徳島県は2026年8月10日、住民基本台帳ネットワークシステム（住基ネット）の機器更改（機器の入れ替え）にともないリース事業者へ返却した外付ハードディスク2台が所在不明になり、データを消去しないまま廃棄された可能性が高いと公表した。記録されていたのは氏名・住所・個人番号（マイナンバー）などを含む延べ約46万件の操作履歴である。さらに、この機器を扱っていた事業者への再委託が県の承認を経ずに行われていたことも明らかになった。県の調査では、外部からの侵入も、悪意による持ち出しも確認されていないという。それでも個人情報は行方が分からなくなった。
返却から1か月、数量確認で初めて発覚した
県の発表によると、経緯はこうだ。令和8年（2026年）5月21日、県はリース期間を終えた機器をリース事業者へ返却し、機器は再委託事業者の施設で保管された。所在不明が判明したのは1か月後の6月23日、再委託事業者がデータ消去の前に数量を確認した段階である。そこから報告は段階的に上がり、再委託事業者からリース事業者へ伝わったのが7月6日、リース事業者から県へ伝わったのが7月8日だった。県が公表したのは8月10日で、返却から約2か月半が経過していた。
リース事業者はNECキャピタルソリューション株式会社、再委託事業者は株式会社川上キカイである。県は発表資料で、この再委託が県の承認手続きを経ずに行われたと明記している。
行方が分からなくなったのは、住基ネットのバックアップ用外付ハードディスク2台。保存されていたのは住基ネットの操作履歴（アクセスログ）で、住基ネットが保持する情報そのものは含まれていない。それでもログには氏名・住所・生年月日・性別・個人番号のいずれかを含むデータが延べ約46万件記録されており、うち個人番号を含むものが延べ約18万件あった。県が説明しているとおり、これは同一人物の情報が重複して数えられた「延べ件数」であり、対象となる実人数とは一致しない。報道によると、ログは2013年末から2025年12月までの約12年分にわたるという。
「崩れた運用」が事故を生んだ
県が示した原因は、サイバー攻撃でも内部不正でもなく、現場の運用のほころびだった。
再委託事業者の施設では、受入物量の増加によって処理が遅れ、保管スペースが逼迫していた。その結果、本来なら2階で保管すべき検品後の機器が1階の保留品置場に置かれ、本来なら2階の担当者が行うはずの仕分けを、仕分け経験の少ない1階の担当者が実施していた。県は、このイレギュラーな仕分け作業の過程で、対象のハードディスクが誤ってマテリアルリサイクル（廃棄・破砕）のルートに混入したと判断している。
その後、リース事業者と再委託事業者は施設内の全量確認、防犯カメラ映像の精査、全関係者へのヒアリング、外部搬出先の調査を実施し、外部からの侵入や意図的な持ち出し、他ルートへの流通はなかったと確認したとしている。県はリース事業者からの報告として、対象のハードディスクはリサイクル業者へ引き渡され、すでに物理的に破砕処理された可能性が極めて高いという結論を受け取っている。
つまり、県が県民に説明できるのは「悪用された形跡はない」ところまでであり、「確実に破壊された」ことを現物で示すことはできていない。証明のない安全は、安心とは別物である。
手順は正しかったのに、手順の外で消えた
この事案で目を引くのは、消去作業そのものではなく、消去に至るまでの受け渡しの過程で情報が失われた点だ。データ消去の手順がどれだけ厳格でも、消去の対象物が消去工程にたどり着かなければ意味がない。
管理の目が届きにくくなる典型的な場所が、委託のさらに先である。今回、県が承認していない再委託が実際に行われ、その施設で機器は本来と異なる場所に置かれ、経験の浅い担当者の手で仕分けられた。県から見れば、契約の相手はリース事業者であり、そこから先の現場は直接見えていなかったことになる。県は再発防止策として、事務フローと管理体制の問題点の洗い出し、契約内容の見直し、実施手順の明確化、職員が現場で確認するためのチェックリスト策定に取り組むとしている。
これは自治体だけの話ではない。IT機器のリース返却、PC・サーバの廃棄、外付ストレージやバックアップメディアの処分は、どの組織にも定期的に発生する。そして担当者の関心は「消去したか」に集まりやすく、「消去されるべきものが、消去される場所まで確実に届いたか」は抜けやすい。返却時の台帳と現物のシリアル番号を突き合わせているか、再委託の有無を契約で縛り事前承認を必須にしているか、消去証明書に対象機器の個体識別が記載されているか——確認すべき点は、退役していく機器のほうにこそ残っている。
県民が今できる備え
県は、この事案に乗じたフィッシング詐欺や便乗詐欺への注意を呼びかけている。当該の外付ハードディスクに口座情報やクレジットカード情報は含まれておらず、県や関係機関が電話やメールで個人番号や口座情報を尋ねることはないとしている。不審な連絡があった場合は応じずに警察へ相談するよう求めている。県は専用の問い合わせ窓口（0120-325-606、平日午前9時〜午後5時）も設けた。
情報漏えいの公表は、それ自体が詐欺の口実として利用されやすい。「徳島県から」「マイナンバーの再登録が必要」といった連絡が来たとしても、それは県の発表とは無関係の便乗である可能性が高い。
同じ手口に、自社は備えられていますか？