西日本シティ銀行、職員のBeReal 投稿による個人情報漏洩で再発防止策を公表

西日本シティ銀行は2026年6月23日、同行職員による職場内での不適切な撮影およびSNS投稿に関する事案について、事実関係、発生原因、再発防止策を公表しました。

本件は、同行職員が職場内で撮影した画像や動画をSNSへ投稿し、個人のお客さま8名に関する情報および法人のお客さま19社の名称が、外部から閲覧可能な状態となっていたものです。同行は、対象となる個人および法人のお客さまに対して、個別にお詫びと説明を行ったとしています。

同行は発生原因として、私用スマートフォンの職場での取扱いやSNS利用ルールの周知・徹底が不十分だったこと、管理職による指導・確認や職員間で相互に注意・報告しやすい職場環境に改善すべき点があったこと、SNSの特性を踏まえた情報漏えいリスクへの認識が十分でなかったことを挙げています。

この記事のサマリー

• 西日本シティ銀行が、職員の職場内撮影・SNS投稿に関する再発防止策を公表しました。
• 個人のお客さま8名に関する情報、法人のお客さま19社の名称が外部から閲覧可能な状態でした。
• 2026年4月30日の初報では、営業店執務室内を撮影した動画や画像の拡散が公表されていました。
• 2026年5月12日の続報では、対象範囲が個人8名に関する情報と法人19社の名称に拡大していました。
• 発生原因は、私用スマートフォンの取扱い、SNS利用ルール、管理職による指導、職場内の相互注意・報告、SNSリスク認識の不足です。
• 再発防止策として、私用スマートフォンの執務室持込みを厳禁とするルールを導入します。
• 業務用スマートフォンには、業務用と識別できるシール貼付を義務付けます。
• 管理職向け研修、職員向けSNS・情報漏えい防止研修を実施します。
• 関係者には行内規定に基づき厳正な処分を行い、経営責任を明確にするため役員報酬の一部を自主返納します。

何が起きたか

西日本シティ銀行では、職員が職場内で不適切な撮影を行い、その画像や動画をSNSに投稿したことで、顧客情報が外部から閲覧可能な状態となりました。

2026年4月30日の初報では、営業店執務室内を撮影した動画や画像がインターネット上に投稿・拡散されたことが公表されました。この時点では、執務室内の動画や画像に、7名のお客さまの個人情報、具体的には氏名のみが記載されたホワイトボードが映っていたと説明されていました。

その後、同行は追加調査を実施し、2026年5月12日に、既に公表したものを含め、個人のお客さま8名に関する情報および法人のお客さま19社の名称が外部から閲覧可能な状態となっていたことを公表しました。

今回の6月23日の公表では、事実関係と発生原因を整理したうえで、再発防止策が示されています。

事案の概要

発生原因

西日本シティ銀行は、本件の発生原因として3点を挙げています。

再発防止策

西日本シティ銀行は、発生原因を踏まえて、3つの柱で再発防止策を策定しました。

セキュリティ対策Lab：SNS投稿による個人情報漏洩のまとめ 2025〜2026年の国内事例と組織が今すぐ取るべき対策

私用スマートフォンの取扱いおよびSNS利用に関するルールの周知・徹底

同行は、私用スマートフォンの執務室への持込みを厳禁とするルールを導入します。

また、ルールの定期的な読み合わせを行い、周知・徹底と遵守状況のモニタリングを実施します。加えて、業務用スマートフォンを一目で識別できるよう、業務用シールの貼付を義務付けます。

管理職による指導・確認と相談しやすい職場風土の醸成

同行は、経営陣が先頭に立ち、銀行にとって顧客情報管理が信頼の基盤であること、情報管理の重要性を継続的に周知・徹底するとしています。

また、管理職に対し、ルールを正確に理解し、職場で周知・指導できるよう研修を実施します。さらに、職員が違和感を覚えた際に、周囲に注意し、上司や本部へ報告・相談しやすい職場環境を各種研修を通じて整備するとしています。

SNS・情報漏えいに対するリスク認識の醸成

同行は、経営陣および本部管理部門に対し、スマートフォンの利用状況や最新SNSなどのデジタル事情に関する研修を、外部の知見を活用して実施します。

また、職員に対しても、それぞれの職責や役割に応じたSNS・情報漏えい防止研修を実施するとしています。

なぜSNS投稿による情報漏えいは防ぎにくいのか

SNS投稿による情報漏えいは、不正アクセスやマルウェア感染とは異なり、職員本人の何気ない行動で発生します。

システム側でファイル送信を制御していても、紙、ホワイトボード、画面、周囲の会話、制服、名札、座席表、顧客名のメモなどがスマートフォンのカメラに映り込むと、情報漏えいにつながります。

特に金融機関では、個人名や法人名だけでも取引関係を推測される可能性があります。顧客名、支店名、担当者、業務目標、取引先名が組み合わさると、信用情報や取引関係に関する憶測を招く恐れがあります。

金融機関・情報システム部門が確認すべきポイント

今回の事案は、SNS利用教育だけではなく、物理的な執務室管理、端末管理、職場風土、管理職の監督責任まで含めた対策が必要であることを示しています。

私用端末の持込みルールを実効性ある運用にする

私用スマートフォンの持込み禁止ルールを定めても、現場で守られなければ意味がありません。

SNS研修は実例ベースにする

SNS教育では、一般論だけでは効果が薄くなります。

職員が日常的に使っているSNS、短時間投稿、ストーリーズ、限定公開、DM、スクリーンショット、位置情報、画像メタデータなど、実際の利用シーンに即した研修が必要です。

参考情報・出典

• 西日本シティ銀行：再発防止策の策定について
• セキュリティ対策Lab：西日本シティ銀行・BeReal投稿による顧客の個人情報漏洩で頭取が謝罪

関連記事

SNS投稿による個人情報漏洩のまとめ 2025〜2026年の国内事例と組織が今すぐ取るべき対策 西日本シティ銀行・BeReal投稿による顧客の個人情報漏洩で頭取が謝罪 西日本シティ銀行、職員が「BeReal」で支店内を撮影—顧客7名の氏名・業績目標・PC画面がX上で拡散し個人情報漏洩 2026年4月 個人情報漏洩の事例 まとめ 常陽銀行、元行員が自分名義カードの枠不正増額と現金引き出し　総額2,351万円を私的流用も全額弁済 2026年5月,4月 情報漏洩の事例まとめ（機密情報・営業秘密） 日テレ社長、「ZIP！」新人スタッフのSNS情報漏洩を謝罪-4月1日の研修直後に入構証・出演者資料・シフト表が流出 サイバー攻撃やランサムウェアによる被害を受けた際の社内・社外対応の流れ 高齢者向けFacebook グループでマルウェアを拡散-端末乗っ取り、資金詐取まで

投稿者：三村

セキュリティ製品を手がける上場企業にて、SOC（セキュリティオペレーションセンター）運営およびWebアプリケーション脆弱性診断の営業に8年間従事。その後、システムエンジニアへ転身し、MDMや人事系SaaSの開発に携わる。
8年の実務経験と開発者としての知見を活かし、「セキュリティ対策Lab」ではダークウェブ調査、セキュリティインシデントの分析、および高度なセキュリティ対策解説の執筆・編集を統括しています。
LinkedIn(外部サイト)