北海道函館市でうさばらし目的の同僚PCへ不正ログインし個人情報持ち出し|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年06月23日更新日時: 2026年06月23日

北海道函館市の大泉潤市長は2026年6月22日に記者会見を開き、性質の異なる2件の内部不正に対する懲戒処分を同日に発表しました。一件は市民部の50代職員が同僚のPCに不正ログインして個人情報を持ち出したうえ、情報漏洩を偽造するという行為に及んだもので、停職6か月の懲戒処分となりました。もう一件は競輪事業部の近藤樹容疑者（28歳）が売上金を管理する口座から50数回にわたり計約1,129万円を不正引き出してギャンブルに費やしたとして懲戒免職となったものです。大泉市長と担当副市長はそれぞれ給与の10分の1を1か月間減額する処分を自ら受けると発表し、「市民の皆様の信頼を著しく損なう事態を招き、市政をあずかる者として深くお詫びします」と謝罪しました。

サマリー

発表日：2026年6月22日（大泉潤函館市長が会見）
事案1：市民部・50代職員が同僚PCに不正ログイン→個人情報持ち出し→市アドレスへ2回送付（漏洩偽造）→印刷して市関連施設へ送付（外部漏洩）。停職6か月
事案2：競輪事業部・近藤樹容疑者（28歳）が偽造した払戻請求書で売上金口座から50数回・計約1,129万円を不正引き出しギャンブルに使用。2026年6月8日逮捕・送検のち懲戒免職
事案2の管理上の問題：通帳と銀行印が無施錠で保管され誰でも取り出せる状態だった
大泉市長・担当副市長：給与10分の1・1か月の減給処分

1 何が起きたか
2 2件が同時に示す組織統制の構造的課題
3 情報システム部門が取るべき対策
4 FAQ

何が起きたか

函館市が2026年6月22日に発表した2件の内部不正は、発生した部署も動機も手口も異なりますが、組織の内部統制に対する信頼を同時に損なうという意味で、ひとつの記者会見の場で説明されました。

市民部の50代職員は、2025年中に同僚のPCに不正ログインし、個人情報を含むデータを持ち出しました。さらに2026年1月には、そのデータを函館市のメールアドレス宛てに2回にわたって送りつけ、あたかも情報漏洩が発生しているかのような状況を意図的に作り出しました。翌2026年2月には、持ち出したデータの一部を印刷したうえで市の関連施設へ送付しており、実際に職場外への情報漏洩にまで至っています。市の調査に対し職員は「ストレスがあり、うさばらしがしたかった」と動機を説明しています。

競輪事業部の近藤樹容疑者は、函館競輪の売上金を管理する銀行口座から偽造した払戻請求書を使って現金を引き出す行為を繰り返していました。逮捕の端緒となった容疑は2025年8月から10月にかけての10回・計約156万円の不正引き出しですが、市の内部調査では不正引き出しは50数回に及び、総額は約1,129万円に達することが判明しています。近藤容疑者は「ギャンブルなどに使った」と話しており、2026年6月8日に函館中央署が有印私文書偽造・同行使と詐欺の疑いで逮捕しています。

2件が同時に示す組織統制の構造的課題

2件の内部不正を同日に発表せざるを得なかった函館市の状況は、個別の問題行動を超えた組織統制の構造的な脆弱性を示しています。

一点目は、アクセス権の管理です。市民部の事案では同僚のPCへの不正ログインが成立しており、アカウントの使い回しや他者への認証情報の共有といった慣行が職場内に存在していた可能性が否定できません。個人情報を扱う部署ほど、アカウントの個人管理の徹底とアクセスログの定期監査が不可欠です。

二点目は、金銭管理の内部統制です。競輪事業部における通帳・銀行印の無施錠保管は、基礎的な内部統制が機能していなかったことを意味します。公営事業の資金管理に対して第三者確認・職務分離・定期的な帳簿突合が実施されていれば、少なくとも早期発見は可能だったとみられます。秋田県や静岡県沼津市でも同種の自治体職員による不正アクセス・情報持ち出しが報告されており、地方自治体における内部統制は全国的な課題となっています。

三点目は、行動のエスカレーションを見落とした点です。市民部の事案では、2025年の不正ログイン・データ持ち出しが発覚しないまま、2026年1月の偽造漏洩、2月の実際の外部送付へと不正行為が段階的に悪化しています。早い段階での内部通報や行動ログの監視が機能していれば、被害の拡大を防ぐことができた可能性があります。

情報システム部門が取るべき対策

今回の2事案は、自治体に限らず民間企業の情報システム・リスク管理部門にも直接示唆を与える内容です。

アクセス制御と認証情報の管理については、個人情報を含む業務データへのアクセスは役職・業務内容に応じた最小権限の原則に基づいて設計する必要があります。他者のアカウントでのログインが物理的に可能な環境は、不正の機会を構造的に提供しています。MFAの全面導入と、認証情報の共有を禁じる明文的なポリシーの整備が基本です。

アクセスログの定期レビューについては、誰がいつどのデータにアクセスし、どこへ送信したかのログを定期的に確認する体制が内部不正の早期発見に有効です。特に個人情報を扱うシステムでは、業務上合理的でないアクセスパターン（深夜アクセス・一括ダウンロード・外部への送信など）を検知する仕組みを整えることが望まれます。

金銭管理の内部統制については、会計・出納業務における職務分離（支払い指示と承認を別の人間が行う）・二者確認・定期的な帳簿残高の突合は、どの規模の組織でも実施できる基本対策です。今回の事案のように通帳と印鑑が同じ場所に無施錠で保管されている状態は、内部統制の観点から根本的な見直しが必要な状態です。