千歳JAL国際マラソン、「QRアクセス限定」の思い込みで運営ボランティア情報が検索可能に

項目	内容
発生日	2024年5月1日〜2026年6月22日（外部から閲覧可能だった期間）
対象組織・業界	千歳JAL国際マラソン実行委員会事務局（スポーツイベント運営）
事案種別	「QRアクセス限定」との誤認識による設定不備
情報源	ScanNetSecurity（2026年7月17日）

概要

千歳JAL国際マラソン実行委員会事務局は、大会の運営役員（ボランティア）向けに用意していた専用ページが、「QRコードを使ってアクセスするため外部からは見えない」との思い込みで公開設定されており、実際にはインターネット検索経由で外部から閲覧可能な状態だったことを公表しました。閲覧可能な状態は約2年間続いていました。

経緯

• 2024年5月1日: 運営ボランティア向けの専用ページを公開（QRコード配布経路のみを想定）
• 2026年6月22日: 外部から検索可能な状態にあることが発覚
• 2026年6月26日: 千歳JAL国際マラソン実行委員会事務局が公表
• 現時点で実際に第三者が閲覧・悪用した事実は確認されていない

原因

同事務局は「QRコードでアクセスするので該当者しか閲覧できない」と考えて運用していたと説明しています。実際には、URLが検索エンジンにインデックスされる設定になっており、QRコードを持たない第三者もURL経由で到達できる状態でした。

考えられる原因（推測）: QRコードは「アクセス手段の1つ」であって「アクセス制御の1つ」ではない、という認識ギャップが根本原因と考えられます。技術的には、noindex設定・basic認証・IP制限・トークン付きURLのいずれもなく、単に「URLを知らなければ到達できないだろう」というセキュリティ・バイ・オブスキュリティ（不透明性による防御）に依存していた可能性があります。しかしURLはブラウザ履歴・共有・検索クローラなど複数経路でリークするため、実効的な防御にはなりません。

対策

組織が学ぶべきこと

1. 「配布経路の限定」と「アクセス制御」は別物

QRコード・短縮URL・招待メール等は、URLを「知らせる手段」であって「アクセスを制御する手段」ではありません。認証（ID/パスワード）・トークン（有効期限つきURL）・IP制限・basic認証等、URLを知っていても認証を通らないと閲覧できない仕組みが必要です。

2. 検索エンジンからの遮断は最低限

「限られた人だけに配布する」ページは、少なくとも robots.txt や noindex メタタグで検索エンジンからの登録を防ぐのが最低限の対策です。ただしこれ自体はアクセス制御ではないため、認証と組み合わせて使います。

3. 長期公開の棚卸し

本件は2年間気づかれずに公開状態が継続していました。「一度公開したページ」を定期的に棚卸しし、「まだ公開する必要があるか」「アクセス制御は妥当か」を再確認する運用が必要です。特にイベント運営のように「毎年立ち上げ・毎年終わり」を繰り返す事業では、前年のページが放置されがちです。

ヤグラの視点 — 攻撃者のいないインシデント：「思い込みによる公開」を棚卸しで潰す

本件は、攻撃者が侵入したわけでも、脆弱性が悪用されたわけでもありません。組織内の思い込み——「QRコードでアクセスするから外部からは見えないはず」——が原因の、いわゆる「攻撃者のいないインシデント」です。近年、こうした「誤認識起点の露出」は情報漏えい原因の大きな割合を占めるようになっています。

「攻撃者のいないインシデント」の厄介さは、攻撃検知の仕組みでは見つからない点にあります。SIEM・EDR・IDSは「異常な通信」「不審な挙動」を検知する設計であり、「そもそも公開すべきでないURLが公開されている」状態を検知する枠組みではありません。これは露出面（Exposure）の可視化——外部から到達可能な資産を継続的に棚卸しし、それぞれに適切なアクセス制御があるかを確認する運用——で初めて捕捉できます。

今後の対応

同事務局からは、他の公開ページの棚卸しや、認証設定の見直しについての詳細は現時点で公表されていません。イベント運営組織全般に共通する類型のため、業界横断での運用ガイドライン整備が期待されます。

更新履歴

日時	内容
2026-08-02	初稿公開（アーカイブキュレーション batch23）