2025年日本国際博覧会協会、再委託先がフィッシング被害 — 協会関係者と万博出演者の情報がメールごと流出のおそれ

項目	内容
発生日	2026年5月13日に再委託先の従業員がフィッシング攻撃を受け、Microsoft 365のアカウントが不正アクセスを受けた。同日に不正アクセスを遮断
公表日	2026年8月25日
対象組織・業界	2025年日本国際博覧会協会（大阪・関西万博の運営／公共・非営利）。侵害を受けたのは委託先のさらに再委託先（催事施設の管理運営や公式参加者の催事業務を担当。企業名は公表されていない）
影響件数	公表されていない。協会関係者は氏名・所属・役職・メールアドレスおよびメール本文に記載された個人情報、出演者は氏名・肩書・写真・スピーチ原稿・台本、委託先従業員は氏名・勤務シフト・担当業務、加えて見積書や請求書に記載された担当者情報
攻撃手法	再委託先の従業員がフィッシング攻撃を受け、Microsoft 365のアカウントが不正アクセスを受けた。そのアカウントで送受信したメールと添付ファイルのデータが外部へ流出したおそれ
情報源	Security NEXT（2026年8月25日）

概要

大阪・関西万博を運営した2025年日本国際博覧会協会は2026年8月25日、業務を委託した先のさらに再委託先がフィッシングの被害に遭い、協会関係者や万博の出演者などの個人情報が外部へ流出した可能性があると公表しました。

侵害されたのは、万博における催事施設の管理運営や公式参加者の催事業務を担っていた再委託先です。2026年5月13日、その従業員がフィッシング攻撃を受け、「Microsoft 365」のアカウントが不正アクセスを受けました。協会は同日に不正アクセスを遮断したとしています。

流出のおそれがあるのは、そのアカウントで送受信したメールや添付ファイルのデータです。含まれる情報は対象ごとに異なります。協会関係者については氏名、所属、役職、メールアドレスのほか、署名などメール本文に記載されていた個人情報。出演者については氏名、肩書、写真に加えてスピーチ原稿や台本。さらに委託先従業員の氏名、勤務シフト、担当業務、および見積書や請求書に記載された担当者情報が挙げられています。件数は公表されていません。

協会は委託先に対し、必要がなくなった個人情報の廃棄と消去状況の確認、安全管理やインシデントの報告体制、再委託先の管理などについて改善を求めています。関係者を装った連絡に注意するよう呼びかけています。

経緯

• 2026年5月13日: 再委託先の従業員がフィッシング攻撃を受け、Microsoft 365のアカウントが不正アクセスを受ける。同日に不正アクセスを遮断
• 以降: 送受信したメールと添付ファイルのデータが外部へ流出したおそれがあると判断
• 2026年8月25日: 2025年日本国際博覧会協会が公表。委託先に対して改善を求め、関係者を装った連絡への注意を呼びかける

原因

判明している事実: 再委託先の従業員がフィッシング攻撃を受け、Microsoft 365のアカウントが不正アクセスを受けたことです。フィッシングの手口、再委託先の企業名、流出した件数、5月13日から8月25日の公表までに何が行われたかは、いずれも公表されていません。

考えられる原因（推測）

流出の対象が「送受信したメールや添付ファイルのデータ」とまとめられている点に、この事案の広がり方が出ています。侵害されたのは1人分のメールアカウントですが、そこに溜まっていたのは協会・委託先・出演者にまたがるやりとりでした。催事の運営を担う立場は、発注元とも出演者とも連絡を取るため、1つのメールボックスに関係者全員の情報が集まります。

協会が委託先に「必要がなくなった個人情報の廃棄、消去状況を確認する」ことを求めているのも、この点を踏まえたものと考えられます。メールは削除しない限り残り続けるので、業務が終わっても関係者の情報はメールボックスに残ります。出演者のスピーチ原稿や台本が対象に入っているのは、催事が終わった後もそのファイルが受信箱に残っていたということです。

5月13日に遮断してから8月25日の公表までは3か月半あります。件数が公表されていないことと合わせると、メールボックスの中身を対象者ごとに切り分ける作業に時間がかかったと推察されます。データベースの1テーブルとは違い、メールと添付ファイルは誰の情報が何件入っているかを数えるのが容易ではありません。

対策

組織が学ぶべきこと

1. 委託の階層を、契約の相手だけで数えない

侵害されたのは委託先ではなく、そのさらに先の再委託先です。発注元から見ると、契約を交わした相手の向こう側で自社の情報が扱われていることになります。再委託を認めるかどうか、認める場合は誰にどこまで渡るのかを契約の段階で確認し、実際の再委託先を一覧で把握しておく必要があります。協会が「再委託先の管理」を改善項目に挙げているのは、この把握が働いていなかったためと考えられます。

2. 委託先のメールボックスに、自社の情報を溜めさせない

今回出たおそれがあるのは、データベースではなくメールと添付ファイルです。業務のやりとりをメールで行うと、送った資料はそのまま相手の受信箱に蓄積します。名簿や台本のようなファイルは、期限付きの共有場所に置いて業務終了後に消す、という受け渡し方に変えれば、相手のメールボックスに残りません。協会が求めている「必要がなくなった個人情報の廃棄」は、渡し方を変えることで発生自体を減らせます。

3. 委託先の従業員が受け取るフィッシングに、発注元は手が出せない

最初にクリックしたのは、協会の職員ではなく再委託先の従業員です。発注元は、その人に訓練を実施することも、端末に対策を入れることもできません。できるのは、委託の条件として何を求めるかを決めることです。多要素認証を必須にする、フィッシング訓練の実施状況を報告させる、インシデントを何時間以内に通報させる。契約に書いていないことは、相手の判断に委ねたことになります。

ヤグラの視点 — 攻撃面の拡張：自社では何も起きていないのに、公表するのは自社

今回公表したのは協会です。一方、フィッシングを受けたのは協会の職員ではなく、委託先のさらに先にいる再委託先の従業員でした。協会のシステムには何も起きていません。それでも、出演者や関係者に説明する立場に立つのは協会です。

守るべき範囲は、契約を交わした相手で止まりません。委託先が1社でも、その先が3社に分かれていれば、自社の情報が置かれる場所は4つになります。しかも分かれたことは、発注元の側からは見えません。協会が改善項目に「再委託先の管理」を挙げているのは、この見えなさが表面化したためでしょう。実際、5月13日の被害を協会がいつ知ったのかも公表されていません。

打てる手は2つあり、どちらも発注元の側だけで進められます。ひとつは、再委託を認めるかどうかを契約で決め、認めるなら実際の再委託先を名前で把握しておくこと。相手の善意ではなく、一覧として持つ形にします。もうひとつは、渡すデータの形を変えること（対策2のとおりです）。委託先の従業員への訓練や端末への対策は相手の協力を前提としますが、この2つは前提を必要としません。相手を信頼するかどうかとは別の話として進められます。

今後の対応

• 流出した件数と、対象者への通知の範囲
• 再委託先の企業名と、フィッシングの手口
• 委託先・再委託先に対する改善要求の結果
• 関係者を装った連絡による二次被害の発生状況

判明次第、本記事に追記します。

更新履歴

日時	内容
2026-08-27	2026年8月25日の公表内容および報道をもとに記事を公開