愛媛県、食品営業許可施設のオープンデータで申請者住所3,809件・電話番号1,315件を誤掲載

愛媛県は2026年8月21日、食品営業許可施設に関するオープンデータに、公開すべきではない申請者の自宅住所と固定電話番号を誤って含めていたと公表しました。対象ファイルは8月18日午後から8月20日18時30分まで公開されており、県は判明後に直ちに削除しました。

誤掲載事案のサマリー

• 【確認済み】食品営業許可施設1万1,131施設を掲載したExcelファイルに、本来公開しない個人情報が含まれていました。
• 【確認済み】申請者の自宅住所は3,809件、固定電話番号は1,315件です。
• 【確認済み】合計5,124件は情報項目数であり、5,124人を意味するとは限りません。
• 【確認済み】ファイルは2026年8月18日午後から8月20日18時30分まで公開されていました。
• 【確認済み】8月20日18時30分に誤掲載が判明し、県は掲載ページを削除しました。
• 【確認済み】原因は、国の食品衛生申請等システムからデータを抽出する際の列選択の誤りと、公開前の確認不足です。
• 【確認済み】県は対象者への謝罪と説明を行うとしています。
• 【確認済み】公表時点で二次被害は確認されていません。

国のシステムから抽出した作業用データを誤って公開

愛媛県によると、食品営業許可施設のオープンデータを作成するため、国の食品衛生申請等システムからデータを抽出した際に、公開対象ではない列を選択しました。その結果、申請者の自宅住所と固定電話番号を含むExcelファイルが県のホームページで公開されました。

今回の事案は外部からのサイバー攻撃ではなく、公開用データの作成・確認工程で生じた誤掲載です。県は、作業担当者による内容確認が不十分だったことに加え、データ更新後に他の職員による確認を行っていなかったと説明しています。

公開期間は約2日、二次被害は確認されず

対象ファイルは8月18日午後から8月20日18時30分まで、外部から取得できる状態でした。県は誤掲載の判明後、直ちに掲載ページを削除しました。

公表時点で二次被害は確認されていません。ただし、住所や固定電話番号は、なりすまし連絡や不審な勧誘などに悪用される可能性があります。これは今後想定されるリスクであり、実際の悪用が確認されたことを意味しません。

作業用ファイルの最小化と複数人確認へ

県は再発防止策として、作業用ファイルから不要な個人情報を削除し、ファイルにパスワードを設定するとしています。また、担当者だけでなく管理職を含む複数人で、公開前後の内容確認を行う方針です。

情報システム部門への示唆

オープンデータ公開では、公開画面だけでなく、ダウンロードファイルの全列・非表示列・別シート・メタデータまで確認する必要があります。特に、業務システムから抽出したデータを加工して公開する工程では、公開項目の許可リスト化と、作成者以外によるレビューを組み合わせることが重要です。

自治体の公表事案を俯瞰する際は、2026年に公表された自治体のサイバー攻撃・情報漏えい事例も参考になります。今回の事案はサイバー攻撃ではありませんが、データ公開プロセスの統制という点で共通する教訓があります。

出典

• 食品営業許可施設にかかる県ホームページ内の「オープンデータ」の掲載誤りについて – 愛媛県

関連記事

解凍ソフト WinRARでリモートコード実行の可能性がある脆弱性(CVE-2025-6218) Insecamとは 世界のWEBカメラ/監視カメラを閲覧できるサイト サイバー攻撃集団 ロックビット(LockBit)とは？ I-SOON 中国政府へサイバー攻撃 ツールを提供していた企業から内部リーク Hugging FaceでAIのバックドア 付き 機械学習モデルを確認 ChatGPTやGeminiなどの文章生成AIで拡散するマルウェア Morris II を研究者が発表 AIや生成AIの悪用事例や事件を解説 富士通で個人情報漏洩の恐れ　マルウェア感染も 不正アクセスで「よどいこ！」から個人情報流出の可能性

投稿者：三村

セキュリティ製品を手がける上場企業にて、SOC（セキュリティオペレーションセンター）運営およびWebアプリケーション脆弱性診断の営業に8年間従事。その後、システムエンジニアへ転身し、MDMや人事系SaaSの開発に携わる。
8年の実務経験と開発者としての知見を活かし、「セキュリティ対策Lab」ではダークウェブ調査、セキュリティインシデントの分析、および高度なセキュリティ対策解説の執筆・編集を統括しています。
LinkedIn(外部サイト)