デジタル庁は2026年8月7日、国家資格等の手続きをオンライン化する「国家資格等情報連携・活用システム」の運用にあたり、各資格管理団体の職員150名分の個人情報が漏えいしたと公表した。外部からの攻撃ではなく、他省庁へ送るファイルを作る過程での作業誤りが原因で、その引き金になったのは運用の作業手順書の曖昧な記載だった。派手さのない事案だが、システムの運用を委託や分担で回している組織にとっては他人事ではない。
発覚は送付先からの指摘だった
デジタル庁の発表によると、事象が確認されたのは2026年7月6日。同庁が他省庁に送付した本システムの「ログイン履歴」ファイルについて、送付先の省庁担当者から「関係者以外の個人情報が記載されている」と連絡があった。自組織の点検で気づいたのではなく、受け取った側からの指摘で判明した。
当該ファイルに記載されていたのは、本システムにログイン履歴のある各資格管理団体の職員150名の個人情報で、内訳は氏名、ユーザーID、所属等のコードとされている。マイナンバーや資格保有者本人の情報が漏えいしたという発表はなく、影響範囲はシステムを操作する側の団体職員にとどまるとされている。
「国家資格等情報連携・活用システム」は、紙を前提としてきた国家資格関係の事務をマイナンバー制度の活用によってデジタル化するための共通システムで、資格登録申請や氏名変更などの手続きをオンラインで完結させることを目指している。複数の資格管理団体が同じ基盤を共同利用する構造であり、今回の事案はその「共同利用」という性質と密接に関係している。
原因は「誰のログイン履歴を出すのか」の書き分け不足
デジタル庁は原因について、ファイルの提供にあたり、本システムから抽出した複数のデータのうち送付先の省庁担当課ユーザーのみの「ログイン履歴」を作成すべきところ、運用の作業手順書の曖昧な記載により作業誤りが発生し、他の資格管理団体のユーザーが含まれた状態でファイルが作成されていたと説明している。
つまり、システムの不具合でもなく、権限設定の穴でもない。抽出したデータから「渡してよい範囲だけを残す」という絞り込みの工程が、手順書の書き方の曖昧さによって正しく実行されなかった。共同利用型のシステムでは、抽出した生データに他団体のユーザー情報が混在しているのが通常の状態であり、絞り込みを外した瞬間にそのまま第三者提供になってしまう。
二次被害は確認されず、チェック体制の強化へ
同庁は、当該ファイルについて送付先に確認したところ第三者に転送されておらず、削除済みであるとしている。現時点で本件に起因する二次被害は確認されていない。送付先が省庁であり、指摘したのも受領した担当者だったことから、外部に拡散する前に止まった事案といえる。
再発防止策としては、チェック体制の強化と作業手順書の点検等を挙げている。原因が手順書の記載そのものにあったことを踏まえれば、点検の焦点は「手順が書かれているか」ではなく「読んだ人が絞り込みの範囲を取り違えないか」に置かれることになるだろう。
手順書は「読み手が迷わないところ」まで書けているか
この事案の教訓は、攻撃対策の文脈にはほとんど収まらない。データを抽出して外部に渡すという業務は多くの組織に存在し、その安全性は最終的に「作業手順書の精度」と「渡す前の確認」という、地味な二点に依存している。
とくに注意が必要なのは、今回のようにデータ抽出と提供が定型作業として繰り返されるケースだ。定型化されるほど手順書は疑われなくなり、曖昧な記載があっても「これまで問題が起きていない」ことが正しさの根拠にされてしまう。実際には、担当者の解釈が一度ずれれば、そのまま第三者への個人情報提供になる。
自組織で確認すべき点は多くない。外部にデータを渡す業務の手順書に、抽出条件と絞り込み範囲が誰にも解釈の余地なく書かれているか。ファイル送付前に、作成者以外がその範囲を確認する工程が入っているか。共同利用しているシステムから抽出したデータに、他の利用者の情報が混ざる可能性を担当者が把握しているか。今回の150名という規模は、この三点のいずれかが抜けていれば、どの組織でも起こり得る。
同じ手口に、自社は備えられていますか？