事案の概要データ
| 公表日 | 2026年10月26日（報道） |
|---|---|
| 対象 | リーフレット「「遊び」は「学び」」のモニター応募者 65人 |
| 原因 | 委託先が利用するサーバーへの不正アクセス |
| 注意 | 当事者の公表原文は未確認。報道ベースの情報として扱う |
図解：この事故の構造
何が起きたのか
2026年10月26日、広島県教育委員会のリーフレット「「遊び」は「学び」」のモニター募集で、委託先が利用するサーバーへの不正アクセスにより、応募者65人分の個人情報が対象になったと報じられました。
侵入の手口は示されていません。本記事の時点では当事者の公表原文を確認できていないため、報道にもとづく内容です。
65人という規模をどう見るか
65人です。この速報で扱う事案のなかでは、最も小さい規模のひとつです。同じ10月27日には258万件の事案も公表されています。
しかし、中小企業にとって現実的なのはこちらの規模です。アンケートの応募者、セミナーの参加者、キャンペーンの応募者。数十人から数百人のデータを預かる場面は、どの会社にもあります。
そして、件数が小さくても、やるべきことは変わりません。
個人情報保護法では、漏えいが起きたとき、個人情報保護委員会への報告と本人への通知が必要になる場合があります。この義務は件数で決まるのではなく、漏えいした情報の性質と状況で決まります。要配慮個人情報、財産的被害のおそれ、不正の目的による行為、1,000人超。このいずれかに当たれば報告義務があります。
不正アクセスによる漏えいは「不正の目的による行為」に当たるため、1人分でも報告義務が生じます。65人だから軽い、ということはありません。
「委託先が利用するサーバー」という連鎖
本件の原因は、県教委のシステムではなく「委託先が利用するサーバー」への不正アクセスです。
モニター募集のような単発の企画では、応募フォームの作成と応募者の管理を外部に委託することが多いです。委託された会社は、さらにレンタルサーバーやクラウドサービスを使います。
つまり、データは「県教委 → 委託先 → 委託先が使うサーバー」と預けられていきます。この連鎖のどこか1か所が破られれば、県教委が集めた応募者情報が漏れます。
そして県教委からは、委託先が使っているサーバーの状態は見えません。
これは、中小企業が業務を外注するときにそのまま起こります。「ホームページ制作を頼んだ会社が、どこのサーバーを使っているか知っていますか」。知らないことのほうが多いはずです。
外注するときに決めておく4つのこと
個人情報を伴う業務を外注するときは、契約の時点で次を決めてください。難しい話ではなく、メール1本で確認できます。
1. データをどこに置くか。 委託先の社内か、レンタルサーバーか、どのクラウドか。再委託があるかも含めて確認します。
2. いつ消すか。 企画が終わったら、応募者データを消してもらいます。「終了後1か月以内に削除し、削除したことを報告する」と決めてください。残っていれば、何年後かに漏れます。
3. 事故が起きたらいつ連絡をもらうか。 「気づいてから24時間以内に第一報」と決めておきます。これがないと、報道で知ることになります。
4. 再委託の可否と、その場合の条件。 委託先がさらに別の会社に出すことを認めるのか。認めるなら、同じ条件を守らせることを書いておきます。
この4つを決めておけば、本件のような事故が起きたときに、何が起きたのかを把握できます。決めていなければ、調べることすらできません。
時系列で見る経過
- 2026年10月26日委託先が利用するサーバーへの不正アクセスで、モニター応募者65人分の個人情報が対象と報じられる
- （調査中）侵入の手口は公表されていない
中小企業が学ぶべきポイント
- 不正アクセスによる漏えいは「不正の目的による行為」に当たり、1人分でも報告義務が生じる。件数で軽重は決まらない。
- データは「自社 → 委託先 → 委託先が使うサーバー」と預けられていく。どこか1か所が破られれば漏れる。
- 外注時に、データの置き場所と再委託の有無を確認する。
- 企画終了後にデータを削除させ、削除したことの報告を受ける。
- 事故時の第一報の期限（例：気づいてから24時間以内）を契約で決めておく。
- 数十人規模のデータを預かる場面は、どの中小企業にもある。こちらのほうが現実的な想定。
出典・参考
本記事は、各組織の公表資料および報道をもとに、要点をわかりやすく整理したものです。 被害件数は「漏えいした可能性のある最大件数」として公表されている場合があり、実際に漏えいが確定した件数とは異なることがあります。 また、調査の進展により内容が変わる場合があります。正確な情報は必ず出典元の公式発表をご確認ください。