宮城県山元町、職員が他人のIDで庁内フォルダに不正アクセスしデータ削除―庁舎への無断侵入や公印・印紙の不正使用で懲戒免職

セキュリティニュース

投稿日時: 更新日時:

宮城県山元町、職員が他人のIDで庁内フォルダに不正アクセスしデータ削除―庁舎への無断侵入や公印・印紙の不正使用で懲戒免職

宮城県山元町は2026年10月20日、町長事務部局に所属する26歳の男性主事を、庁内共有フォルダへの不正アクセスや文書偽造などを理由に10月16日付で懲戒免職としたことを公表しました。町の発表によると、職員はほかの職員のID・パスワードを使用して共有フォルダや個人専用フォルダに繰り返しアクセスし、データの閲覧、操作、削除を行っていました。夜間に庁舎へ無断侵入して職員用端末を使用していたほか、公印の無断使用、上司の印影や印紙の偽造も認定されています。

山元町職員による不正アクセス・懲戒処分のサマリー

  • 山元町が2026年10月20日、職員の懲戒処分の詳細を公表しました。
  • 対象者は町長事務部局の26歳男性主事で、処分日は10月16日、処分内容は免職です。
  • 6~7月、勤務時間外に他の職員のID・パスワードを使用し、庁内共有フォルダに複数回不正アクセスしました。
  • 他の職員の端末を無断使用し、共有フォルダや職員個人専用フォルダのデータを閲覧・削除するなどしました。
  • 7月には、深夜や休日に庁舎へ不法に侵入していたことも認定されています。
  • 公印(町長印)の無断使用、上司2人の印影偽造、印紙の偽造などの行為も確認されています。
  • 管理監督責任を問われた課長級職員と班長も、それぞれ戒告処分を受けました。
項目 山元町の公表内容
公表日 2026年10月20日
処分日 2026年10月16日
対象職員 町長事務部局の男性主事(26歳)
不正アクセスの時期 2026年6月~7月
不正アクセスの対象 庁内共有フォルダ、職員個人専用フォルダ
主な行為 他職員の認証情報・端末の無断使用、データ閲覧・操作・削除
その他の行為 深夜・休日の庁舎への不法侵入、公印の無断使用、印影・印紙の偽造
本人への処分 懲戒免職
管理監督者への処分 課長級(56歳男性)、班長(48歳男性)をそれぞれ戒告

他の職員の認証情報で共有フォルダに繰り返しアクセス

山元町の公式資料によると、男性主事は2026年6月から7月にかけて、勤務時間外に自分の職員用端末を利用し、別の職員のIDとパスワードで庁内共有フォルダへ複数回アクセスしました。さらに、ほかの職員の職員用端末を無断で使用し、他の職員または自身の認証情報を使って、共有フォルダや職員個人専用フォルダにアクセス。保存データを閲覧したほか、削除などの操作も行ったとしています。

公表資料は、どのように他の職員のIDとパスワードを入手したかや、閲覧・削除されたファイルの種類、件数、復旧状況までは示していません。不正な閲覧・削除と、情報が外部に持ち出されたことは区別する必要があります。 今回の発表をもって住民の個人情報が流出したと断定することはできません。

深夜・休日の庁舎侵入と、契約書・決裁文書の偽造も認定

7月にほかの職員の端末を無断使用した事案では、男性主事はあらかじめ開錠していた庁舎1階の扉から深夜に侵入していました。また、休日には勤務していたほかの職員に扉を開錠させ、その職員が退庁した後に侵入したとしています。

情報システムへのアクセスに加え、行政文書に関する不正も公表されました。男性主事は必要な事務手続きを踏まず町長印を使用し、工事・業務委託の請負業者2社に押印済みの契約書を交付。また、上司2人の印影を偽造し、そのうち1人の偽造印影を用いて、未決裁の文書を決裁済みのものとして使用したとしています。

さらに、印紙が貼られた書類から印紙部分を読み取って加工・偽造し、その印紙を使用して関係業者から提出された書類を偽造したと説明しています。

町はこれらの行為が地方公務員法第29条第1項第1号~第3号に該当すると判断し、男性主事を免職としました。課長級職員と班長についても管理監督責任を問い、戒告処分としています。

内部不正により、情報管理だけでなく契約・決裁の信頼性にもリスク

今回の事案では、認証情報の目的外使用、端末の無断使用、勤務時間外の不自然なアクセス、庁舎への物理的な侵入、承認前の文書の決裁済み扱いが併せて認定されています。これらは、外部のサイバー攻撃を想定した侵入防止策だけでは捉えきれない内部不正のリスクです。

業務データを閲覧・削除できる状態では、情報の機密性に加え、記録の完全性や業務の継続性にも影響するおそれがあります。また、契約書や決裁文書の真正性が損なわれると、取引先への説明や内部監査にも支障が生じかねません。ただし、今回の事案で実際にどの程度の業務・取引先影響が生じたかは、公表資料からは判断できません。

同町は10月20日に2件の懲戒事案を公表しており、町長は法令順守と綱紀粛正を徹底し、信頼回復に努めるとしています。本件は、そのうち庁内システムへの不正アクセスなどを理由とする「2件目」の事案です。

自治体・企業の情報システム部門が確認したい対策

本件を踏まえて検討できる対策は、他人の認証情報を利用できる状態を防ぐことに加え、不正な操作が行われた場合に追跡可能にすることです。

  • ID・認証管理: アカウントの共有を避け、認証情報の使い回しや漏えいを防ぐ。多要素認証を適用できるシステムでは導入状況を点検する。
  • 権限と端末の管理: 共有フォルダ、個人専用フォルダへのアクセス権限を最小限にし、端末の自動ロックと個人別認証を徹底する。
  • 操作ログの監査: 深夜・休日のアクセス、他職員の端末からの操作、大量の閲覧・削除などを把握し、ログを適切に保全する。
  • 物理セキュリティ: 庁舎の入退室記録、施錠状況とシステム操作時刻を突き合わせ、無人時間帯の利用を検証できる体制を整える。
  • 文書・決裁統制: 契約書の作成・承認・押印・交付を分離し、決裁履歴や原本の照合によって印影・証憑の改ざんを発見できるようにする。

IPAの「組織における内部不正防止ガイドライン」は、内部不正リスクへの組織的な対応を整理しています。権限管理と操作履歴の確認だけでなく、人的・物理的な管理策を組み合わせて点検する際の参考になります。

関連する実務的な対策は、セキュリティ対策Labの情報漏洩対策と原因別の予防策でも整理しています。

出典