浦添市の委託先従業員がPCを盗難、計83台が所在不明・うち3台に住民情報が保存

項目	内容
発生日	2026年3月下旬に盗難判明
対象組織・業界	沖縄県浦添市（自治体）
攻撃手法	委託先従業員による業務用PCの盗難
情報源	Security NEXT（2026年6月19日）

概要

サイバー攻撃者は組織の外にしかいないと考えがちですが、実際には「業務のために組織内部に入ってくる人」が最も情報に近い距離にいます。委託先の常駐スタッフ、清掃業者、保守要員——彼らは正当な理由で施設に入り、物理的な機器に触れられる立場にあります。

2026年6月19日、沖縄県浦添市は、業務委託先のヘルプデスク担当従業員が施錠された部屋から業務用ノートパソコンを盗み、警察に逮捕されたことを公表しました。全庁的な調査の結果、計83台のパソコンが所在不明となっており、当初「被害端末に個人情報は含まれない」と発表していたものの、後の調査で3台に住民情報が保存されていたことが判明しています。

経緯

• 2026年3月下旬: 盗難が判明。防犯カメラに「不審な動き」の記録
• 2026年4月16日: 盗難届が提出される
• 2026年4月17日: 委託先の従業員が逮捕
• 全庁調査を実施: 保管台数確認の過程で計83台の所在不明を発見
• 2026年6月19日: 公表

原因

攻撃ではなく、内部者（委託先従業員）による窃盗です。侵入も攻撃も伴わない、極めて古典的な情報漏えいの形態が背景にあります。

構造的な問題（推測）: (a) 端末の資産管理台帳と実物照合が定期的に行われていなかった可能性、(b) 「被害端末に個人情報は含まれない」という初期発表が後から覆っていることから、端末ごとの保存情報の把握が不十分だった可能性、(c) 委託先従業員の作業ログ・入退室ログが十分でなかった可能性が指摘できます。

対策

組織が学ぶべきこと

1. 攻撃なきインシデントは「静かに続く」

本件は防犯カメラの記録と全庁調査で発覚しましたが、カメラを見なければ盗難は発覚せず、全庁調査をしなければ83台の所在不明は把握されなかった可能性が高いです。攻撃なきインシデントには、それに気づく仕組み——資産管理の定期棚卸し、入退室ログ、端末の紐づけ——が必要です。

2. 「委託先を通じた内部者リスク」の棚卸し

自治体・大企業のヘルプデスク・保守業務は、多くが委託されています。しかし委託先従業員は、自社の職員と同等の物理・論理アクセスを持ちながら、自社のセキュリティ研修・行動監査の対象になっていないことが多いです。契約段階で「委託先従業員の身元確認・研修受講・アクセスログ提出」を要件化する必要があります。

3. 端末とデータの紐づけを最新にしておく

本件で最も厄介なのは、「被害端末に個人情報は含まれない」という初期発表が後から覆った点です。これは端末に何のデータが保存されているかの把握が、実態に追いついていなかったことを意味します。端末の暗号化・データ最小化と併せて、「どの端末に何があるか」の管理を最新に保つ運用が求められます。

ヤグラの視点 — 攻撃者がいないインシデントに、防御製品は反応しない

不正アクセスにはアラートが鳴りますが、盗難にはアラートが鳴りません。EDRもSIEMも、正規のユーザーが正規の権限で行う操作を止めるようには設計されていません。この構造は、盗難だけでなく設定不備・目的外利用・誤操作といった「攻撃者不在のインシデント」すべてに共通します。

対応の要点は「気づく仕組み」を平時から作ることです。端末の物理配置と資産台帳の突合、入退室ログと業務時間の照合、委託先アクセスの継続監査——攻撃を検知する仕組みとは別に、内部側の異常を検知する仕組みが必要です。ヤグラは組織固有のコンテキストを踏まえたログの横断監査を AI SOC で支援しています。

今後の対応

同市は資産管理体制の見直しと委託先管理の強化を進めるとしています。所在不明83台の追跡調査は継続中です。

更新履歴

日時	内容
2026-07-28	過去アーカイブとして記事化（キュレーション）