南砺市「地域計画」PDFでマスキング不備、農業関係者1,380件の氏名等が閲覧可能な状態に

項目	内容
発生日	2025年3月6日にPDF公開、2026年7月9日に県指摘で発覚
対象組織・業界	富山県南砺市（自治体）
攻撃手法	攻撃ではなくPDFマスキング処理の不備による意図しない情報公開
情報源	サイバーセキュリティ.com（2026年7月16日）

概要

PDFで情報を「黒塗り」する運用は、多くの行政機関・企業で日常的に行われています。しかし「黒塗り」の実装が正しくないと、視覚的には隠れて見えるデータが、コピー&ペースト・検索・PDF編集ツールでの操作によって復元できるという落とし穴があります。

2026年7月13日、富山県南砺市は、市ホームページで農業経営基盤強化促進法に基づく「地域計画」のPDFを公開していた際、マスキング処理が不十分だったため、農業を担う個人・法人の氏名など1,380件が閲覧可能な状態になっていたと発表しました。2025年3月6日にPDFを公開し、県からの指摘で2026年7月9日に発覚——1年4カ月にわたって、意図せず情報が公開されていたことになります。

経緯

• 2025年3月6日: PDFを公開（マスキング不備を含む状態）
• 2026年7月9日: 富山県からの指摘で発覚
• 2026年7月13日: 発表
• 2026年7月16日: 報道公表

原因

「PDF上では情報を見えない状態にしていたものの、データ自体が削除されておらず、特定の操作によって確認できる状態」だったとされています。

技術的な仕組み（推測）: PDF上で情報を隠す方法として、(a) 元テキストの上に黒い矩形を重ねる（見た目は隠れるが、コピー&ペーストで元テキストが取得できる）、(b) 実際に元テキストを削除する（真の匿名化）、の2種類があります。本件は(a)の実装で、コピー・検索・PDF編集ツール等で元データが復元可能な状態だったと考えられます。

対策

組織が学ぶべきこと

1. 「見た目の匿名化」と「データの匿名化」は別

本件はPDF公開者側の善意による処理が、技術的な理解不足によって機能していなかった事例です。「見た目」だけを目視で確認するのではなく、実際にコピー・検索・別ツールでの開示テストを、公開前チェックの手順に組み込む必要があります。

2. 「公開前確認」の仕組み化

1,380件の情報が1年4カ月にわたって閲覧可能状態だった、という事実は、公開後のモニタリングが機能していなかったことも示唆します。「公開時のチェック」だけでなく「定期的な公開ドキュメントの再確認」を、行政の情報公開実務に組み込む必要があります。

3. 「県からの指摘」で発覚した事実の意味

本件は、南砺市自らではなく富山県からの指摘で発覚しました。自治体の情報公開実務は、担当職員個人の技術理解に依存する部分が大きく、組織的な確認体制が弱いという構造的課題を示唆しています。県レベルでの情報公開ガイドラインの整備、庁内向けの技術研修——これらが実効的な再発防止策になります。

ヤグラの視点 — 攻撃者が動いていない「静かな漏えい」

不正アクセスにはアラートが鳴りますが、PDFマスキング不備には何も鳴りません。攻撃者は必要ありません。1年4カ月の間、誰かが公開PDFに気づいて操作すれば、情報は取り出せる状態にあったわけです。

こうした「攻撃者不在のインシデント」では、防御の視点を「攻撃を止める」から「公開範囲を継続的に監査する」に広げる必要があります。ヤグラは組織固有の運用に沿った異常検知を AI SOC で支援しています。

今後の対応

同市はデータ修正を進行中で、公開前確認体制の強化・職員研修・システムセキュリティ対策を実施予定としています。第三者による不正利用や被害は現在のところ確認されていません。

更新履歴

日時	内容
2026-07-28	過去アーカイブとして記事化（キュレーション）