます。組織のセキュリティ点検は、歴史的にメールとWebに集中してきました。メールの誤送信対策、Webサイトの脆弱性診断、添付ファイルの取り扱い——これらは手順化されています。一方で、新聞広告に載る二次元コード、パンフレットのURL、店頭ポスターのコードといった経路は、多くの組織で「広報の仕事」として扱われ、セキュリティ点検の対象になっていません。本件で県の確認対象に二次元コードが含まれていなかったのは、この境界線がそのまま現れた結果です。

同じ死角は、攻撃側からも突かれています。二次元コードを使ったフィッシング（クイッシング）は、メールフィルタを通り抜ける手段として実際に増えており、貼り替えられた店頭ポスターのコードから偽サイトへ誘導する手口も報告されています。攻撃はSMS、電話、ポップアップ警告、二次元コードへとチャネルを広げているのに、訓練と点検はメール一本足のまま——というギャップが、防御側の一貫した弱点です。ヤグラ アウェアネスがSMS・電話・ClickFix型といったマルチチャネル型の訓練シナリオを備えているのは、この非対称を埋めるためです。→ ヤグラ アウェアネス

本件のような「攻撃のない露出」に対して製品が直接効くわけではありません。しかしリスクを見る目をチャネル横断に広げるという発想自体は、攻撃・事故の両方に共通して必要な前提です。

今後の対応

同県は申込画面を修正して受付を再開し、委託先に関係者への説明と謝罪を指示しています。疾病に関する相談内容という機微情報が含まれるため、対象者への説明の内容と、委託先における確認工程の再整備が焦点です。

更新履歴

日時	内容
2026-08-03	初稿公開（2026年6月18日公表時点の情報）