苫小牧民報社、記者が警察発表の個人情報を個人SNSに投稿 — 社内調査で判明、アカウントは削除済み

項目	内容
発生時期	2026年6月（投稿）／アカウント開設は2025年4月
公表日	2026年6月23日
対象組織・業界	株式会社苫小牧民報社（北海道苫小牧市／地方新聞社）
事象	編集局の記者が取材で知り得た個人情報を個人SNSアカウントに投稿
情報源	Security NEXT（2026年6月23日）

概要

苫小牧民報社は2026年6月23日、編集局の記者1名が取材活動で知り得た情報を報道以外の目的で個人SNSアカウントに投稿していたことを公表しました。

投稿には北海道警察が発表した少なくとも1件の文書に含まれる個人情報の一部が含まれていました。当該記者は2025年4月に個人SNSアカウントを開設し、これまで100件ほどの投稿を行っていました。事案は社内調査で判明し、同アカウントはすでに削除済みです。

経緯

• 2025年4月: 当該記者が個人SNSアカウントを開設
• 2026年6月: 北海道警察が文書を発表。記者がその内容の一部を個人SNSに投稿
• 社内調査により、取材活動で知り得た情報を報道以外の目的で投稿していたことが判明。当該アカウントでの投稿は約100件
• 同アカウントは削除済み。関係者に謝罪
• 2026年6月23日: 公表。警察発表の対応を担当者に限定し厳格に取り扱うこと、記者教育の見直しを表明

原因

同社は原因の詳細を公表していません。公表された事実は、記者が取材活動で知り得た情報を報道以外の目的でSNSに投稿していたこと、その中に個人情報を含む内容があったことです。外部からの攻撃や、システムへの不正アクセスは関与していません。

考えられる原因（推測）: この事案の構造上の特徴は、当該記者が業務上正当な権限で情報に接していた点です。警察発表の文書は取材のために正規に受け取ったものであり、アクセス制御では止められません。投稿先が業務アカウントではなく個人アカウントであったことからは、(a) 業務で得た情報と私的な発信の境界について、記者個人の判断に委ねられていた、(b) 個人SNSの利用に関する社内規程が存在しないか、存在しても記者職の実務に即した形で共有されていなかった、(c) 発信内容を第三者が確認する契機がなかった、といった条件が推測されます。約1年2カ月・100件の投稿が社内調査まで把握されていなかった点も、この推測を支えます。いずれも推測であり、確定した経緯は同社の説明に留まります。

対策

組織が学ぶべきこと

1. 権限内のアクセスは、技術的な制御では止まらない

報道機関において、記者が取材で得た情報に接することは業務そのものです。ここに「アクセス権限を絞る」という発想は成立しません。技術的制御が原理的に効かない領域では、行動規範と、それを職務の実態に落とし込む運用しか残らないのが本質です。同社が示した「警察発表の対応を担当者に限定して厳格に取り扱う」という措置は、情報が届く範囲そのものを絞る対応であり、この制約下での現実的な設計といえます。

2. 「業務で知った情報」と「個人としての発信」の境界を、職種ごとに具体化する

一般的な情報セキュリティ規程には「業務上知り得た情報を漏らさない」と書かれていますが、この抽象度では記者職の日常判断には届きません。記者にとって、取材で得た情報を文章にして外に出すことは職務そのものであり、問題は「出すこと」ではなく「どの器で、誰の責任で、どの編集工程を通して出すか」です。個人SNSは、この工程がすべて欠落した器です。規程を職務の言葉に翻訳しない限り、「自分は禁止されていることをしていない」という理解が残ります。

3. 1年以上・100件の投稿が把握されていなかった

アカウント開設から発覚まで約1年2カ月、投稿は約100件に達していました。個人アカウントを組織が監視することには当然の限界がありますが、ここで問われるのは監視ではなく、「業務情報を個人発信に使ってはいけない」という規範が、この期間中に一度も本人に届く機会がなかったという事実です。年1回の一般研修が形式的に消化されていたとしても、規範は届いていなかったことになります。

ヤグラの視点 — 役職別・部門別のリアリティ：記者に届く言葉で書かれていない規程は、届いていない

記者は正当な権限で情報に接し、個人の端末から個人のアカウントに投稿しています。不審メールの報告でもログ監視でも、この行為を検知・阻止することはできません。ここで書けるのは、教育設計と規範の伝達についての話だけです。

サイバーインシデントの原因の74%は人が要因とされます。だとすれば処方は、形骸化した訓練から脱することです。この事案は、その形骸化がどう表れるかの典型例といえます。全社共通の画一的な内容は、職種によって「自分の話ではない」と受け取られるからです。

記者にとってのリスクは、フィッシングメールをクリックすることよりも、取材で得た情報の扱いを自分で判断する場面の多さにあります。同様に、経理担当にとってのリスクは振込指示の真正性判断であり、人事担当にとっては応募者情報の取り扱い、経営層にとってはなりすましの標的になることです。「誰にとって、どの業務のどの瞬間が危ないか」を職種別に具体化しない限り、教育は受け手にとって他人事のままです。

ヤグラ アウェアネスは、AI攻撃の手口を反映した訓練シナリオと、組織全体・個人単位のセキュリティ状況の可視化を通じて、この「自分の業務に即した内容」を届けることを狙った製品です。ただし本件のように攻撃者が存在せず、正当な権限内の行為が問題となる事案では、訓練そのものが直接の解になるわけではありません。 効くのは、規程を職務の言葉に書き直し、それが本人に届いたことを組織として確認する工程です。同社が「記者教育の見直し」を再発防止策の中心に置いたのは、この事案の性質を正しく捉えた判断といえます。

今後の対応

同社は警察発表の対応を担当者に限定して厳格に取り扱うこと、記者教育の見直しを進めることを表明しています。関係者への謝罪は実施済みで、投稿内容に含まれていた個人情報の範囲について続報が想定されます。

更新履歴

日時	内容
2026-06-23	初稿公開（公表日時点）