YCC情報システムへの攻撃で複数自治体に波及、約51万件の情報が影響

事案の概要データ

何が起きたのか

2026年4月、自治体向けにシステムの開発・運用を行うYCC情報システムが攻撃を受け、山形市を含む複数の自治体に被害が波及しました。影響件数は約51万件とされています。

住民から見れば「市役所の情報が漏れた」という事案ですが、実際に攻撃されたのは市役所ではなく、その業務を請け負っていた民間企業です。

委託先が狙われる理由

攻撃者にとって、委託先を狙うのは効率がよい戦術です。1社に侵入すれば、その会社が取引している複数の組織のデータにまとめてアクセスできるからです。「1回の攻撃で10倍の成果」という発想です。

2024年のイセトー（印刷・データ処理の委託先）の事案、2023年のLINEヤフー（委託先のマルウェア感染が起点）、2026年2月の東海大学（委託先のランサムウェア被害）も同じ構図でした。

委託する側の責任は、契約書に守秘義務条項を入れることでは終わりません。(1)委託先のセキュリティ体制を確認する、(2)預けるデータを必要最小限にする、(3)委託先で事故が起きたときの報告ルートと期限を決めておく、という具体的な管理が求められます。

中小企業でも、給与計算・記帳代行・名簿印刷・ホームページ運用など、外部に預けているデータは必ずあります。「どこに、何を、どれだけ預けているか」の一覧を作ることから始めてください。

時系列で見る経過

• 2026年4月YCC情報システムへの不正アクセスが発生・発覚
• 2026年4月委託元である複数自治体に影響が及ぶことが判明
• 2026年4月山形市を含む自治体が、約51万件の情報への影響を公表
• 2026年4月以降影響範囲の調査と住民への案内を継続

中小企業が学ぶべきポイント

1. 外部に預けているデータの一覧（委託先・データの種類・件数）を作る。まずは可視化から。
2. 委託先に渡すデータは必要最小限にする。「念のため全件渡す」をやめるだけでリスクは減る。
3. 委託契約に、事故時の報告期限（例：覚知から24時間以内）と報告先を明記する。
4. 委託先が攻撃されても、説明責任を負うのは委託元。他人事にできない。

出典・参考

• 2026年 日本のセキュリティインシデントまとめ - printemps tokyo