#設定不備
設定不備 に該当するインシデントは 39件、業種は 10業種に分布しています。
株式会社ウェブライフ、OEM向けホームページ作成サービスのアクセス制御に不備 — 最大7,425名分が閲覧・改ざんされた可能性
続報を注視中中程度CMSやShopifyを中心としたECのSaaS事業を手がける株式会社ウェブライフは2026年8月18日、OEM向けホームページ作成サービスが不正アクセスを受け、最大7,425名分の顧客情報が漏えいした可能性があると公表した。原因はOEMパートナーの顧客管理システムのアクセス制御部分に不備があったこと。2026年8月14日から17日にかけて発生し、17日に自社の監視で異常なアクセスを検知している。対象者への連絡はOEMパートナー経由で行うとしており、自社サービス「BiNDup」は対象外。
東芝テック、クラウド型専門店向本部システム「ShopCraft」で他社の顧客情報が閲覧可能に — 手順書への管理者アカウント誤記載で382,123名分が約3か月間
続報を注視中重大東芝テック株式会社は2026年8月3日、同社が提供するクラウド型専門店向本部システム「ShopCraft」の一部サーバで、特定のユーザー1社が同一サーバに登録された他のユーザーの顧客情報を閲覧できる状態にあったと公表した。原因は、そのユーザー向けに作成した手順書に管理者権限を有するアカウント情報を誤って記載していたこと。対象は382,123名分の氏名・生年月日・性別・住所・電話番号・メールアドレスで、2026年3月26日から6月23日までの約3か月間続いていた。当該ユーザーからは閲覧していない旨の確認を得ている。
ポケモンカードゲーム専門店「晴れる屋2」を運営する株式会社晴れる屋、抽選の設定不備で28,490件が約7時間閲覧可能に
全容判明重大株式会社晴れる屋は2026年7月30日、ポケモンカードゲーム専門店「晴れる屋2」の購入抽選で設定の不備があり、応募した顧客の個人情報が外部から閲覧可能な状態になっていたと公表した。2026年7月23日午後3時20分から午後10時28分までのあいだ、28,490件の氏名・メールアドレス・電話番号・会員番号・申込店舗・当落結果が閲覧できる状態だった。対象データへの4件のアクセスが確認されているが、複製およびダウンロードは行われていない。
タカラトミー、「デュエル・マスターズ サポートアプリ」のユーザー認証に設計・実装の脆弱性 — 最大約15万5,000人分が11か月余り閲覧可能な状態に
続報を注視中重大タカラトミーは2026年7月28日、スマートフォンアプリ「デュエル・マスターズ サポートアプリ」のユーザー認証機能に脆弱性があり、特定の条件下で第三者が利用者の個人情報を閲覧できる状態だったと公表した。脆弱性が存在したのはアプリを公開した2025年8月1日から改修を終えた2026年7月13日までの11か月余りで、対象は最大約15万5,000人。氏名・住所・電話番号など9項目が対象となる。第三者による閲覧や不正利用の事実は確認されていない。
生命保険協会、契約照会システムで約3万7000件の個人情報が外部から閲覧可能な状態に
続報を注視中重大生命保険協会は2026年7月31日、同協会が運営する生命保険契約照会システムにおいて、利用者の氏名・住所・電話番号・メールアドレスなどの個人情報約3万7000件が外部から閲覧できる状態だったと公表。外部セキュリティ機関からの指摘で発覚し、Webからの契約照会申請を停止して対応中。
佐川急便スマートクラブ、システム復旧作業の設定誤りで配達予定通知メールに別会員の情報を表示——約7万人が対象
全容判明重大佐川急便の会員制Webサービス「スマートクラブ」で、システム不具合復旧作業時の配達予定通知メール設定の誤りにより、別会員の氏名・メールアドレス・お問い合わせ送り状Noが表示。約7万人が影響の可能性。サイバー攻撃は否定。
岐阜県関市、アンケートフォームの設定不備で57人分の個人情報が閲覧可能状態に
続報を注視中軽微岐阜県関市は、小瀬鵜飼とタクシー事業の効果検証を目的としたアンケート調査で、回答後の画面リンクから他の回答者の氏名・住所・電話番号が閲覧可能になっていたと公表。設定ミスが原因で57人が対象。
長野県、入札情報システムで個人情報記載の図面を誤公開 — 6部局219件・1,590人分
続報を注視中中程度長野県は2026年7月23日、入札情報システムで公開している工事の入札情報に、個人情報が記載された図面を掲載していたことを公表。6部局で219件の図面、対象人数は1,590人。11案件については入札手続きを中止し再公告を予定。
情報処理学会、退任幹事のアクセス権削除漏れで会員544件が閲覧可能状態に
続報を注視中中程度情報処理学会は、情報科学若手の会の会員544件の個人情報が、退任した幹事や会計処理用の共有リンクを通じて本来アクセス権限のない関係者から閲覧可能な状態になっていたことを公表。攻撃者不在の設定管理不備事案。
千歳JAL国際マラソン、「QRアクセス限定」の思い込みで運営ボランティア情報が検索可能に
続報を注視中中程度千歳JAL国際マラソン実行委員会事務局が、運営役員（ボランティア）向け専用ページを「QRコードでアクセスするから外部には見えない」と誤認して公開しており、インターネット検索で外部から閲覧可能な状態だったことを2026年7月17日までに公表。約2年間放置。
三重県社会福祉協議会、研修資料Excelに個人情報シートを含んだまま公開 — 受講生240名分
続報を注視中中程度三重県社会福祉協議会が研修用ホームページに公開したExcelファイルに、非表示だった別シートに研修受講生240名分の個人情報が残っていたことを2026年7月17日までに公表。「一見して見えないシートの存在に気づかず公開」した典型事案。
相模原商工会議所、イベント申込フォームの設定不備で他申込者21名の個人情報が閲覧可能に — 開催中止に
全容判明軽微相模原商工会議所が主催する子ども向けイベント「愛シングクッキーde〜SAGAMIHARAiを伝えたい〜」の申込フォームで設定不備があり、他申込者21名の氏名・住所・携帯電話番号・学校名等が閲覧可能な状態だったと2026年7月16日公表。イベントは開催中止に。
南砺市「地域計画」PDFでマスキング不備、農業関係者1,380件の氏名等が閲覧可能な状態に
情報収集中中程度富山県南砺市の公式サイトで公開していた「地域計画」PDFで、マスキング処理が不十分だったため農業関係者1,380件の氏名等が特定操作で閲覧できる状態になっていた。県からの指摘で発覚。
近畿大、教員のGoogleドライブ操作誤りで薬学部1年生の個人情報が学生11人に意図せず共有 — 発覚まで約2カ月
全容判明軽微近畿大学は2026年7月8日、薬学部教員がGoogleドライブの操作を誤り、薬学部1年生の氏名・学籍番号・入試点数・保証人情報などを含む3ファイルを、意図せずゼミの学生11人に共有していたと公表。2026年4月6日の設定から6月10日・24日のファイル削除まで、発覚まで約2カ月かかった。
NPO法人おてらおやつクラブ、Googleフォームの設定ミスで申込者155人分の回答が閲覧可能に — 公開30分後に修正
全容判明中程度NPO法人おてらおやつクラブは、共同企画「ブックギフトプロジェクト」の申込フォームで「結果の概要を表示する」設定を有効にしていたため、送信完了画面のリンクから他の申込者155人分の氏名・住所・電話番号・メールアドレスが閲覧できる状態になっていたと公表。
広島県、新聞広告の二次元コード誤りで申込者86人分の個人情報が閲覧可能に — 誘導先が管理者用確認画面
全容判明軽微広島県が2026年6月18日、県民公開セミナーを告知する新聞広告に掲載した二次元コードの誘導先が管理者用の確認画面になっており、申込者86人分の氏名・住所・電話番号・疾病に関する相談内容が閲覧できる状態だったと公表。業務委託先が掲載用コードのテストを実施していなかった。
コマツ、システム設定不備により登録ユーザー約13.9万名の情報が他ユーザーから閲覧可能に
続報を注視中重大小松製作所のシステムで設定不備があり、登録ユーザー139,302名の個人情報が他の登録ユーザーから閲覧できる状態になっていた。
川崎市教育委員会、会議資料のマスキング不備で71人分の個人情報が閲覧可能 — 2013年度以降64件の資料に
全容判明軽微川崎市教育委員会は、ウェブサイトに掲載した教育委員会会議の資料64件で、マスキング処理を施していたにもかかわらず個人情報が参照できる状態だったと公表。請願書提出者・署名者・文化財申請者あわせて71人分が対象。外部からの指摘で判明。
宮城県涌谷町、イベント申込フォームの共有設定不備で申込者26人の個人情報が閲覧可能に — 2時間半で是正
全容判明軽微涌谷町が純米大吟醸「花時雨」お披露目イベントの申込に使ったGoogleフォームで、回答の概要を回答者と共有する設定が有効になっていたため、申込者が他の申込者の氏名・電話番号・年齢・メールアドレスを閲覧できる状態だった。申込者の指摘を受け同日夜に是正。
東京都、看護師等修学資金の事務システムで閲覧権限の設定不備 — 120校が他施設の被貸与者437人分を閲覧可能な状態
全容判明中程度東京都保健医療局は、2026年4月に運用を開始した看護師等修学資金貸与事務システムで、特定の操作を行うと閲覧権限のない他施設の個人情報が閲覧できる状態だったと公表。被貸与者437人と連帯保証人128人が対象で、実際に閲覧されたのは3施設4人。システムログから確認し、外部への漏えいはないとしている。
東京都、職員向け「東京デジタルアカデミー」ポータルでアクセス制限に不備 — 職員2,438人分、CSVのダウンロード痕跡も確認
全容判明中程度東京都は2026年6月9日、職員向け「東京デジタルアカデミー（TDA）ポータルサイト」の個人情報保存領域でアクセス制限が適切に行われておらず、行政職員最大2,438人分と住民2人分の氏名・メールアドレス・ハッシュ化パスワードにアクセス可能な状態だったと公表。CSVファイルが過去にダウンロードされていたことも確認された。
名古屋市、NPO法人事業報告書のマスキング不備で役員・職員の住所が閲覧可能に — 他自治体の事故報道を受けた自主点検で発覚
全容判明中程度名古屋市は、内閣府のポータルサイトに掲載したNPO法人の事業報告書PDFで、墨塗り処理を施していたにもかかわらずマスキング部分のデータがファイル上に残存し、役員・職員の住所が参照できる状態だったと公表。他自治体で同様の事故が発覚したことを受けた自主点検で判明した。
群馬県立高校の授業見学申込フォームで設定ミス — 207件中100件が約11か月間閲覧可能な状態に
続報を注視中中程度群馬県は2026年5月22日、県立高校の授業見学申込フォームの設定ミスにより、登録された207件のうち100件が閲覧可能な状態だったと公表。2025年5月の受付開始時点から発生していた可能性があり、外部からの指摘で判明した。
八重瀬町、ふるさと納税寄付者の非公開希望氏名を4年超サイト掲載 — 指摘まで気づかず、原因も特定できず
情報収集中中程度沖縄県八重瀬町は2026年5月22日、氏名の非公開を希望した寄付者などの情報を町ウェブサイトに誤掲載していたと公表。2020年10月から2024年12月にかけて発生し、ポータルサイト事業者の指摘で判明した。
マツダ病院、画像診断の委託先クラウドで患者626人分が閲覧可能に — 露出は約1年8カ月、病院への報告はその1年2カ月後
全容判明中程度マツダ病院は2026年5月11日、画像診断業務の委託事業者がクラウドに保存した患者管理データのファイル共有設定に不備があり、626人分の氏名・患者IDなどが第三者から閲覧できる状態だったと公表。2023年4月から2024年12月まで露出が続き、委託先が修正した後、病院に報告が届いたのは2026年2月だった。
北九州市、情報公開で開示したPDFの墨塗りが機能せず — 教員採用試験申込者4135人・のべ5217件が参照可能に
全容判明中程度北九州市は、情報公開請求に応じて教員採用試験の行政文書をPDFで開示した際、不開示情報に黒色のマスキング処理を施したものの、画像化せず文字データを含むPDFを生成したため、処理部分の文字を参照できる状態だったと公表。2020年度から2024年度の申込者4135人分が対象となった。
名古屋市、ボランティア登録システムに開発時の動作確認ページが残存 — 登録者25人のメールアドレスが閲覧可能に
全容判明軽微名古屋市は「なごやウェルカムサポーター事業」の委託先が構築したシステムに、開発時に設置した動作確認用ページが残存していたと公表。ボランティア登録者がログイン状態で特定のURLにアクセスすると、他の登録者のメールアドレス25人分を閲覧できる状態だった。
神奈川県、委託先キズキがファイル共有の権限設定を誤り、システムが意図しないメールを同報送信 — 支援対象者4人分
続報を注視中軽微神奈川県は2025年12月26日、業務委託先のキズキがファイル共有ドライブに講座スケジュールの案内ファイルを格納した際、手順と異なる本来必要のないアクセス権限設定を行ったため、システムから意図しないメールが同報送信されたと公表した。支援対象者4人のメールアドレスが受信者間で閲覧できる状態となった。発生は2025年12月3日で、同日に受信者からの連絡で判明している。
会津大学短期大学部、資料請求フォームの不備で他の請求者64人分が閲覧可能に — 過去の公開講座2件でも同じ設定ミス
続報を注視中軽微会津大学は2025年12月25日、短期大学部が設置したウェブフォームに不備があり、関係者の個人情報が流出したと公表した。過去入試問題資料の請求フォームで、受付画面に表示されたリンクから他の資料請求者の個人情報を閲覧できる状態だった。2024年10月11日から2025年12月7日にかけて公開されており、資料請求者64人の氏名・住所・電話番号・出身高校などが対象。過去に公開していたサイトを確認したところ、公開講座2件でも同様の設定ミスが判明した。
東京都、職員採用試験のセミナー案内メールで申込者1人の氏名とログインIDが9,086人へ — 差し込み設定の漏れ
続報を注視中軽微東京都は2025年12月25日、都職員採用試験の受験者へメールでセミナーを案内した際、本文中に誤った個人情報が記載される不備があったと公表した。受信者ごとに本人の氏名とIDが記載されるよう設定する必要があったが、その設定が行われていなかったため、申込者1人の氏名と受験者サイトのログイン用IDが記載された状態で9,086人へ送信された。複数の受信者からの指摘で判明し、対象のIDは削除されている。
ピラティス専門店「WECLE」を運営するnobitel、データ管理システムの設定誤りで顧客情報が閲覧可能に
続報を注視中中程度ピラティス専門店「WECLE」を運営するnobitelは2025年12月24日、顧客の個人情報がインターネット経由で閲覧できる状態になっていたと公表した。データ管理システムに設定の誤りがあり、直接ページにアクセスできれば氏名・性別・年齢・携帯電話番号・メールアドレス・郵便番号などを閲覧できる状態だった。社内の点検によって判明し、すでに閲覧できない状態になっている。
鹿児島県日置市、公開PDFの墨塗りが視覚上のみでコピー＆ペーストで参照可能 — 2年以上公開され41件が対象
全容判明軽微鹿児島県日置市は2025年12月22日、市が公開していたファイル内に個人情報が含まれていたと公表した。視覚上は墨塗り処理が行われているものの、ファイル内部にデータが残っており、コピー＆ペーストの操作によって参照できる状態だった。森林経営管理権集積計画は2023年9月13日、配分計画は2024年4月18日から公開されており、2025年10月24日に判明。氏名・住所など41件が対象。
兵庫県、自治体向けに共有したファイルの図に個人情報600人分が内包 — データ編集で参照可能な状態だった
全容判明中程度兵庫県は2025年12月19日、農林振興事務所や水産振興事務所から自治体へ共有したドキュメントファイルに、図とひも付く個人情報が含まれていたと公表した。データ編集を行うと個人情報が参照できる状態で、代表者の氏名・住所・電話番号・年齢など600人分が対象。2025年11月7日にデータを共有し、12月8日にファイルを再確認した際に判明した。自治体から外部への二次流出はなかったとしている。
岩手県、物価高騰対策事業の事務局ポータルが約9か月間外部から閲覧可能に — アクセス制限を意図的に解除、申請事業者5,707件分が流出
続報を注視中中程度岩手県は2025年12月19日、物価高騰対策賃上げ支援事業の事務局業務の委託先が内部情報共有のため作成したポータルサイトが、2025年2月から約9か月間にわたり外部から閲覧できる状態だったと公表した。当初はIDとパスワードで保護されていたが、幹事社の担当者がアクセスできなかったためアクセス制限をかけない状態に変更されていた。申請事業者5,707件に関する担当者氏名や電話番号などを含む16件の資料が公開されていた。
群馬県、県内高校の部活動体験会の申込フォームで申込者81人の情報が閲覧可能に — 約1か月後に申込者の指摘で判明
続報を注視中軽微群馬県は2025年12月15日、県内高校における部活動体験会の申し込みフォームより送信された個人情報が公開されていたと公表した。申込者81人に関する氏名、中学校名、学年、参加部活動名、交通手段などが閲覧できる状態で、フォームの掲載は2025年10月22日、判明は11月20日の申込者からの指摘によるもの。氏名と中学校名は順不同で表示され紐づいた状態ではなかったとしている。
浜松市、委託先のイベント申込フォームで「前の回答を表示」から他人の申込情報が閲覧可能に — 103人分
続報を注視中中程度浜松市は2025年12月12日、委託先のSBSプロモーションが運営していた「プレコンフェスタ浜松2025」来場者募集用の申込フォームに設定の不備があったと公表した。フォームの送信完了画面に表示される「前の回答を表示」をクリックすると、送信時点より以前の申し込み情報を閲覧できる状態になっていたもの。2025年10月20日から11月27日にかけて、103人分の氏名・電話番号・メールアドレスが対象となった。
静岡県、県ウェブサイトの公開ファイルで本来非公開の氏名がマスキングされず掲載 — 複数部署で計200人分
続報を注視中中程度静岡県は2025年12月12日、県のウェブサイトで公開されているファイルに、本来非公開とすべき一部個人情報がマスキング処理などを実施されないまま掲載されていたと公表した。2025年11月10日に沼津土木事務所の職員が気づいたもので、用地補償契約者、補助金の対象者、行政財産の貸付・使用許可対象者、里親、違反建築物に関する行政指導対象者など、複数部署にわたり合計200人分の氏名が誤って公開されていた。
東京都、都立高校の情報共有ツールで入試受験者291人と入学生321人の個人情報が閲覧可能に — 教員・生徒共有アカウントにパスワード未設定
続報を注視中中程度東京都教育委員会は2025年11月28日、都内高校で教員や生徒が使用している情報共有ツールにおいて、本来公開すべきでない個人情報が閲覧できる状態になっていたと公表した。入試受験者291人の受験成績を含むデータと、2024年度入学生321人の保護者情報などが対象。禁止されていた共有アカウントでの個人情報の取り扱いが行われ、パスワードも設定されていなかった。
愛知県、あいち海上の森センターの体験プログラム申込フォームで別人の個人情報が閲覧可能に — 委託先の共有設定変更ミスで36人分
続報を注視中軽微愛知県は2025年11月27日、あいち海上の森センターの体験プログラム「キッズアカデミー」の申込フォームで、申込者の個人情報が別の申込者から閲覧できる状態になっていたと公表した。業務委託先がセンターと申し込み状況を共有した際に設定の変更を誤ったことが原因で、16組36人の氏名・住所・電話番号・年齢・メールアドレスが対象となった。