情報処理学会、退任幹事のアクセス権削除漏れで会員544件が閲覧可能状態に

2026/07/22 続報を注視中中程度教育・研究 #設定不備

項目	内容
発生日	記載なし（公表日以前）
対象組織・業界	一般社団法人情報処理学会（学術団体・教育）
攻撃手法	攻撃なし（アクセス権限削除漏れ・共有リンク無効化漏れによる設定不備）
情報源	Security NEXT（2026年7月22日）

概要

一般社団法人情報処理学会は、2026年7月22日、傘下の「情報科学若手の会」に関する会員の個人情報544件が、本来アクセス権限を持たない関係者から閲覧可能な状態になっていたことを明らかにしました。原因は、退任した幹事のアクセス権削除漏れと、会計処理などの事務作業で作成した共有リンクが作業完了後も無効化されずに残存していたことです。

外部からの不正アクセスを受けたわけではなく、内部の権限管理・共有設定の不備による情報露出です。同学会は閲覧できない状態への対応を実施し、対象会員および関係者に個別連絡を行っています。

経緯

情報科学若手の会の運営において、幹事交代後にアクセス権限の削除処理が漏れ、退任者が引き続き閲覧可能な状態が継続
会計処理などの事務作業で作成された共有リンクが、作業完了後も無効化されずに残存
詳細な発覚経緯・発覚日は公表されていない
2026年7月22日: 事案を公表、閲覧不可への対応と対象者への個別連絡を実施

原因

情報処理学会の公表によれば、原因は以下2点です。

退任した幹事に対するアクセス権限の削除漏れ
会計処理などの事務作業のために作成した共有リンクを、作業完了後に無効化しなかった

いずれも「攻撃者不在のインシデント」に分類される、内部の権限・共有設定管理の不備です。

考えられる背景（推測）: 学会・研究会・NPO等のボランティア主体運営組織では、専任のIT管理者がいないケースが多く、幹事交代時のアカウント棚卸しや、業務都合で作成された一時的な共有リンクの棚卸しが仕組み化されていないことが少なくありません。「作った人が消す」前提の運用は、担当者交代・業務多忙・記憶の風化によって高確率で漏れが発生します。

対策

組織が学ぶべきこと

1. 「役職・担当交代時のアクセス棚卸し」を交代プロセスに組み込む

幹事・役員・担当者の交代時、退任者のアクセス権削除を「引継ぎチェックリスト」に明記し、退任前の最終ミーティングで確認する運用が必要です。「退任した本人が自分で消す」ことに依存せず、事務局が交代のたびに棚卸しを行う仕組みが有効です。

2. 「共有リンクの有効期限」をデフォルトで設定する

Google Drive・OneDrive・Box等のクラウドストレージでは、共有リンクに有効期限を設定する機能が備わっています。事務作業で作成する共有リンクは、原則として作業期間＋α（例: 1週間・1ヶ月）で自動失効するよう設定しておけば、無効化漏れによる長期露出を防げます。

3. 「アクセス権限監査」を定期実行する

半年〜1年に1度、共有ドライブ・システムのアクセス権を棚卸しし、「なぜこの人がアクセスできるのか説明できるか」を確認するプロセスを設けます。人手では追いつかない規模なら、権限管理ツール・IDaaSの棚卸しレポート機能で自動化できます。

ヤグラの視点 — 攻撃者のいないインシデント：「設定不備」が最多になった時代の棚卸し設計

サイバー攻撃と聞くと、外部からの不正侵入を思い浮かべがちですが、実際には攻撃者が存在しないインシデント——設定不備・共有設定の誤り・アクセス権限の削除漏れ——による情報漏えいが年々増加しています。本件のように「退任者のアクセス権が残っていた」「共有リンクが無効化されていなかった」というケースは、外部からのアラートが上がらないため、内部の棚卸し・監査で自己発見しない限り気づけないという難しさがあります。

こうした「攻撃者不在の露出」は、SIEM/EDR/WAF等の従来型セキュリティ製品では原理的に検知できません。必要なのは、権限・共有設定の棚卸しを定期実行する運用と、公開範囲が想定外に広がっている資産・データを検出する「外側からの目線」です。攻撃者を待って検知するのではなく、自分たちの露出を自分で見つけて閉じるという能動性が、この類型に対する唯一の実効的な備えになります。

具体的には、共有設定の変更履歴を残す、権限の棚卸しを人事異動のタイミングと連動させる、公開URLで到達できる範囲を定期的に外側から確認する、といった運用設計です。人手による全数棚卸しが現実的でない規模なら、確認対象を「個人情報を含む資産」に絞ってでも定期化する価値があります。

今後の対応

同学会は既に閲覧不可への対応を実施済みで、対象会員への説明を進めています。今後、アクセス権限管理・共有リンク管理のプロセス見直しに関する続報があれば追記します。

更新履歴

日時	内容
2026-08-02	初稿公開（2026年7月22日公表事案のアーカイブ化）