NPO法人おてらおやつクラブ、Googleフォームの設定ミスで申込者155人分の回答が閲覧可能に — 公開30分後に修正

項目	内容
発生日	2026年5月19日（フォーム公開日・約30分後に設定修正）
対象組織・業界	NPO法人おてらおやつクラブ（非営利・こども支援）
攻撃手法	攻撃なし（Googleフォームの回答共有設定の誤りによる誤公開）
情報源	Security NEXT（2026年6月26日）

概要

NPO法人おてらおやつクラブは、2026年6月26日、参加申込フォームの設定ミスにより、申込者155人分の回答内容が他の申込者から閲覧できる状態になっていたことを公表しました。

対象となったのは、バリューブックスとの共同企画「ブックギフトプロジェクト」の参加申込フォームです（フォームを設置・運用していたのは同法人側で、設定不備の主体も同法人です）。Googleフォームの「結果の概要を表示する」設定が有効になっていたため、フォーム送信完了画面に表示されたリンクから、他の申込者の回答内容を閲覧できる状態になっていました。

閲覧可能となった情報は、氏名・住所・電話番号・メールアドレスの155人分です。フォームは2026年5月19日に公開され、約30分後に個人情報が閲覧できないよう設定が修正されています。事案は申込者からの問い合わせによって発覚しました。

経緯

• 2026年5月19日: 「ブックギフトプロジェクト」の参加申込フォームを公開。Googleフォームの「結果の概要を表示する」設定が有効な状態
• 同日（公開から約30分後）: 個人情報が閲覧できないよう設定を修正
• その後: 申込者からの問い合わせにより、閲覧可能だった事実が判明
• 公表前: 対象申込者へLINEで謝罪メッセージを送信
• 2026年6月26日: 公表

原因

原因は、Googleフォームの「結果の概要を表示する」設定が有効になっていたことです。この設定を有効にすると、回答の送信完了画面に集計結果を見るためのリンクが表示され、そのリンクから他の回答者の回答内容を参照できる状態になります。

考えられる原因（推測）: この設定は、アンケートの集計結果を回答者と共有したい場合に使う機能であり、機能自体は仕様どおりに動作しています。問題は、「集計結果を共有する」という機能が、氏名・住所を収集する申込フォームでそのまま有効になっていたことです。設定画面上では「回答者に概要グラフとテキスト回答を表示する」といった表現になっており、氏名や住所の自由記述欄がそのまま他の回答者に露出することが直感的に想像しにくい構造になっています。また、フォーム作成者は自身がログイン状態で管理画面を見ているため、一般の申込者に何が見えているかを確認する機会が設計上生まれにくい点も背景にあると考えられます。ただし、同法人は設定が有効になった経緯を公表していません。

対策

組織が学ぶべきこと

1. 「集計共有」機能と「個人情報の収集」を同じフォームで併用しない

Googleフォームの結果共有機能は、満足度アンケートのような回答が個人を特定しない用途を前提に設計されています。氏名・住所・電話番号を収集する申込フォームでは、この設定は原則として無効であるべきです。組織としては、「個人情報を収集するフォームのテンプレート」を用意し、危険な設定を最初からオフにした雛形からコピーして作るという運用が最も確実です。都度ゼロから作れば、都度設定を確認しなければならなくなります。

2. 公開前に「ログアウト状態で自分のフォームを踏む」

本件のような誤公開は、関係者以外のブラウザ（またはシークレットウィンドウ）から実際にフォームを送信し、完了画面まで進んでみるという単純な確認で検出できます。作成者は常にログイン・管理者権限の状態で画面を見ているため、一般利用者に見えているものとの差分に気づけません。「管理者に見えている画面と、利用者に見えている画面は違う」という前提を、公開前チェック手順に明文化する必要があります。

3. 「30分で修正」でも露出した事実は残る

同法人は公開から約30分後に設定を修正しており、初動は極めて速いと言えます。しかし155人分が対象として計上されている以上、その30分の間に到達可能だった回答は露出したものとして扱う必要があるという点は変わりません。誤公開の対応では「短時間だったから軽微」という評価に流れやすいのですが、露出していた時間の短さは対象者への説明を省略する理由にはなりません。同法人が対象者へ個別に謝罪連絡を行っているのは、この点で適切な対応です。

ヤグラの視点 — 攻撃者のいないインシデント：数クリックで作れる「誰でも読める状態」

本件には攻撃者が存在しません。脆弱性が悪用されたわけでもなく、Googleフォームは仕様どおりに動作しています。にもかかわらず155人分の氏名・住所・電話番号が第三者から到達可能な状態になりました。セキュリティ製品が検知すべき「攻撃」は、この事案のどの時点にも発生していません。

この類型が近年急増しているのは、SaaS型のフォーム・共有ドライブ・アンケートツールが普及し、「数クリックで危険な公開設定を作れる」環境が誰の手にも渡ったためです。かつて情報を外部に公開するにはサーバの設定変更が必要で、そこには技術者の判断が介在していました。いまは業務担当者が自分の判断でフォームを作り、公開できます。利便性の獲得と引き換えに、公開範囲の判断が技術的な統制の外に出たわけです。

そして厄介なのは、この状態が誰にも通知されないことです。不正アクセスであればアラートが鳴りますが、「本来非公開のはずのものが公開URLで到達可能になっている」という状態は、能動的に探しにいかなければ発見できません。本件も、発覚したのは申込者からの問い合わせでした。組織側には検知手段がなかったということです。

対策の方向は2つあります。ひとつは、自組織の公開資産を外側からスキャンして意図しない露出を見つけるアプローチ——アタックサーフェス管理の考え方です。もうひとつは、フォームを作る担当者自身が「これは誰に見えるのか」を反射的に確認する習慣を持つことです。後者の方が本件には直接効きます。ヤグラの アウェアネス では、フィッシング対策に留まらず、こうした業務プロセス上の「うっかり公開」を職員が自覚できる訓練設計を重視しています。攻撃者が来る前に、自分たちで自分の露出を見つけて閉じる。SaaS時代の組織に必要なのは、この能動性です。

今後の対応

同法人は設定を修正し、対象申込者へLINEで謝罪メッセージを送信済みです。フォーム作成時の設定確認手順の整備といった再発防止策の具体的内容は公表されていません。Googleフォームを利用して個人情報を収集する他の団体・企業にとっても、同じ設定が有効になっていないかを点検する契機となる事案です。

更新履歴

日時	内容
2026-08-03	過去アーカイブとして記事化（キュレーション）