山形市委託のYCC情報システム、ランサムウェア攻撃で約50万件・マイナンバーを含む個人情報が漏洩の恐れ-9組織以上に波及した攻撃の起点【2026年4月】|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年04月17日更新日時: 2026年04月27日

山形市委託のYCC情報システム、サイバー攻撃で約50万件の個人情報漏洩の恐れ、マイナンバーも漏洩

2026年4月16日、山形市は、同市がシステムの構築・運用を委託していた株式会社YCC情報システム（山形市）にランサムウェアによるサイバー攻撃が発生し、市民の健康情報を中心に複数システムにわたる個人情報に漏洩のおそれがあることを発表しました。

YCC情報システムは山形新聞・山形放送グループのシステムインテグレーターで、地方自治体・医療機関・民間企業のITシステムを幅広く手がけています。今回の攻撃では、市が委託したシステムに保存されていた健康情報約50万件、マイナンバーを含む人事給与情報約6,000件、児童相談情報2,520件など、複数の高感度情報が対象となっており、自治体委託システムへのランサムウェア攻撃の深刻な影響を示す事例となっています。

なお本件はYCC情報システムを委託先とする山形県・山形交通・山形大学・庄内町・高畠町・幸手市・関東信越税理士国民健康保険組合など複数の組織に波及しており、本記事では山形市への影響を詳しく取り上げます。攻撃全体の被害組織・件数まとめは以下の記事をご参照ください。

▶ まとめ記事：YCC情報システムランサムウェア攻撃まとめ——被害組織・漏洩件数・影響範囲を随時更新

▶ 関連記事：2026年ランサムウェアの事例まとめ

1 インシデントの概要
2 山形市が発表した漏洩のおそれがある情報の詳細
3 YCC情報システムの公式発表の経緯（第1報〜第4報）
4 波及した被害：山形新聞社購読者情報もリスク範囲に
5 被害はYCC情報システムの委託元全体に及んでいる
6 YCC情報システムについて
7 自治体委託システムへのランサムウェア攻撃が持つ固有のリスク
8 山形市が委託先のシステムの対象者へ行う対応
9 よくある質問（FAQ）
10 出典
- 10.1 YCC情報システム公式発表
- 10.2 報道

インシデントの概要

項目	内容
被害組織	株式会社YCC情報システム（山形県山形市、山新グループ・富士通系FCA加盟）
攻撃の種類	ランサムウェア攻撃（種類は特定済み・セキュリティ上の理由から非公表）
攻撃発生日時	2026年4月2日（早朝）
攻撃を受けた対象	同社のファイルサーバー
侵入経路	2026年4月16日時点で特定未了。引き続き外部専門機関と連携して調査中
山形市への影響	委託していた複数システムの個人情報に漏洩のおそれ（最大約50万件超）
行政報告	個人情報保護委員会・総務省に報告済み（山形市）
YCC社の報告	関係する公的機関への届出・報告を順次実施
問い合わせ先（YCC）	総務部 TEL：023-641-4667 / [email protected]

出典：YCC情報システム公式発表（第1〜4報）、YBC山形放送（2026年4月16日）

山形市が発表した漏洩のおそれがある情報の詳細

YBC山形放送の報道（2026年4月16日）によれば、山形市が16日に発表した内容として、同市がYCC情報システムに構築・運用を委託していたシステムに関わる個人情報について、以下の漏洩のおそれが確認されています。契約を終了したものを含む、複数のシステムが対象です。

対象システム	対象データの時期	漏洩のおそれがある情報	件数
健康情報システム	2002年〜2025年	電話番号、保険者番号など	約50万件
人事給与システム	2018年度〜2019年度時点	生年月日、マイナンバー、給料、手当など	約6,000件
健康情報システム	2012年6月時点	受診年月日など	約1,800件
児童相談システム	2023年7月1日〜7月31日	生年月日など	2,520件

出典：YBC山形放送（2026年4月16日17時36分配信）に基づく山形市発表内容

中でも注目されるのが、人事給与システムにマイナンバー（特定個人情報）が含まれている点です。マイナンバーの漏洩はマイナンバー法（番号法）の規定に基づく個人情報保護委員会への報告義務が発生するほか、被害者への影響が特に深刻となる可能性があります。山形市は個人情報保護委員会と総務省の双方に報告したとされています。

また、健康情報システムで2002年から2025年という20年以上にわたるデータが対象となっている点も重要です。保険者番号等の医療・健康に関わる情報は要配慮個人情報に該当し得るものであり、二次被害（標的型フィッシング・なりすまし等）のリスクが高い情報です。

山形市は対象者を確定した上で、個人情報の漏洩のおそれがあることを順次通知するとしています。

YCC情報システムの公式発表の経緯（第1報〜第4報）

YCC情報システムは攻撃確認後、以下の時系列で公式発表を行っています。

日付	報	発表内容
2026年4月2日早朝	（発生）	ファイルサーバーへのランサムウェア攻撃が発生
2026年4月3日	第1報	「当社サーバーへの不正アクセスに関するご報告」として公表。情報流出の影響を確認中
2026年4月6日	第2報	ランサムウェア攻撃であることを公表。種類・侵入経路は未特定。外部専門機関と連携開始
2026年4月7日	第3報	ランサムウェアの種類を特定（セキュリティリスクの観点から非公表）。侵入経路は引き続き調査中
2026年4月14日	第4報	取引先から受託・保管していた情報の一部について「漏洩のおそれが否定できない状況」を確認。影響範囲が広範囲に及ぶ可能性を言及
2026年4月16日	（山形市発表）	山形市が具体的なシステム名・件数・データ項目を発表。個人情報保護委員会・総務省に報告済みと公表

出典：YCC情報システム公式発表（yamagata-ycc.co.jp/news/）、YBC山形放送（2026年4月16日）

波及した被害：山形新聞社購読者情報もリスク範囲に

今回の攻撃の影響は山形市への委託システムにとどまりません。YCC情報システムを通じてシステム委託していた山形新聞社も、3月にクレジットカード決済を利用した購読者の個人情報が流出した可能性があることを公表しています

山形新聞社の公表によれば、流出の可能性がある情報は3月に購読料が決済された購読者の氏名・住所・電話番号・取り扱い販売店名・決済額とされています。クレジットカード情報は流出していないとしています。

このように一つのSI（システムインテグレーター）への攻撃が、そのSIに業務を委託していた自治体・民間企業の複数の委託先情報を同時に危険にさらすサプライチェーン型の被害構造が、本件の深刻さを示しています。

被害はYCC情報システムの委託元全体に及んでいる

本件は山形市への影響にとどまりません。YCC情報システム1社への攻撃が、同社を委託先とする山形県（約26,800件）・山形交通（約121,880件）・山形大学（約80,091件）・庄内町（約12,996件）・高畠町（2,354名）・幸手市・関東信越税理士国民健康保険組合など複数の組織に連鎖的に影響を及ぼしています。これは委託先SIへの攻撃が委託元の個人情報を同時に危険にさらす「サプライチェーン型ランサムウェア攻撃」の典型的な構造です。

被害組織の全容・各組織の詳細は以下のまとめ記事で随時更新しています。

▶ YCC情報システムランサムウェア攻撃まとめ——被害組織・漏洩件数・影響範囲を随時更新

YCC情報システムについて

YCC情報システムは1966年11月、山形県の情報化推進を目的に山形新聞と山形放送の出資によって設立（当時の社名：山形電子計算センター）。1986年に富士通との資本提携を機に現社名に改称し、富士通系情報処理サービス業グループ（FCA）の一社でもあります。公共団体（自治体・団体）、民間企業（製造・流通・小売・メディア）、医療（病院・診療所）の分野でITソリューション・クラウドサービスを提供する山形県内最大規模のSIです。自治体や医療機関のシステムを多数受託していることが、今回の被害が複数の高感度情報に及んだ背景にあります。

自治体委託システムへのランサムウェア攻撃が持つ固有のリスク

今回の事案は、民間企業が被害を受けるランサムウェア事案とは質的に異なるリスクを持っています。

要配慮個人情報の集中。健康診断情報・受診歴・児童相談に関する情報は個人情報保護法上の「要配慮個人情報」に該当する可能性があり、一般的な氏名・住所の漏洩と比較して被害者への影響が深刻です。特に健康情報は生命保険の加入審査や就職差別等の悪用リスクが伴います。

マイナンバー（特定個人情報）の漏洩リスク。人事給与システムにはマイナンバーが含まれるとされており、マイナンバー法の規定に基づく特別な報告義務が発生します。マイナンバーは「一生変えられない番号」であるため、漏洩した場合の影響は長期にわたります。

年月をまたぐ大量データ。健康情報システムで2002年から2025年という20年超にわたるデータが対象となっている点は、ITシステムの運用期間中に蓄積したデータが長期間にわたって保管されていたことを示しています。データの保存期間と削除ポリシーの見直しが今後の課題として浮上します。

複数の委託先への波及構造。SIが自治体・企業の複数システムを同一のファイルサーバーで管理していた場合、1件の攻撃が複数の委託先のデータを同時に危険にさらします。SIへの委託に際してのデータ分離要件の確認が各自治体・企業の課題となります。

山形市が委託先のシステムの対象者へ行う対応

YBC山形放送の報道によれば、山形市は以下の対応を進めるとしています。

国の個人情報保護委員会と総務省に報告済み
対象者を確定した後、個人情報の漏洩のおそれがあることを順次通知
二次被害防止のための注意喚起を実施

一方、YCC情報システムは侵入経路の特定が完了していないため、今後も調査の進捗に応じた続報が予想されます。調査が完了した段階で恒久的な再発防止策を速やかに実施するとしています。

漏洩対象の可能性がある方への通知が届いた場合は、不審な電話・メールに注意し、フィッシングや詐欺的な二次攻撃に備えることが重要です。

よくある質問（FAQ）

YCC情報システムへのランサムウェア攻撃で漏洩したのはどんな情報ですか？

山形市が委託していた4つのシステムにわたる個人情報に漏洩のおそれがあります。健康情報システム（2002年〜2025年の電話番号・保険者番号等）約50万件、人事給与システム（2018〜2019年度のマイナンバー・生年月日・給料・手当等）約6,000件、健康情報システム（2012年6月時点の受診年月日等）約1,800件、児童相談システム（2023年7月の生年月日等）2,520件が対象とされています。クレジットカード情報については、山形新聞社の購読者情報（3月決済分の氏名・住所・電話番号等）にも漏洩のおそれがあります。

YCC情報システムのランサムウェア攻撃の侵入経路は判明していますか？

2026年4月16日時点では侵入経路は特定されていません。YCC情報システムは第3報（2026年4月7日）でランサムウェアの種類を特定したと発表しましたが、セキュリティリスクの観点から種類は公表していません。引き続き外部専門機関と連携して調査を進めており、侵入経路が判明次第、恒久的な再発防止策を速やかに実施するとしています。

自分の情報が漏洩対象かどうかはどうすれば確認できますか？

山形市は対象者を確定した上で、個人情報の漏洩のおそれがあることを順次通知するとしています。山形市からの通知が届いた場合は、記載された問い合わせ先に確認してください。山形新聞購読者（クレジットカード決済分）については、山形新聞読者局（023-664-0293）まで問い合わせてください。YCC情報システムへの直接問い合わせは 023-641-4667 または [email protected] です。