千葉県生物多様性センターに不正アクセス　会員1,963名の個人情報を保存、不正ページ挿入を確認

千葉県は2026年9月1日、県が運営する生物多様性センターのホームページに外部から不正アクセスがあったと公表しました。

不正アクセスを受けたのは、県民などが動植物の発見情報を投稿する「生命（いのち）のにぎわい調査団」の団員向けページです。8月27日午前1時1分と午前1時9分に不正アクセスがあり、本来存在しない画面がサイト内に差し込まれていたことを確認しました。

当該ページでは1,963名の団員に関する個人情報などを管理していました。ただし、1,963名全員について住所や電話番号などの詳細情報がサーバー上に保存されていたわけではありません。千葉県によると、約1,500名は氏名またはニックネームのみがサーバー上に登録され、残る団員については住所やメールアドレスなど複数の項目が登録されていました。

2026年9月1日時点で個人情報が漏えいした事実は確認されていません。千葉県はホームページを外部から閲覧できない状態とし、専門業者による漏えい有無や不正アクセス原因の調査を進める方針です。

千葉県生物多様性センター不正アクセスのサマリー

• 千葉県は2026年9月1日、生物多様性センターのホームページへの不正アクセスを公表しました。
• 不正アクセスを受けたのは「生命（いのち）のにぎわい調査団」の団員向けページです。
• 8月27日午前1時1分と午前1時9分に不正アクセスが記録されていました。
• 本来存在しない画面（通常ではリンクしないページ）が差し込まれていたことを確認しています。
• 当該サイトには「生命のにぎわい調査団」団員1,963名の個人情報などが保存されていました。
• 登録項目は氏名、住所、電話番号、メールアドレス、所属団体ですが、団員ごとに保存項目は異なります。
• サーバー上では約1,500名が氏名またはニックネームのみの登録で、住所などはサーバー外の別名簿で管理していました。
• 残る団員については、住所やメールアドレスなど複数項目がサーバー上に登録されていました。
• 団員が投稿した動植物の発見情報も保存されていました。
• 2026年9月1日時点で個人情報が漏えいした事実は確認されていません。
• 不正アクセスの原因、個人情報へのアクセス・持ち出しの有無は調査中です。
• 8月28日、メールアドレスを登録していた832名へ不正アクセスと不審メールへの注意喚起を実施しました。
• メールアドレスを登録していない団員には文書で連絡する予定です。
• 千葉県は県警と相談しており、被害届を提出する予定です。
• 個人情報保護委員会への報告については、9月1日の公表資料では確認できませんでした。

項目	内容
公表日	2026年9月1日
対象組織	千葉県 生物多様性センター
対象サイト	「生命（いのち）のにぎわい調査団」団員向けページ
不正アクセス確認日時	2026年8月27日 午前1時1分、午前1時9分
発覚のきっかけ	千葉県警から不正アクセスの可能性について連絡
確認された事象	不正アクセス、本来存在しない画面の挿入
保存されていた個人情報	氏名、住所、電話番号、メールアドレス、所属団体など。登録項目は団員ごとに異なる
登録者数	1,963名
サーバー上の保存状況	約1,500名は氏名・ニックネームのみ。残る団員は住所、メールアドレスなど複数項目を登録
その他の保存情報	団員が投稿した動植物の発見情報など
情報漏えい	2026年9月1日時点で確認されていません
原因	調査中
サイト	外部から閲覧できない状態
対象者への連絡	832名へメールで注意喚起。その他は文書で連絡予定
警察対応	千葉県警と相談中、被害届を提出予定
個人情報保護委員会への報告	公表資料では確認できませんでした

千葉県警からの連絡で不正アクセスが判明

不正アクセスが判明したのは8月27日です。

同日午前9時頃、千葉県警から生物多様性センターのホームページ内にある「生命のにぎわい調査団」のページについて、不正アクセスがあった可能性があるためアクセスログを確認するよう千葉県へ連絡がありました。

生物多様性センターの職員がログを確認したところ、8月27日午前1時1分と午前1時9分に不正アクセスが記録されていることを確認しました。

さらに、本来サイト上に存在しない画面が差し込まれていました。千葉県はこれを「通常ではリンクしないページ」と説明しています。

同日午後1時頃には、生物多様性センターのホームページ全体を外部から閲覧できないようにしました。

不正アクセスを受けたのは団員用の会員制ページ

不正アクセスを受けたのは、生物多様性センターのホームページ全体ではなく、その中に設けられていた「生命のにぎわい調査団」のページです。

「生命のにぎわい調査団」は、県民などから県内で発見した動植物の情報を収集し、生物多様性の状況把握などに活用する千葉県の取り組みです。

登録者は団員番号とパスワードを入力して専用ページへログインし、動植物を発見した場所や日時などを投稿できる仕組みでした。

また、生物多様性センターのホームページは千葉県の公式ホームページとは別サーバーで運用されています。

このため、今回公表された不正アクセスの対象は生物多様性センター側の外部サーバーであり、千葉県ホームページ全体が侵害されたとの発表ではありません。

1,963名の団員情報を保存　全員が同じ項目ではない

「生命のにぎわい調査団」には1,963名が登録されていました。

千葉県が公表した個人情報の項目は次のとおりです。

• 氏名
• 住所
• 電話番号
• メールアドレス
• 所属団体

ただし、団員ごとに登録されている情報は異なります。

千葉県によると、サーバー上の登録情報では、約1,500名について氏名またはニックネームのみが登録されていました。この約1,500名について住所などの情報は、サーバー外で担当課が別の名簿として管理していました。

残りの団員については、住所やメールアドレスなど複数の情報がサーバー上に登録されていましたが、登録項目は人によって異なります。

したがって、「1,963名全員について氏名、住所、電話番号、メールアドレスなどが保存されていた」とするのは正確ではありません。

動植物の発見場所や日時などの投稿情報も保存

サーバーには個人情報だけでなく、団員が投稿した動植物の発見情報なども保存されていました。

「生命のにぎわい調査団」では、団員が動植物を発見した場所や日時などを投稿できる仕組みとなっています。

千葉県は9月1日の公表で、この投稿情報について第三者による閲覧や取得が確認されたとは説明していません。

個人情報と同様に、実際にどの情報へ第三者がアクセスしたのか、外部へ持ち出された情報があるのかについては、今後の調査結果を待つ必要があります。

個人情報漏えいは現時点で確認されず

千葉県は9月1日時点で、「個人情報が漏えいした事実は確認されていない」としています。

今回確認されている事実は、不正アクセスが行われたことと、本来存在しない画面がサイト内へ差し込まれていたことです。

一方、

• 個人情報が閲覧されたか
• 個人情報が外部へ送信されたか
• データが窃取されたか
• どのアカウントやシステム権限が悪用されたか

といった点は明らかになっていません。

このため、現段階で「1,963名の個人情報が漏えいした」と断定することはできません。

832名へメールで注意喚起、残る団員には文書で連絡へ

千葉県は8月28日、「生命のにぎわい調査団」の団員に対する連絡を開始しました。

別途管理している名簿を基に、メールアドレスを登録している832名へ、不正アクセスがあったことと、不審なメールに注意するよう案内しています。

メールアドレスを登録していない団員については、文書で早急に連絡する予定です。

個人情報漏えいは確認されていませんが、千葉県は不正アクセスの発生を踏まえ、対象者へ先行して注意喚起しています。

現時点でフィッシングやなりすましメールなどの二次被害が発生したとの公表はありません。

原因と情報漏えいの有無を専門業者が調査へ

不正アクセスの具体的な原因はまだ分かっていません。

千葉県は、個人情報漏えいの有無と不正アクセスの原因を調べるため、専門業者への調査依頼に向けて調整しています。

調査では、アクセスログやサーバー内のデータ、挿入された不正ページなどを確認し、攻撃経路や影響範囲を特定していくものとみられます。

ただし、悪用された脆弱性や認証情報、攻撃者、マルウェア使用の有無などについて、千葉県は現時点で公表していません。

ランサムウェアによる攻撃だったとの情報もありません。

千葉県警と相談、被害届を提出予定

千葉県は今回の不正アクセスについて県警と相談しており、被害届を提出する予定です。

そもそも今回の不正アクセスが発覚したきっかけも、千葉県警からの情報提供でした。

一方、個人情報保護委員会への報告については、9月1日の千葉県公表資料では記載を確認できませんでした。

今後、専門業者の調査によって個人情報漏えいの有無や影響範囲が明らかになった場合、行政機関への報告や対象者への追加通知などが行われる可能性があります。

サイト再開は原因調査と安全対策後

生物多様性センターのホームページは現在、外部から閲覧できない状態です。

千葉県は、不正アクセス原因の調査結果などを踏まえ、安全対策を実施した上でサイトを再公開する予定としています。

具体的な再開時期は公表されていません。

また、再発防止策についても、現時点では「安全対策を施す」とする段階で、具体的な技術対策や運用改善策は示されていません。

情報システム部門への示唆

今回の事案では、一般公開される広報サイトの中に、団員番号とパスワードでログインする会員制機能が存在し、そのサーバーに個人情報や投稿情報が保存されていました。

自治体や企業のWebサイトでは、公開ページと会員制ページを同じWebシステムや同一サーバー上で運用しているケースがあります。

公開Webサイトへの侵害が会員情報を扱う機能へ波及しないよう、システム構成、権限分離、データベースへのアクセス制御を確認する必要があります。

また、本件では約1,500名分について、サーバー上には氏名またはニックネームのみを置き、住所などを別管理していました。このようにWebシステム上へ保存する個人情報を必要最小限にする設計は、侵害時の影響を限定するうえで重要です。

一方、残る団員については住所やメールアドレスなど複数の情報がサーバー上に保存されていました。Webサービスを運営する組織では、「その個人情報をWebサーバー側へ保存する必要があるか」「保存期間を短縮できないか」「別システムへ分離できないか」を定期的に見直す必要があります。

さらに、今回の不正アクセスは県警からの情報提供で発覚しました。外部通報に依存せず自組織で異常を早期検知するためには、認証ログ、管理画面へのアクセス、不審なファイル生成、Webコンテンツの改変、外部通信などを継続的に監視する体制も確認すべきです。

今後の確認ポイントは、侵入経路、悪用された脆弱性や認証情報の有無、個人情報や投稿データへのアクセス・持ち出しの有無、影響対象者、サイト再開時の具体的な再発防止策です。

出典

• 生物多様性センターホームページへの不正アクセスについて – 千葉県