2026年に発生した自治体・官公庁へのサイバー攻撃・情報漏洩事例

2026年は、自治体や官公庁、公的機関が保有する個人情報を狙う、あるいは結果として行政データに影響が及ぶセキュリティインシデントが相次いでいます。

特徴的なのは、自治体のシステムそのものが直接攻撃されるケースだけではありません。システム開発・運用会社、調査会社、指定管理者などの委託先がランサムウェアや不正アクセスを受け、自治体が預けていた住民情報へ影響が広がる事例が複数発生しています。

2026年4月のYCC情報システムへのランサムウェア攻撃では、山形市の健康情報約50万件やマイナンバーを含む人事給与情報をはじめ、山形県、庄内町、高畠町、埼玉県幸手市など複数の自治体へ影響が波及しました。東京都水道局でも、調査業務の協力会社がランサムウェア被害を受け、約13万件の個人情報に漏洩のおそれが生じています。

一方で、大阪国税局では警察官を装った人物によるソーシャルエンジニアリングで納税者情報259件が外部へ送信され、静岡県警ではPDFの黒塗り処理の不備により14,239人分の氏名・電話番号が読み取れる状態で交付されていました。三重県では1万個を超えるUSBメモリーを調査した結果、37部署の47個からマルウェアが検知されています。

本記事では、2026年8月16日時点でセキュリティ対策Labが記事化した事例のうち、2026年中に発生した、または2026年まで被害・漏洩状態が継続した自治体・官公庁、公的機関の主要なサイバー攻撃・情報漏洩事例を整理します。

なお、2026年に続報や捜査結果が公表された事案でも、インシデント自体が2025年以前に完結しているものは原則として本稿の一覧から除外しています。

2026年 自治体・官公庁へのサイバー攻撃・情報漏洩事例のサマリー

• YCC情報システムへのランサムウェア攻撃では、山形市、山形県、庄内町、高畠町、幸手市など複数自治体へ影響が波及しました。
• 山形市では、健康情報約50万件、マイナンバーを含む人事給与情報約6,000件、児童相談情報2,520件などが漏洩のおそれのある対象となりました。
• 東京都水道局では、調査業務の協力会社シード・プランニングがランサムウェア被害を受け、約13万件の個人情報に漏洩のおそれが生じました。
• 松山市営住宅では、指定管理業務を担うあなぶきハウジングサービスへのランサムウェア攻撃により、入居者情報7,237件の漏洩が確認されました。
• 市立奈良病院ではサイバー攻撃とみられる異常通信を受けて電子カルテなどを停止し、救急受け入れや外来診療を一時制限しました。個人情報漏洩やデータ破損は確認されていません。
• 大阪国税局では、警察官を装った人物の指示により職員が納税者に関する情報259件をメッセージアプリで送信しました。
• 札幌市と北九州市立大学では、偽のセキュリティ警告を起点とするサポート詐欺で業務PCが遠隔操作される事案が発生しました。
• 浦添市では2025年10月から2026年2月にかけて業務用ノートPC83台が盗まれ、うち3台に個人情報が保存されていました。
• 大郷町では税務課のPCが物理的に盗まれ、ハードディスクに最大200件の個人情報が保存されていました。
• 静岡県警ではPDFの黒塗り処理が不十分で、14,239人分の氏名・電話番号が読み取れる状態で交付されていました。
• 三重県では1万個を超えるUSBメモリーを調査し、37部署の47個からマルウェアを検知しました。
• 2026年の事例では、委託先管理、特権・内部者管理、端末・外部記憶媒体、ソーシャルエンジニアリング、行政サービスの事業継続が共通課題として表れています。

2026年 自治体・官公庁のサイバー攻撃・情報漏洩事例一覧

発生・影響時期	自治体・官公庁・公的機関	事案	影響・件数	主な原因・経路
2026年2月3日	松山市営住宅	指定管理者のあなぶきハウジングサービスへのランサムウェア攻撃	入居者情報7,237件の漏洩	委託・指定管理先へのサイバー攻撃
2026年3月公表	東京都水道局	調査業務の協力会社シード・プランニングがランサムウェア被害	約13万件の個人情報に漏洩のおそれ	委託先・協力会社へのランサムウェア攻撃
2026年3月公表	総務省委託調査	三菱UFJリサーチ&コンサルティングの回答サイトで他回答者情報を誤表示	担当者氏名、電話番号、メールアドレス、回答内容など	Webシステムの不具合
2026年4月2日	山形市・山形県・庄内町・高畠町・幸手市など	YCC情報システムがランサムウェア攻撃を受け、委託元へ影響	山形市約55.8万件（重複含む）、山形県約2.68万件、庄内町12,996件、高畠町2,354名など	委託先SIへのランサムウェア攻撃
2026年4月13日	大阪国税局	警察官なりすまし詐欺で業務情報を外部送信	個人179人・法人80社、計259件	権威型ソーシャルエンジニアリング
2026年4月13日	札幌市	保険年金課職員がサポート詐欺でPCを遠隔操作される	最終調査で個人情報漏洩は確認されず	偽セキュリティ警告・遠隔操作
2026年4月17日	札幌市	職員が業務用ノートPCを地下鉄駅で紛失	不正ログイン・個人情報漏洩は確認されず	端末持ち出し・物理紛失
2026年4月20日	仙台市立小学校	教員が校務用画面を撮影してSNS投稿	学校名と別の教員1名の氏名が表示	SNS投稿・人的ミス
2026年4月21日	市立奈良病院	サイバー攻撃とみられる異常通信で電子カルテ等を停止	救急・外来診療を一時制限、個人情報漏洩は確認されず	サイバー攻撃、侵入経路は非公表
2026年1～2月	山梨県警	巡査長が警察情報を私的目的で不正照会・利用	個人情報を用いて対象者へ接触・脅迫	内部不正・権限悪用
2026年5月12日	宮城県大郷町	税務課のPCが盗難	最大200件の個人情報を保存	端末の物理盗難
2026年5月25日	北九州市立大学	事務職員がサポート詐欺で業務PCを遠隔操作される	教員57名、学生等8名の情報に漏洩のおそれ	偽警告・ファイル実行・遠隔操作
2025年10月～2026年2月	沖縄県浦添市	市役所から業務用ノートPC83台が盗難	3台に個人情報、1台には11万5,526人分の住民情報	委託業者社員による窃盗、端末管理不備
2025年6月～2026年2月	静岡県警	情報公開文書のPDF黒塗り処理に不備	14,239人分の氏名・電話番号が読み取れる状態	電子文書のマスキング処理不備
2026年1～2月	函館市	職員が持ち出した個人情報を市メールへ送信し、一部を印刷して外部施設へ送付	個人情報の外部漏洩が発生	内部不正・同僚PCへの不正ログイン
2026年7月公表	三重県	県庁・事務所のUSBメモリーを緊急調査	1万個超のうち47個、37部署でマルウェア検知。情報漏洩被害は未確認	USBメモリー、迷惑メール、外部端末、職員私物

委託先へのランサムウェア攻撃が複数自治体へ波及

2026年の自治体関連インシデントで特に目立つのが、自治体が直接侵入されたのではなく、システム開発会社や業務委託先が攻撃され、預けていた行政データへ影響が広がるケースです。

代表的なのがYCC情報システムへのランサムウェア攻撃です。

2026年4月2日早朝、山形県内で自治体向けシステムなどを手掛けるYCC情報システムのファイルサーバーがランサムウェア攻撃を受けました。

セキュリティ対策Labが確認した公表では、山形市、山形県、庄内町、高畠町、埼玉県幸手市のほか、山形大学や民間企業など9組織以上へ影響が広がりました。

山形市委託のYCC情報システム、ランサムウェア攻撃で約50万件・マイナンバーを含む個人情報が漏洩の恐れ

山形市では、人事給与システム約6,000件、健康情報システムの主要データ約50万件、児童相談システム2,520件などが対象となり、人事給与データには氏名、住所、生年月日、マイナンバー、給与・手当などが含まれていました。

山形県でも、県職員の健康管理情報約7,700件、看護師等業務従事者届約15,000件、こども医療療育センターの医療情報約1,000件、移住定住相談データベース約2,500件など、合計約26,800件が対象となりました。

庄内町では12,996件、高畠町では2,354名分、幸手市では国民健康保険の高額療養費システムに関連する情報への影響が調査対象となっています。

YCC情報システムへのランサムウェアによるサイバー攻撃のまとめでは、自治体以外も含む被害組織と対象情報を整理しています。

その後、YCC情報システムは外部専門機関による調査結果を公表し、実質的な情報漏洩を裏付ける痕跡は確認されなかったとしています。また侵害経路については、ネットワーク機器の管理者アカウントに関する認証情報が攻撃者に推測または取得された可能性が示されました。

YCC情報システム、ランサムウェアの被害 調査完了-外部専門機関が実質的な情報漏えいを裏付ける痕跡は確認されず

ここで注意したいのは、「漏洩を裏付ける痕跡が確認されなかった」ことと「第三者による取得が絶対になかった」ことは同義ではない点です。一方、各自治体が当初公表した「漏洩のおそれ」についても、そのまま漏洩確定件数として扱うべきではありません。

東京都水道局では協力会社への攻撃で約13万件が対象

東京都水道局は2026年3月6日、水使用実態に関する調査研究業務で利用していた個人情報について、漏洩のおそれがあると公表しました。

原因となったのは東京都水道局への直接攻撃ではありません。

調査を委託されたクロス・マーケティングの協力会社であるシード・プランニングが第三者から不正アクセスを受け、ランサムウェアによるシステム障害が発生したことで、調査に利用していた約13万件の情報が影響を受ける可能性が生じました。

対象には、水道使用量、お客さま番号、住所、水道使用者名などが含まれます。

東京都 水道局の委託先 サイバー攻撃で約13万件の個人情報漏洩の恐れ

行政機関では調査、発送、コールセンター、システム開発・保守など、多数の業務で外部事業者が行政データを扱います。再委託や協力会社まで含めると、実際にデータへアクセスできる組織は契約当事者より多くなる場合があります。

自治体側のネットワークが侵害されていなくても、委託先にコピーされたデータが攻撃者の標的になることを前提にした管理が必要です。

松山市営住宅7,237件、指定管理者への攻撃で漏洩

松山市営住宅でも、行政サービスを担う民間事業者への攻撃が住民情報へ波及しました。

あなぶきハウジングサービスは2026年2月3日にランサムウェア攻撃を受け、5月の調査結果で個人情報207,773件の漏洩が確認されました。

この中には、同社が管理していた松山市営住宅の入居者に関する個人情報7,237件も含まれていました。

あなぶきハウジングサービスのランサムウェアによりサイバー攻撃の個人情報漏洩件数が207,773件に確定

自治体が業務を外部へ委託しても、住民から見れば行政サービスの一部です。委託先で漏洩が起きた場合、自治体には住民への説明、委託先との事実確認、個人情報保護上の対応などが発生します。

契約時のセキュリティ要件だけでなく、委託先で事故が起きた場合に何時間以内に報告するのか、対象データをどのように特定するのか、再委託先まで追跡できるのかを平時から決めておく必要があります。

市立奈良病院、サイバー攻撃で電子カルテ停止・救急受け入れを制限

個人情報漏洩が確認されなくても、サイバー攻撃が公共サービスの提供に直接影響するケースがあります。

市立奈良病院では2026年4月21日深夜、サイバー攻撃とみられる異常な通信を検知し、被害拡大を防ぐため電子カルテを含む一部の院内システムを停止しました。

翌22日には救急受け入れを全面停止し、外来診療も原則制限しました。電子カルテを利用できない状況では手書きによる診療を継続しています。

市立奈良病院にサイバー攻撃、電子カルテが停止し救急・外来診療を休止

その後、4月24日に通常診療を再開し、5月13日午後にはオンライン資格確認を含む全システムが復旧しました。調査では個人情報漏洩、データ破損、ウイルス感染は確認されていません。

市立奈良病院、4月24日から救急と通常診療を再開-個人情報漏洩やデータ破損なし確認

市立奈良病院の院内システムが完全復旧

行政・医療分野では、機密性だけでなく可用性が重要です。データを盗まれなくても、住民票発行、税務、福祉、医療、上下水道などの基幹サービスが停止すれば、市民生活へ直接影響します。

大阪国税局、警察官なりすましで納税者情報259件を外部送信

2026年4月13日、大阪国税局の職員が警察官を名乗る人物から電話を受け、業務関係書類をスマートフォンで撮影して送信する情報漏洩事案が発生しました。

相手は千葉県警を名乗り、職員に「捜査の過程で嫌疑がかかっている」と告げました。職員は身の潔白を示そうとして指示に従い、調査対象者に関係する画像108枚をメッセージアプリで送信しました。

漏洩した情報は個人179人、法人80社の計259件で、氏名・法人名、電話番号、事業内容、過去の調査状況、税金の申告額などが含まれていました。

大阪国税局職員が警察を名乗る詐欺師の指示で納税者の個人情報漏洩

6月19日の続報では、漏洩対象者に対し警察や国税局を名乗る不審な電話が14件確認されたことも公表されています。

大阪国税局、警察官なりすまし詐欺で納税者情報259件を漏洩した職員を停職6か月

行政機関への攻撃では、脆弱性を突く技術的な手口だけが問題になるわけではありません。警察、裁判所、金融機関、上司などの権威を利用して職員を心理的に追い込み、正規のアクセス権を持つ本人に情報を取り出させる攻撃も想定する必要があります。

札幌市と北九州市立大学、偽警告から遠隔操作されるサポート詐欺

偽のセキュリティ警告を表示して職員自身に遠隔操作ツールを実行させる「サポート詐欺」も、公的機関の業務PCで発生しています。

札幌市では2026年4月13日、白石区保健福祉部保険年金課の職員が業務中に偽のセキュリティ警告を目にし、表示された電話番号へ連絡しました。

攻撃者の指示で遠隔操作ツールを導入し、業務PCを第三者に操作されました。当初は国民健康保険情報の漏洩可能性が公表されましたが、その後の調査では漏洩につながるログは確認されず、外部送信とみられていた約60MBの通信もビデオ会議ツールによるものだったことが分かっています。

札幌市の個人情報漏えいの可能性、サポート詐欺だったと判明

北九州市立大学でも5月25日、ファイル共有サービスを利用したデータ授受の途中で偽の警告画面へ誘導され、ファイルを実行した結果、事務職員のPCが第三者に遠隔操作されました。

漏洩のおそれがある情報として、退職・採用教員一覧57名分と、研究補助従事に関する学生等8名分が公表されています。

北九州市立大学がサポート詐欺の被害、個人情報漏洩の恐れ

サポート詐欺対策では「怪しい電話に注意する」という周知だけでは不十分です。一般ユーザーが未承認の遠隔操作ソフトをインストール・実行できないようにするアプリケーション制御や、警告が表示された際に職員がすぐ内部窓口へ連絡できる運用が有効です。

浦添市では業務用PC83台が盗難、11万5,526人分の住民情報を保存

沖縄県浦添市では、2025年10月から2026年2月にかけて、市役所から業務用ノートPC83台が盗まれていたことが発覚しました。

犯行は市のヘルプデスク業務を担っていた委託業者の社員によるものとされ、転売目的でPCを持ち出したとして起訴されています。

盗まれたPCのうち3台には個人情報が保存されており、1台には11万5,526人分の住民記録が含まれていました。

沖縄県浦添市 ノートPC83台が盗難-全市民11万5,526人の個人情報流出の恐れ

個人情報を含む3台は回収されていますが、本件で問題となったのは端末の盗難だけではありません。

市から委託業者へPCを引き渡す際のデータ消去手順が具体化されておらず、端末の所在管理や委託事業者との連携にも問題がありました。

行政端末では、利用中のアクセス制御だけでなく、交換・廃棄・保守・倉庫保管といったライフサイクル全体で資産管理を行う必要があります。

大郷町では税務課のPCをワイヤーごと切断して盗難

宮城県大郷町では2026年5月12日深夜、町役場1階の税務課に設置されていたパソコン本体1台と周辺機器が盗まれました。

PCは盗難防止ワイヤーで固定されていましたが、ワイヤーを切断して持ち去られていました。

ハードディスクには、2022年度から3年分の町内新築家屋に関する所有者氏名や住所など、最大200件の個人情報が保存されていた可能性があります。

宮城県大郷町役場の税務課から盗難防止ワイヤーを切断してパソコンが盗難

物理的に端末を固定していても、保存データ自体が保護されていなければ、盗難時には情報漏洩調査が必要になります。

端末の暗号化、ローカル保存の最小化、資産台帳、端末持ち出し・設置場所の管理を組み合わせる必要があります。

札幌市では飲酒後に業務用PCを地下鉄駅で紛失

札幌市ではサポート詐欺とは別に、2026年4月17日、職員が業務用ノートPCを地下鉄大通駅構内のトイレへ置き忘れ、紛失する事案も発生しました。

職員は自宅で作業するためPCを持ち出し、その後飲酒を伴う会合へ参加していました。

札幌市はSIMカード回線を停止し、外部通信を遮断しました。また端末には情報を直接保存できない仕組みとなっており、不正ログインや個人情報漏洩は確認されていません。

札幌市職員、業務用ノートPCを紛失 飲酒後に地下鉄駅トイレへ置き忘れ

端末紛失そのものをゼロにすることは難しいため、端末が手元から失われても情報漏洩につながりにくい設計にしておくことが有効です。

三重県、1万個超のUSBメモリーを調査し47個からマルウェア検知

三重県は2026年7月7日、県庁や県内の事務所で使用しているUSBメモリーについて緊急調査した結果を公表しました。

調査対象は1万個を超え、そのうち47個からマルウェアが検知されました。対象は37部署に及びます。

三重県、USBメモリー1万個超のうち47個からマルウェアを検知

感染経路には、保存されていた迷惑メールに含まれるファイルに由来するものや、外部端末からの持ち込みが含まれていました。検知されたUSBメモリーには職員の私物も含まれていました。

公表時点で情報漏洩の被害は確認されていません。

行政機関では、インターネット接続系と業務系、閉域・分離ネットワーク間でデータを受け渡す手段として外部記憶媒体が残る場合があります。そのためUSBメモリーの本数を把握するだけではなく、利用者、用途、接続端末、最終利用日、マルウェアスキャン状況まで追える管理が必要です。

静岡県警、PDFの「黒塗り」で14,239人分が読み取れる状態

静岡県警は2026年5月22日、情報公開請求で交付した電子データのマスキング処理に不備があり、14,239人分の氏名や電話番号が読み取れる状態だったと公表しました。

対象となったのは、安全運転管理者選任事業所一覧、風俗営業一覧、古物商一覧、探偵業者営業所一覧など計10件です。

不適切な状態での交付は2025年6月5日から2026年2月17日まで続いていました。

静岡県警、情報公開請求で「黒塗り」処理に不備-14,239人分の氏名・電話番号

問題となったのは、PDF上に黒い図形を重ねただけで、背後の文字情報が残っていた点です。画面上では黒塗りに見えても、特定のソフトや操作によって元の文字を読み取れる状態でした。

サイバー攻撃ではありませんが、電子的な公文書開示が一般化した行政機関にとって、文書生成・マスキング処理そのものが情報セキュリティ対策の対象であることを示す事例です。

総務省委託調査、回答サイトで別の回答者情報を誤表示

三菱UFJリサーチ&コンサルティングは2026年3月19日、総務省から受託した「令和7年度放送コンテンツ製作取引実態調査」の回答用Webサイトで情報漏洩事案が発生したと公表しました。

回答者がWebサイトへログインした際、別の回答者が一時保存していた回答ページが表示される状態が発生していました。

表示された可能性がある情報には、法人担当者の氏名、電話番号、メールアドレス、企業情報を含む回答内容などがあります。

三菱UFJリサーチ&コンサルティング、受託案件で個人情報漏洩の恐れ

自治体・官公庁が外部事業者へWebシステムを含む業務を委託する場合、侵入対策だけでなく、利用者Aのデータが利用者Bへ表示されないことを確認する認可・セッション管理のテストも必要です。

仙台市立小学校、校務用画面を撮影してSNSへ投稿

仙台市は2026年4月21日、市立小学校の教員が職員会議用のGoogle Classroom画面をスマートフォンで撮影し、SNSへ投稿したと公表しました。

画像には学校名と、投稿した本人とは別の教員1名の氏名が表示されていました。

仙台市立小学校教員が校務用画面をSNS投稿、個人情報流出

サーバーや端末に適切なアクセス制御を設けていても、画面を私物スマートフォンで撮影されれば情報は組織の管理外へ出ます。

執務スペースでの撮影ルール、個人端末の利用、SNSへの業務情報投稿に関するルールは、システム側のセキュリティ対策とは別に管理する必要があります。

函館市と山梨県警では職員による内部不正

外部からの攻撃だけでなく、正規のアクセス権を持つ職員による不正利用も発生しています。

函館市は2026年6月、50代の市民部職員が同僚のPCへ不正ログインし、個人情報を持ち出していたことを公表しました。

職員は2025年に個人情報を取得し、2026年1月には市のメールアドレスへデータを送信して情報漏洩を装い、2月には一部を印刷して市関連施設へ送付し、実際に職場外へ情報を出していました。

北海道函館市でうさばらし目的の同僚PCへ不正ログインし個人情報 持ち出し

山梨県警では30代の巡査長が、職務とは関係のない目的で警察情報を不正に照会し、取得した個人情報を利用して男性へ接触・脅迫していたとして、2026年4月17日に書類送検・懲戒処分となりました。

山梨県警の巡査長、不正照会した個人情報で恋敵を脅迫

内部不正では「ログインできたこと」自体は異常ではありません。誰が、どのデータを、何の業務目的で閲覧したのかを後から確認できる監査ログと、不自然な大量照会や業務と関係のない検索を検知する仕組みが必要になります。

2026年の自治体・官公庁事例から見える5つの共通課題

2026年の事例を横断すると、自治体・官公庁のセキュリティ対策で確認すべきポイントは大きく5つに分けられます。

1つ目は委託先・再委託先の管理です。YCC情報システム、東京都水道局、松山市営住宅の事例では、行政機関そのものへの直接攻撃ではなく、外部事業者が侵害されたことで行政データへ影響が広がりました。委託先のセキュリティ監査に加え、契約終了後のデータ削除確認、再委託先の把握、インシデント時の報告期限まで契約・運用に組み込む必要があります。

2つ目は人を標的とする攻撃です。大阪国税局のなりすまし電話や、札幌市・北九州市立大学のサポート詐欺では、攻撃者が職員自身を操作して正規の権限や端末を悪用しました。研修だけでなく、未承認アプリケーションの実行制限、外部送信の制御、相談窓口の即時利用など技術・運用の両面が必要です。

3つ目は端末と外部記憶媒体です。浦添市、大郷町、札幌市、三重県の事例では、PCやUSBメモリーがインシデントの中心になりました。フルディスク暗号化、ローカル保存制限、資産台帳、USB利用制御、私物媒体の禁止・制限など、エンドポイントの管理状況を確認する必要があります。

4つ目は内部者と権限管理です。函館市や山梨県警の事例では、正規の職員が業務目的以外で情報へアクセスしました。最小権限化だけでなく、照会履歴の監査、特権操作の記録、不審な行動を検知する仕組みが必要です。

5つ目は行政サービスの継続です。市立奈良病院の事例では情報漏洩は確認されませんでしたが、電子カルテ停止によって救急・外来診療が制限されました。住民サービスを担うシステムでは、侵害防止だけではなく、停止を前提としたBCP、代替業務、復旧優先順位、紙運用への切り替え手順もセキュリティ対策に含める必要があります。

自治体・官公庁の情報システム部門への示唆

自治体・官公庁が最初に確認したいのは、「自組織のネットワークを守れているか」だけではなく、「自組織の情報がどこに存在しているか」です。

2026年の事例では、自治体庁内ではなく、委託先SI、協力会社、指定管理者、調査会社のサーバーに保存されていた情報が攻撃対象になりました。契約中のベンダーだけでなく、過去にシステム開発やデータ移行を依頼した事業者に古いデータが残っていないかも確認対象になります。

特にYCC情報システムの事例では、契約終了後のデータが委託先側に残っていたケースも確認されています。システム更改や契約終了時には、「削除してください」という依頼だけではなく、削除対象、削除方法、バックアップを含む残存有無、削除完了の証跡まで確認する運用が必要です。

端末については、紛失・盗難が発生することを前提に、端末内へ重要情報を残さない、保存する場合は暗号化する、遠隔から通信停止・無効化できる状態にすることが被害の抑制につながります。

また、職員向け研修ではフィッシングメールだけを扱うのではなく、警察官や金融機関を名乗る電話、偽のウイルス警告、遠隔操作ソフトの導入要求、SNSへの写真投稿など、2026年に実際に国内公的機関で発生した手口を教材にした方が実務に結び付きます。

公文書の電子化も確認対象です。静岡県警の事例のように、画面上で黒く見えているだけでは情報が削除されたことになりません。PDFのマスキング、ファイルのメタデータ、変更履歴、非表示シート、コメントなど、電子ファイル特有の情報残存を前提にした公開前検査が必要です。

最後に、自治体ではセキュリティインシデントが住民サービス停止へ直結します。ランサムウェア、ネットワーク遮断、クラウド停止、認証基盤障害などを想定し、「どのサービスを何時間以内に戻すか」「システムが使えない間にどう業務を継続するか」をBCPとインシデント対応計画の双方で具体化しておく必要があります。

2026年の事例を見る限り、自治体・官公庁のセキュリティは、境界防御やウイルス対策製品だけで完結しません。委託先、職員、端末、記録媒体、電子文書、サービス継続まで含めて、行政データのライフサイクル全体を管理することが求められます。

出典

• YCC情報システムへのランサムウェアによるサイバー攻撃のまとめ-被害組織・漏洩件数を随時更新 – セキュリティ対策Lab
• 山形市委託のYCC情報システム、ランサムウェア攻撃で約50万件・マイナンバーを含む個人情報が漏洩の恐れ – セキュリティ対策Lab
• YCC情報システム、ランサムウェアの被害 調査完了-実質的な情報漏えいを裏付ける痕跡は確認されず – セキュリティ対策Lab
• 東京都 水道局の委託先 サイバー攻撃で約13万件の個人情報漏洩の恐れ – セキュリティ対策Lab
• あなぶきハウジングサービスのランサムウェアによりサイバー攻撃の個人情報漏洩件数が207,773件に確定 – セキュリティ対策Lab
• 三菱UFJリサーチ&コンサルティング、受託案件で個人情報漏洩の恐れ – セキュリティ対策Lab
• 市立奈良病院にサイバー攻撃、電子カルテが停止し救急・外来診療を休止 – セキュリティ対策Lab
• 市立奈良病院、4月24日から救急と通常診療を再開-個人情報漏洩やデータ破損なし確認 – セキュリティ対策Lab
• 市立奈良病院の院内システムが完全復旧 – セキュリティ対策Lab
• 大阪国税局職員が警察を名乗る詐欺師の指示で納税者の個人情報漏洩 – セキュリティ対策Lab
• 大阪国税局、警察官なりすまし詐欺で納税者情報259件を漏洩した職員を停職6か月 – セキュリティ対策Lab
• 札幌市の個人情報漏えいの可能性、サポート詐欺だったと判明 – セキュリティ対策Lab
• 札幌市職員、業務用ノートPCを紛失 飲酒後に地下鉄駅トイレへ置き忘れ – セキュリティ対策Lab
• 仙台市立小学校教員が校務用画面をSNS投稿、個人情報流出 – セキュリティ対策Lab
• 山梨県警の巡査長、不正照会した個人情報で恋敵を脅迫 – セキュリティ対策Lab
• 宮城県大郷町役場の税務課から盗難防止ワイヤーを切断してパソコンが盗難 – セキュリティ対策Lab
• 北九州市立大学がサポート詐欺の被害、個人情報漏洩の恐れ – セキュリティ対策Lab
• 沖縄県浦添市 ノートPC83台が盗難-全市民11万5,526人の個人情報流出の恐れ – セキュリティ対策Lab
• 静岡県警、情報公開請求で「黒塗り」処理に不備-14,239人分の氏名・電話番号 – セキュリティ対策Lab
• 北海道函館市でうさばらし目的の同僚PCへ不正ログインし個人情報 持ち出し – セキュリティ対策Lab
• 三重県、USBメモリー1万個超のうち47個からマルウェアを検知 – セキュリティ対策Lab