事案の概要データ
| 公表 | 2026年10月27日 更新（東京消防庁） |
|---|---|
| 委託先 | 株式会社レベルエンター |
| 委託していた業務 | 採用試験論文の採点 |
| 漏えいのおそれがある情報 | 過去の採用試験の論文答案の画像、および論文添削サービスを用いた添削結果 |
| 件数 | 198件 |
| 個人情報が記載されていた件数 | 198件のうち1件に当庁職員の氏名が記載。その他は個人情報の記載なし |
| 採用試験の合否への影響 | 業者サービスの導入試験のために提供したもので、合否への影響はない |
| 不正アクセスの判明 | 令和8年（2026年）10月21日（水）に委託先で判明 |
| 東京消防庁が報告を受けた日 | 判明の翌日 |
| 委託先の対応 | サーバーの停止と新サーバーへの移行、公表、第三者機関による調査 |
| 現状 | 情報が不正に持ち出された事実は確認できていないが、漏えいしたおそれはあると報告 |
| 悪用 | 現時点で確認されていない |
| 問い合わせ窓口 | 東京消防庁 人事部 人事課 採用係 03-3212-2111（内線3166） |
図解：この事故の構造
何が起きたのか
東京消防庁は、採用試験論文の採点を委託している株式会社レベルエンターの自社サーバーが不正アクセスを受け、情報が漏えいしたおそれがあると公表しました。
漏えいのおそれがあるのは、過去の採用試験の論文答案の画像と、論文添削サービスを用いた添削結果の計198件です。
この198件のうち、個人情報が記載されているのは1件のみで、当庁職員の氏名が書かれていました。その他には個人情報の記載はないとされています。
不正アクセスが判明したのは2026年10月21日で、東京消防庁は翌日に報告を受けました。委託先は、サーバーの停止と新サーバーへの移行、公表、第三者機関による調査を実施しています。
注目すべきは「導入試験のために提供した」という一文
件数は198件、個人情報は1件。規模としては小さい事案です。しかし、なぜその答案がそこにあったのかを読むと、重要な論点が出てきます。
東京消防庁の公表には、こう書かれています。これらは「業者サービスの導入試験のために提供したもの」であり、実際の採用試験の合否への影響はない、と。
つまり、サービスを導入するかどうかを検討するための試用（トライアル）に、過去の本物の答案を渡していたのです。
これは、どの組織でもやっていることです。新しいツールを試すとき、「実際のデータで試さないと、使えるかどうか分からない」と考えます。架空のデータでは、精度も使い勝手も判断できません。
気持ちは分かります。しかし、試用のために渡したデータも、渡した時点で相手の管理下に入ります。そして試用は、本契約より管理が緩くなりがちです。契約書も簡素で、データの削除期限も決まっていないことが多いからです。
試用・デモに本番データを使わない
中小企業がITツールを検討するとき、無料トライアルを使うのは当たり前になっています。クラウド会計、顧客管理、勤怠管理、AIの文書作成。どれも「まず試してみてください」と言われます。
そのときに、実際の顧客名簿や従業員名簿をアップロードしていませんか。
やるべきことは3つです。
1. 試用には加工したデータを使う。 氏名を「テスト太郎」「サンプル花子」に置き換え、住所や電話番号もダミーにします。これを「マスキング」と呼びます。件数と形式が同じなら、使い勝手の判断はできます。
2. どうしても本物が必要なら、件数を絞って、消してもらう期限を決める。 「試用終了後1週間以内に削除し、削除証明をメールでください」と書面やメールで伝えます。言った・言わないを防ぐため、必ず文字で残してください。
3. 試用で渡したデータの一覧を残す。 いつ、どのサービスに、何を渡したか。これがないと、事故が起きたときに「うちのデータは入っていたか」すら分かりません。
特に3番目が抜けがちです。担当者が代わると、過去に何を渡したかは誰も知らなくなります。
AIツールの試用では、もっと起きやすい
この話は、いま最も起こりやすい場面があります。生成AIのツールを試すときです。
「議事録を要約させてみよう」「顧客からの問い合わせメールを分類させてみよう」。試すとき、本物の議事録や本物のメールを貼り付けてしまいます。試用の無料プランでは、入力したデータが学習に使われる設定になっていることもあります。
確認すべきは2点です。入力したデータが学習に使われない設定になっているか。そして、その設定が無料プランでも有効かです。多くのサービスでは、有料プランのみ学習対象外、という条件になっています。
東京消防庁の事案は、AIの話ではありません。しかし構造は同じです。「試すために本物を渡した」「渡した先で事故が起きた」。
新しいツールを試すことは良いことです。ただし、試す前に渡すデータを1回加工する。この習慣だけで、こうした事故の被害は大きく減ります。
時系列で見る経過
- 2026年10月21日（水）株式会社レベルエンターの自社サーバーへの不正アクセスが判明
- 2026年10月22日（判明の翌日）東京消防庁が委託先から報告を受ける
- 2026年10月委託先がサーバーを停止し、新サーバーへ移行。公表と第三者機関による調査を実施
- 2026年10月27日東京消防庁が、論文答案の画像と添削結果 計198件に漏えいのおそれがあると公表
中小企業が学ぶべきポイント
- ツールの試用・デモに本番データを使わない。氏名や連絡先を置き換えた加工データで足りることが多い。
- どうしても本物が必要なら、件数を絞り、削除期限と削除報告を文字で約束させる。
- 試用で渡したデータの一覧を残す。担当者が代わると、何を渡したか誰も分からなくなる。
- 試用は本契約より管理が緩くなりがち。契約書も簡素で、削除期限も決まっていないことが多い。
- 生成AIツールの試用では、入力データが学習に使われない設定か、それが無料プランでも有効かを確認する。
- 本件は198件中1件のみに個人情報が記載。件数が大きくても中身が薄いこともあり、公表では両方を示すのがよい。
出典・参考
本記事は、各組織の公表資料および報道をもとに、要点をわかりやすく整理したものです。 被害件数は「漏えいした可能性のある最大件数」として公表されている場合があり、実際に漏えいが確定した件数とは異なることがあります。 また、調査の進展により内容が変わる場合があります。正確な情報は必ず出典元の公式発表をご確認ください。