長崎市のスポーツ観戦キャンペーンサイトで個人情報漏えいの可能性、19人分22件が対象 Studioの通知メール見落としも判明|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年10月20日更新日時: 2026年10月20日

長崎市は2026年10月19日、市が管理する「長崎満喫！アウェイ遠征応援キャンペーン」のWebサイトで、問い合わせフォームに入力された個人情報が外部に漏えいした可能性があると発表しました。サイト制作・運用に利用していた「Studio」のクラウド環境が第三者による不正アクセスを受けたことに伴うものです。

NBC長崎放送などの報道によると、対象は問い合わせ22件、19人分の氏名、メールアドレス、問い合わせ内容です。また、市には10月16日にStudioから情報流出の可能性を知らせるメールが届いていたものの、担当者がすぐには気づかず、18日夜に事態を把握したと報じられています。市は問い合わせフォームを削除し、対象者への連絡を進めています。

長崎市のキャンペーンサイトへの影響サマリー

長崎市が管理する「長崎満喫！アウェイ遠征応援キャンペーン」の問い合わせフォームが対象です。
情報漏えいの可能性があるのは22件の問い合わせ記録、19人分です。送信件数と人数は異なります。
対象となる情報は氏名、メールアドレス、問い合わせ内容などです。
原因となったのはWebサイト制作・運用サービス「Studio」のクラウド環境への不正アクセスです。
Studioが確認した攻撃期間は9月30日から10月1日で、10月13日に検知し、14日に侵入経路を遮断しました。
NBC長崎放送は、長崎市が10月16日のStudioからの通知メールを見落とし、18日夜に確認したと報じています。
市は10月19日午前に対象フォームを削除し、対象者への謝罪・注意喚起を行ったと報じられています。
第三者による対象情報の実際の取得は確認されておらず、情報漏えいが確定した19人という意味ではありません。

項目	公表・報道された内容
事業主体	長崎市（キャンペーンサイトの管理者）
対象サイト	長崎満喫！アウェイ遠征応援キャンペーン
関連する外部サービス	Studio（提供：Studio株式会社）
事案公表	2026年10月19日（長崎市に関する報道）
対象となる記録	問い合わせ22件・19人分
対象情報	氏名、メールアドレス、問い合わせ内容など
確認された対応	問い合わせフォームの削除、対象者への連絡・注意喚起
情報の取得状況	漏えいの可能性。実際に取得されたかは未確定

V・ファーレン長崎や長崎ヴェルカの観戦客向けサイトが対象

「長崎満喫！アウェイ遠征応援キャンペーン」は、サッカーのV・ファーレン長崎やバスケットボールの長崎ヴェルカのホームゲームを観戦するため長崎市を訪れる、県外在住者向けの事業です。対象施設に2泊以上宿泊する条件などを満たす人に、宿泊割引や市内で利用できる電子クーポンを提供します。

今回の影響対象は、同キャンペーンサイトに設置された問い合わせフォームで取り扱っていた情報です。観戦チケットの購入情報、宿泊施設の予約情報、電子クーポンの決済情報が同様に漏えいしたとの発表ではありません。

問い合わせ欄の自由記述には、キャンペーンの利用予定や宿泊条件などを自ら入力した可能性があります。ただし、すべての対象者の送信内容に旅行予定や詳細な行動情報が含まれていたと断定することはできません。

Studioからの通知メールを見落とし、把握が遅れたと報道

NBC長崎放送は10月19日、市がStudioからの「情報漏えいの可能性」を知らせる通知メールに気づいていなかったと報じました。報道によると、Studioからの連絡は10月16日午前に届いていましたが、市は18日夜に報道などを契機としてメールを確認したとされています。

市は19日午前、サイト上の問い合わせフォームを削除し、影響を受ける可能性のある19人へメールで謝罪と注意喚起を行ったと報じられています。通知を受信した日と担当者が内容を認識した日が異なることは、外部サービスで事故が発生した際の初動対応に影響します。

本件では、Studioの利用企業・団体が同社から受け取る一斉通知や個別連絡を、担当者不在時でも確認できる体制があるかという運用上の課題が表面化しました。これは長崎市のメール管理システム自体が侵害されたという意味ではありません。

Studio側では脆弱性を悪用した不正アクセスを確認

Studio株式会社は10月16日、自社の一部機能の脆弱性が悪用され、クラウド上のデータが外部から取得できる状態になっていたと公表しました。確認された不正アクセス期間は9月30日から10月1日で、13日に事態を認識し、14日までに脆弱性の修正と侵入経路の遮断を完了しています。

同社は、第三者が実際にデータを取得した事実は確認していないものの、取得されたものとみなして対応するとしています。フォーム送信内容のほか、利用状況に応じてStudioのアカウント情報、外部サービス連携用の認証情報なども影響対象となる可能性があると説明しています。ただし、これらのすべての情報が長崎市の対象サイトで保存・流出したと示されたものではありません。

今回の長崎市の事案は、Studioに対する一つの不正アクセスから利用団体へ影響が及んだケースです。長崎市のシステムに攻撃者が直接侵入したと確認された事案ではありません。

対象者に想定される危険性と確認事項

問い合わせフォームの氏名やメールアドレス、問い合わせ内容が第三者に知られた場合、キャンペーン事務局や自治体、宿泊施設を装うメールによって偽サイトに誘導される危険があります。問い合わせ内容を引用して本物の連絡に見せかけたり、宿泊割引やクーポンの確認を口実に個人情報の追加入力を求めたりする手口も一般に想定されます。

ただし、これらの二次被害が今回すでに発生したと確認されたわけではありません。対象者は長崎市からの案内を確認し、キャンペーンに関する不審なメールを受け取った場合は、記載されたURLを開く前に公式の案内や既知の連絡手段を利用して真偽を確かめることが考えられます。

自治体・委託事業の担当者が確認したい事故連絡の運用

長崎市の事案では、Webフォームを提供する外部サービスの事故が、自治体の住民・来訪者向け事業へ波及しました。外部サービス側が侵害を検知しても、利用組織が通知を見落とせばフォームの停止や対象者への連絡が遅れるおそれがあります。

自治体や委託事業の情報システム・事業担当部門では、利用中のSaaS・Webサイト制作基盤の管理者メールを個人の受信箱だけに依存させず、共有窓口や代理確認担当を設定しているか、緊急通知に気づいた際に誰が公開フォームの停止を判断するか、過去のフォーム回答がどれだけ残っているかを確認することが考えられます。

今回のStudio不正アクセスに伴う他の企業・自治体への影響は、Studioへの不正アクセスの概要でも整理しています。