#サプライチェーン × 公共・非営利
公共・非営利 の サプライチェーン は 25件です。
環境省のメルマガ6種類、配信サービスへの不正アクセスで登録者情報が漏えいの可能性
情報収集中重大環境省は2026年10月23日、メールマガジン6種類の配信先情報が漏えいした可能性があると公表しました。配信サービス「ブラストメール」への不正アクセスによるもので、情報漏洩のおそれがあります。
防災メールで不正アクセス被害が相次ぐ、配信元はアルカディア（大阪府箕面市）
情報収集中深刻各地の自治体で、防災メールの停止や漏えいの可能性の公表が相次いでいます。配信元の株式会社アルカディア（大阪府箕面市）への不正アクセスによるもので、10月14日昼までに公表した115団体の状況をまとめました。
小平市の公式HPが閲覧不能に、委託先のクラウド基盤にランサムウェア攻撃
情報収集中中程度東京都小平市は2026年10月8日、市の公式ホームページが閲覧できない原因をランサムウェア攻撃と公表しました。問い合わせフォームの入力情報に漏えいのおそれがあります。
宮崎県教育委員会、県立学校の西都地区生徒寮でサポート詐欺被害 — 運営受託先の業務用パソコンが遠隔操作され、入寮者76人・寮職員10人の情報が流出した可能性
続報を注視中中程度宮崎県教育委員会は2026年9月6日、西都市内の「西都地区生徒寮」で業務用パソコンがインターネットを通じて不正アクセスを受け、個人情報が漏えいした可能性があると公表した。2026年9月4日夕方、寮の管理人が防災気象情報を調べていた際に「ウイルスに感染した」とする警告画面が表示され、画面に記載された電話番号へ連絡したところ、パソコン関連会社の社員を名乗る人物の指示で業務用パソコンを遠隔操作された。2020年度から2026年度までの入寮者76人と、2024年度から2026年度までの寮職員10人の情報が対象となっている。
2025年日本国際博覧会協会、再委託先がフィッシング被害 — 協会関係者と万博出演者の情報がメールごと流出のおそれ
続報を注視中中程度大阪・関西万博を運営した2025年日本国際博覧会協会は2026年8月25日、催事施設の管理運営などを委託した先の再委託先がフィッシング被害に遭い、協会関係者や万博出演者の個人情報が外部へ流出した可能性があると公表した。2026年5月13日に再委託先の従業員がフィッシング攻撃を受け、Microsoft 365のアカウントが不正アクセスされたもので、送受信したメールと添付ファイルのデータが対象。出演者については氏名・肩書・写真に加えてスピーチ原稿や台本も含まれる。件数は公表されていない。
広島県水道広域連合企業団、委託検針員が水道使用者440件分の検針依頼リストを走行中に落下 — 住民が拾得し回収
全容判明中程度広島県水道広域連合企業団が2026年8月3日、検針業務を委託している検針員が2026年7月7日、水道使用者の氏名・設置場所・水道使用量など440件を記載した検針依頼リストをバイク走行中に落下させたと公表。住民が路上で拾得し駐在所へ投函、警察官経由で回収された。
浦添市の委託先従業員がPCを盗難、計83台が所在不明・うち3台に住民情報が保存
全容判明中程度沖縄県浦添市で、業務委託先のヘルプデスク担当従業員が施錠された部屋から業務用ノートPCを盗み逮捕。全庁調査の結果、計83台が所在不明、当初「無し」とされた被害端末のうち3台に住民情報が保存されていたことが判明。
大阪市、委託事業者がメール誤送信 — 児童の保護者10人分のメールアドレスがCCで相互閲覧可能に
全容判明軽微大阪市が2026年6月2日、「児童の安全確保と居場所づくり事業」の委託事業者が児童の保護者10人へ事務連絡メールを送信した際、送信先を誤ってCCに設定し、保護者のメールアドレス10人分が受信者間で閲覧できる状態になっていたと公表。
宮城県、みやぎポイント事業の店舗向けメールで1通だけ宛先設定を誤る — 3632店中100店舗のアドレスが露出
全容判明中程度宮城県は、みやぎポイント事業の参加店舗3632店へ案内メールを100件ずつBCCで分割送信していたところ、1通で誤って送信先を宛先に設定したと公表。100店舗のメールアドレスが受信者間で閲覧できる状態になった。送信は業務委託先が実施し、数分後に気づいた。
北広島市教育委員会、修学旅行の資料を委託先添乗員が電車内で紛失 — 生徒151人の氏名とアレルギー・宗教上の配慮事項
続報を注視中中程度北海道北広島市教育委員会は2026年5月14日、市立中学校の修学旅行で旅行業務を委託していた東武トップツアーズの添乗員が、移動中の電車内で旅行資料を紛失したと公表。生徒151人と引率教員12人の氏名に加え、生徒4人の食物アレルギーや宗教上の理由による食材への配慮事項が記載されていた。
名古屋市、ボランティア登録システムに開発時の動作確認ページが残存 — 登録者25人のメールアドレスが閲覧可能に
全容判明軽微名古屋市は「なごやウェルカムサポーター事業」の委託先が構築したシステムに、開発時に設置した動作確認用ページが残存していたと公表。ボランティア登録者がログイン状態で特定のURLにアクセスすると、他の登録者のメールアドレス25人分を閲覧できる状態だった。
名古屋市、委託先が指導者21人分の研修受講状況を類似名の別団体へ誤送信 — 発覚は誤送信先からの連絡
全容判明軽微「なごや土日クラブ活動ポータル」の委託先事業者が、研修未受講の通知メールを名称が似た別団体の代表者へ送信。指導者21人分の氏名と研修受講状況が含まれ、発覚は3日後の受信者からの連絡だった。
中部電力・中部電力パワーグリッド・中部電力ミライズ、再委託先へのサイバー攻撃で帳票発行が停止
情報収集中重大中部電力とグループ2社は、帳票発行・発送業務の委託先の再委託先がサイバー攻撃を受けたおそれがあり、請求書や口座振替通知など複数の帳票発行業務が停止したと公表した。
ENEOSグローブエナジー、LPガス配送委託先経由でランサム被害 — 約1300件流出
続報を注視中中程度ENEOSホールディングスのグループ会社ENEOSグローブエナジーが、LPガス配送を委託していたエネサンスホールディングスへのランサム攻撃を通じ、北海道・神奈川県の顧客約1300件の情報が流出。委託先ネットワークの共有構造が波及要因となった。
神奈川県、委託先キズキがファイル共有の権限設定を誤り、システムが意図しないメールを同報送信 — 支援対象者4人分
続報を注視中軽微神奈川県は2025年12月26日、業務委託先のキズキがファイル共有ドライブに講座スケジュールの案内ファイルを格納した際、手順と異なる本来必要のないアクセス権限設定を行ったため、システムから意図しないメールが同報送信されたと公表した。支援対象者4人のメールアドレスが受信者間で閲覧できる状態となった。発生は2025年12月3日で、同日に受信者からの連絡で判明している。
名古屋市、居住支援事業の委託業者が相談者2,198件分の報告書を無関係の関係機関へ誤送信 — 訪問して削除を確認
続報を注視中中程度名古屋市は2025年12月24日、居住支援コーディネート事業の業務委託先において、同市へ個人情報を含む報告書をメールで送信しようとした際、無関係の関係機関へ送信するミスがあったと公表した。相談者の氏名・年齢・相談内容など2,198件を含む報告書が添付されていた。関係機関からの申し出により発覚し、市は誤送信先を訪問して謝罪したうえで削除を依頼し、削除されたことを確認している。
神奈川県、委託先が「かながわコミュニティカレッジ講座」受講者32人へのメールを宛先に設定して送信
続報を注視中軽微神奈川県は2025年12月23日、かながわ県民活動サポートセンターの委託先であるソーシャルコーディネートかながわが、かながわコミュニティカレッジ講座の受講者向けメールを送信する際に送信先を誤って宛先に設定したと公表した。受講者32人分のメールアドレスが受信者間で閲覧できる状態となった。2025年12月7日に発生し、翌8日に受信者からの連絡で判明、9日に謝罪と削除依頼を行っている。
岩手県、物価高騰対策事業の事務局ポータルが約9か月間外部から閲覧可能に — アクセス制限を意図的に解除、申請事業者5,707件分が流出
続報を注視中中程度岩手県は2025年12月19日、物価高騰対策賃上げ支援事業の事務局業務の委託先が内部情報共有のため作成したポータルサイトが、2025年2月から約9か月間にわたり外部から閲覧できる状態だったと公表した。当初はIDとパスワードで保護されていたが、幹事社の担当者がアクセスできなかったためアクセス制限をかけない状態に変更されていた。申請事業者5,707件に関する担当者氏名や電話番号などを含む16件の資料が公開されていた。
埼玉県、委託先の埼玉新聞社の従業員が業務用ノートパソコンを紛失 — 補助事業者236者の実施計画書などが保存
続報を注視中中程度埼玉県は2025年12月18日、委託先である埼玉新聞社の従業員が業務用ノートパソコンを紛失したと公表した。2024年度の47者と2025年度の189者、あわせて236者の補助事業者情報が保存されていた。事業者名や所在地、資本金、従業員数に加え、実施計画書や補助事業実施結果報告書、現地確認報告書も含まれる。2025年12月17日の時点で第三者への情報流出や不正使用による二次被害は確認されていない。
浜松市、委託先のイベント申込フォームで「前の回答を表示」から他人の申込情報が閲覧可能に — 103人分
続報を注視中中程度浜松市は2025年12月12日、委託先のSBSプロモーションが運営していた「プレコンフェスタ浜松2025」来場者募集用の申込フォームに設定の不備があったと公表した。フォームの送信完了画面に表示される「前の回答を表示」をクリックすると、送信時点より以前の申し込み情報を閲覧できる状態になっていたもの。2025年10月20日から11月27日にかけて、103人分の氏名・電話番号・メールアドレスが対象となった。
福岡市、成人の日記念行事の案内ハガキ145人分を委託業者が紛失 — 納品時の照合で不足が判明
続報を注視中中程度福岡市は2025年12月10日、成人の日記念行事の案内ハガキの一部を委託業者が紛失したと公表した。2025年11月26日に納品された際、一部が見当たらないことが判明したもので、対象は145人分。ハガキには氏名と住所が記載されていた。関係各所を探したものの発見できず、対象者に経緯を説明し謝罪する書面を送付している。
神奈川県、委託先でイベント申込者42人分のメールアドレスが受信者間に露出 — 委託先が自ら気づいて県へ報告
続報を注視中軽微神奈川県は2025年12月8日、委託先である服部学園 OCHABI artgym においてイベント申込者へのメール送信時に宛先設定を誤り、合計42人分のメールアドレスが受信者間で閲覧できる状態になったと公表した。発生は2025年11月30日15時ごろで、委託先が事象に気づいて県へ報告している。対象となった申込者へメールで謝罪し、誤送信したメールの削除を依頼した。
守口市、委託先で特定健康診査の受診票などが所在不明 — 健診結果を含む3人分、受渡しルールの徹底不足
続報を注視中中程度大阪府守口市は2025年12月1日、住民の特定健康診査の受診票や問診票などが所在不明になっていると公表した。データ入力を委託していたパーソルビジネスプロセスデザインにおいて、書類の受渡しや保管などのルールが明確に徹底されていなかったことが原因。対象は3人分で、氏名・生年月日・年齢・性別・住所・電話番号・健診結果が記載されていた。
愛知県、あいち海上の森センターの体験プログラム申込フォームで別人の個人情報が閲覧可能に — 委託先の共有設定変更ミスで36人分
続報を注視中軽微愛知県は2025年11月27日、あいち海上の森センターの体験プログラム「キッズアカデミー」の申込フォームで、申込者の個人情報が別の申込者から閲覧できる状態になっていたと公表した。業務委託先がセンターと申し込み状況を共有した際に設定の変更を誤ったことが原因で、16組36人の氏名・住所・電話番号・年齢・メールアドレスが対象となった。
長崎市、委託先が修学旅行ガイドへの業務メールに個人情報データを誤添付 — 166人分が流出し、半年後に発覚
続報を注視中中程度長崎市は2025年11月13日、委託先の長崎国際観光コンベンション協会が修学旅行の案内ガイド10人へ業務内容を通知するメールを送信した際、当時登録されていたガイドの個人情報を含むデータを誤って添付していたと公表した。対象は166人分で、氏名・住所・電話番号・生年月日・年齢・メールアドレスおよび要配慮個人情報が含まれる。発生から半年以上経過した2025年6月に、別の職員が過去のメール履歴を確認した際に判明した。
