新潟県、出張先の宿泊施設に書類を置き忘れて紛失 — 医師養成「地域枠」学生17人分の情報

項目	内容
発生日	2026年6月19日（置き忘れ） / 6月22日（発覚）
対象組織・業界	新潟県（自治体）
攻撃手法	該当なし（業務用書類の置き忘れによる紛失）
情報源	Security NEXT（2026年7月7日）

概要

新潟県は、職員が出張先の宿泊施設に業務用書類を置き忘れ、学生の個人情報を紛失したことを明らかにしました。

紛失したのは、医師の養成と人材確保に向けた制度である「新潟県地域枠」の学生17人に関する書類で、氏名、学年、進級状況、出身都道府県、卒業校などが記載されていました。職員は2026年6月19日に都内の大学を訪問した際、宿泊施設に書類を置き忘れ、6月22日に別の出張先で鞄を確認した際に紛失に気づいたとしています。宿泊施設において忘れ物は確認されておらず、書類は回収できていません。

同県は対象となる学生に説明し、謝罪を行っているとしています。

経緯

• 2026年6月19日: 職員が都内の大学を訪問。宿泊施設の利用時に業務用書類を置き忘れ
• 2026年6月22日: 別の出張先で鞄を確認した際、書類の紛失に気づく
• 宿泊施設に確認したが、忘れ物は確認されなかった
• 対象となる学生17人に説明・謝罪を実施
• 2026年7月7日: 公表（Security NEXT報道）

原因

職員が宿泊施設を利用した際に書類を置き忘れたことが直接の原因です。攻撃者の関与はなく、外部からの侵入や不正アクセスも発生していません。

なお同県は再発防止策として、「個人情報が含まれる書類を持参しなくてよいよう、大学との情報共有の方法を見直す」としています。紛失の防止策ではなく、そもそも紙で持ち出す必要をなくす方向に踏み込んでいる点が特徴です。

対策

組織が学ぶべきこと

1. 「発生から発覚まで3日」の重み

置き忘れが6月19日、気づいたのが6月22日です。この3日間、書類は誰の管理下にもない状態で存在していました。宿泊施設で忘れ物が確認されなかったという事実は、書類がどこへ行ったかを追跡できないことを意味します。紙の書類には「誰がいつアクセスしたか」の記録が残らないため、この空白は最後まで埋まりません。

2. 持ち出す必要そのものを問い直す

本件で紛失したのは、学生の氏名・学年・進級状況・出身都道府県・卒業校といった情報です。大学訪問の場で参照する目的だったと考えられますが、同県が示した再発防止策のとおり、情報共有の方法を変えれば紙で持ち出す必要がなくなるケースは少なくありません。「持ち出しのルールを厳しくする」よりも「持ち出さなくても業務が回る設計にする」ほうが、対策としては上位にあります。

3. 少件数でも影響は軽くない

17人という件数は、数万件規模の漏えい事案と比べれば小さく見えます。しかし対象は医師養成の地域枠に在籍する学生であり、氏名と進級状況が組み合わさっています。件数の少なさは、当事者一人あたりの影響の重さを打ち消しません。

ヤグラの視点 — 攻撃者のいないインシデント：ログの残らない領域をどう縮めるか

セキュリティの議論は攻撃者の存在を前提に組み立てられますが、実務で発生するインシデントの相当部分には攻撃者がいません。設定不備による誤公開、誤送信、そして本件のような物理的な紛失です。攻撃者がいない以上、検知の仕組みも侵入痕跡の分析も働きません。

ログ監視は紙の鞄の中身を見ませんし、メール訓練は宿泊施設への置き忘れを止めません。ここで無理に製品の話に接続しても、読む側の役には立たないでしょう。

ただし、攻撃者のいないインシデントに共通する原理は1つあります。それは「記録の残らない場所に情報を置くほど、事後に何も言えなくなる」ということです。サーバ上のファイルであれば、誰がいつアクセスしたか、外部に持ち出されたかをログから追える余地があります。紙の書類にはそれがありません。だから同県の再発防止策——紙で持ち出さなくてよい情報共有の形に変える——は、単に紛失リスクを減らすだけでなく、万一の際に説明できる状態に情報を移すという意味を持ちます。

インシデント対応の観点から言えば、「どこまで影響したか説明できるか」は、その情報がどの器に入っていたかで決まります。ログを見る仕組みへの投資と、ログの残る場所に情報を集めておく設計は、同じ課題の両側です。

今後の対応

書類は未回収のままであり、悪用の有無を確認する手段は限られます。同県は大学との情報共有方法の見直しを進めるとしており、個人情報を含む書類を持参しない運用への切り替えが実現するかが焦点です。

更新履歴

日時	内容
2026-08-03	初稿公開（アーカイブ整備。2026年7月7日報道時点の情報にもとづく）