相模原商工会議所、イベント申込フォームの設定不備で他申込者21名の個人情報が閲覧可能に — 開催中止に

項目	内容
発生日	2026年6月25日以前（設定不備の判明日: 6月25日）
対象組織・業界	相模原商工会議所（非営利団体・地域経済団体）
事案種別	イベント申込フォームの設定不備による個人情報閲覧可能状態
情報源	Security NEXT（2026年7月16日）

概要

相模原商工会議所は2026年7月16日、主催する子ども向けイベント「愛シングクッキーde〜SAGAMIHARAiを伝えたい〜」の申込フォームで設定に不備があり、他申込者21名分の個人情報が閲覧可能な状態となっていたことを公表しました。閲覧可能な情報は氏名、住所、携帯電話番号、学校名、メールアドレスなどです。

イベントは開催を見送り、対象者への電話報告、原因究明と再発防止策の策定を実施しました。

経緯

• 2026年6月25日: 設定不備が判明
• 同日以降、フォームへのアクセスを遮断
• 対象者への電話による報告実施
• イベントの開催見送り
• 2026年7月16日: 相模原商工会議所が公表

原因

同会議所は「フォームの設定不備」と説明しており、具体的にどの設定項目が不適切だったか（権限設定、公開範囲、閲覧範囲）は公表されていません。

考えられる原因（推測）: イベント申込フォームで「他申込者の情報が閲覧可能」という状態は、(a) Googleフォーム等で「回答の概要を公開」設定になっていた、(b) 表計算スプレッドシートを閲覧可能URLで共有していた、(c) フォームプラットフォームの結果表示URLが誤って申込者に配布された、といったパターンが典型です。「申込者専用ページ」のつもりで用意したページが、実は「集計結果ページ」だった可能性が考えられます。

対策

組織が学ぶべきこと

1. フォーム公開前の「別ブラウザ確認」を運用に組み込む

フォーム作成者は自分のアカウントでログインしているため、権限が高い状態でプレビューを見ます。申込者側の視点（ログアウトした別ブラウザ・シークレットウィンドウ）で公開URLにアクセスし、想定外の情報が見えていないかを確認する運用が、公開前チェックとして有効です。

2. 「専用ページ」と「集計ページ」を混同しない

Googleフォームや類似の申込サービスでは、「フォーム本体（回答するページ）」と「回答の概要（集計を見るページ）」でURL構造が似ています。案内メール・QRコードで配布するURLは必ずフォーム本体側であることを、リンクを配布する前に確認します。

3. 迅速なアクセス遮断と対象者連絡

本件では判明当日にアクセスを遮断し、対象者への電話報告を行い、イベント開催の見送りまで判断しています。「隠さず・遅らせず・止める」対応は、教育・住民向け事業を運営する組織の信頼維持に直結します。

ヤグラの視点 — 訓練で防げた分岐点：「知ってさえいれば」で済むタイプの事案の反復性

本件は、フォーム公開時に「別ブラウザで一度アクセスして確認する」だけで防げた可能性が高い事案です。技術的な脆弱性でも、高度な攻撃でもなく、「公開前の確認手順を知っているか」という知識と体験のギャップが、そのまま結果に出ています。

こうした「知っていれば防げた」タイプの事案は、繰り返し発生することが最大の特徴です。同種の設定不備によるフォーム経由の情報漏えいは、自治体・学校・非営利団体・イベント運営組織で毎年何十件も報告されています。組織内での経験共有だけでは反復を止められず、業界横断・組織横断で「同じ形の事案」から学ぶ体験訓練——例えば「あなたが今作ったフォームを、別ブラウザで開いてみましょう」というリアルな訓練——が実効性を持ちます。ヤグラの ヤグラ アウェアネス は、最新のインシデント事例を反映した訓練シナリオを、対象者の業務コンテキストに合わせて配信する設計になっています。

今後の対応

同会議所は原因究明と再発防止策の策定を進めています。イベント運営を担う地域経済団体・自治体・非営利団体に共通する類型のため、業界横断でのフォーム公開手順標準化が期待されます。

更新履歴

日時	内容
2026-08-02	初稿公開（アーカイブキュレーション batch23）